远程线程DLL注入64位进程

 int main()
 {
     BOOL bFlag = FALSE;

     char *szDllName = "MSGDLL.dll";
     //bFlag = EnablePrivilege(SE_DEBUG_NAME);    //返回值为1时代表成功

     //得到目标进程句柄
     HANDLE hDestProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, );

     LPTHREAD_START_ROUTINE dwAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");

     //在目标进程的地址空间内分配一个内存块
     LPVOID pRemoteSpace = VirtualAllocEx(hDestProcess, NULL, strlen(szDllName) + , MEM_COMMIT,
         PAGE_READWRITE);

     //向上一步的内存块中写入数据，就是要加载的DLL名字
     bFlag = WriteProcessMemory(hDestProcess, pRemoteSpace, szDllName, strlen(szDllName) + , );

     //在目标进程内创建线程,线程的入口函数就是LoadLibraryA, 参数就是Dll名字
     HANDLE hThread = CreateRemoteThread(hDestProcess, NULL, , dwAddr, pRemoteSpace,
         NULL,
     );      //前面都是成功的，就到了这一步，返回的错误是5，Access denied,权限不够
             //本来以为我的VS是以管理员权限启动的，那么我这个进程应该权限就都够了，
             //看来不行，必须程序提权
             //我提权了之后，发现还是不行，之后上网查了
             //发现是32位注入到64位中会有问题，所以我换了个x64,然后显然线程运行成功了，
             //但是现在远程进程却崩溃了，估计是DLL是32的，我换个DLL编译方式再试试
             //我编译了64位的DLL，然后还是崩溃的，之后我发现了应该是我函数地址传的有问题
             //因为32位的LoadLibraryA地址是DWORD，但64位却是ULONGLONG，所以仅仅改变编译方式还不够
             //必须用一个足够容纳8个字节地址的类型来保存，这样就够了

             //另外一个需要注意的问题就是，为什么我在我这个进程中得到的LoadLibrary在远程进程中也可以用
             //答案就是,系统DLL在各个进程中的映射地址都是一样的，不过具体情况具体分析，至少这个函数看来是一样的。

             //在我完成了之后，我把EnablePrivileges这行注释掉了，但仍然注入成功，看来我用管理员权限运行VS2015之后就够了

             //然后我又发现了一个问题，就是对同一个进程，加载dll只能一次，第二次就不会弹了
             //原因，我目测是，DLL已经被加载了，所以第二次就不加载了，也就不执行DllMain那个函数了
             //除非我创建一个线程再UnLoad那个LIB，之后再LOAD，这样应该就可以了
             //也可以换个Dll名字，再LOAD， 反正方法很多。

     DWORD dwErr = GetLastError();

     return ;
 }

 //DLL的代码，用DLL方式生成一下，拉到前面EXE目录，或者系统目录都行，跟前面代码中DLL名字有没有加绝对路径有关
//这代码是书上的代码，直接复制了
/* ************************************
*《精通Windows API》
* 示例代码
* msg.c
* 6.5  动态链接库
**************************************/
/* 头文件　*/
#include <Windows.h>
#include <Psapi.h>
/* 链接　*/
#pragma comment (lib, "Psapi.lib")
/* 函数声明　*/

// 使用__declspec(dllexport)声明导出函数
__declspec(dllexport) DWORD ExportExample(LPSTR szMsg, DWORD dwCode);

/*************************************
* DllMain
**************************************/
BOOL WINAPI DllMain(
    HINSTANCE hinstDLL,  // DLL模块的句柄
    DWORD fdwReason,     // 调用的情况
    LPVOID lpReserved)  // reserved
{
    // 在不同的情况下都会调用DllMain函数，分别处理
    switch (fdwReason)
    {
        // 加载Dll
        case DLL_PROCESS_ATTACH:
            {
                CHAR lpMainMoudleName[MAX_PATH];
                CHAR lpMessage[MAX_PATH + ];
                // 获取PID 和主模块名，将弹出消息框
                DWORD dwPID = GetCurrentProcessId();
                GetModuleBaseName(GetCurrentProcess(), NULL, lpMainMoudleName, MAX_PATH);
                wsprintf(lpMessage, "Process name: %s, PID: %u ", lpMainMoudleName, dwPID);
                MessageBox(NULL, lpMessage, "msg.dll", MB_OK);
                break;
            }
            // 新建线程
        case DLL_THREAD_ATTACH:
            break;
            // 线程退出
        case DLL_THREAD_DETACH:
            break;
            // 释放Dll
        case DLL_PROCESS_DETACH:

            break;
    }
    return TRUE;
}

/*************************************
* DWORD ExportExample(LPSTR szMsg, DWORD dwCode)
* 功能    导出函数，显示消息
*
* 参数    LPSTR szMsg    字符串； DWORD dwCode 整形
**************************************/
DWORD ExportExample(LPSTR szMsg, DWORD dwCode)
{
    LPVOID lpShowOut = HeapAlloc(GetProcessHeap(), , lstrlen(szMsg) + );
    wsprintf((LPSTR)lpShowOut, "%s,%d", szMsg, dwCode);
    MessageBox(NULL, (LPSTR)lpShowOut, "由导出函数弹出的消息！", MB_OK);
    HeapFree(GetProcessHeap(), , lpShowOut);
    return ;
}

需要注意的点都在那一大串注释中

64位进程,就得用64位的EXE来CreateRemoteThread, 另外DLL也应该是64位

32位进程,就得用32位的EXE来CreateRemoteThread, 另外DLL也应该是32位

把CreateRemoteThread的入口点函数设为LoadLibraryA(W),线程的那个参数设为DLL路径指针(在目标进程中,所以得把DLL路径拷到目标进程 中, 用VirtualAllocEx在目标进程中分配块空间,然后WriteProcessMemory).

这样可行的原因:

线程的函数原型DWORD ThreadProc(LPVOID lpParam)

LoadLibrary的函数原型HMODULE LoadLibrary(LPCTSTR lpFileName);

其实是一样的,指针都是同样大小,都只有一个参数,返回值无所谓..

另外在目标进程和本进程中LoadLibraryA(W)的虚拟地址是一样的..