先上原始碼
#include "Inject_Main.h" #include "resource.h" #include <Windows.h> #include <TlHelp32.h> #include <string> #include <TCHAR.H> using namespace std; /// <summary> /// 通過程式名稱獲取該程式控制程式碼 /// </summary> /// <param name="processName"></param> /// <returns>成功返回 DWORD，失敗返回 0</returns> DWORD GetProcessByName(CONST TCHAR* processName) { // 獲取到整個系統的程式 HANDLE processALL = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL); // 定義一個容器，該容器用來接收，程式資訊 PROCESSENTRY32W processInfo = { 0 }; processInfo.dwSize = sizeof(PROCESSENTRY32W); // 根據程式名稱，迴圈判斷是否是指定的程式 do { if (_tcscmp(processInfo.szExeFile, processName) == 0) { // 釋放程式快照，防止記憶體洩露 CloseHandle(processALL); // 如果是返回指定程式控制程式碼 return processInfo.th32ProcessID; } // 一個迭代函式 } while (Process32Next(processALL, &processInfo)); // 釋放程式快照，防止記憶體洩露 CloseHandle(processALL); return 0; } /// <summary> /// 獲取指定 DLL 的記憶體地址 /// </summary> /// <param name="pid"></param> /// <param name="moduleName"></param> /// <returns></returns> HMODULE GetProcessModuleHandle(DWORD pid, CONST TCHAR* moduleName) { MODULEENTRY32 moduleEntry; HANDLE handle = NULL; handle = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, pid); if (!handle) { CloseHandle(handle); return NULL; } ZeroMemory(&moduleEntry, sizeof(MODULEENTRY32)); moduleEntry.dwSize = sizeof(MODULEENTRY32); if (!Module32First(handle, &moduleEntry)) { CloseHandle(handle); return NULL; } do { if (_tcscmp(moduleEntry.szModule, moduleName) == 0) { // 釋放程式快照，防止記憶體洩露 CloseHandle(handle); return moduleEntry.hModule; } } while (Module32Next(handle, &moduleEntry)); CloseHandle(handle); return 0; } /// <summary> /// 把指定DLL注入到指定程式中 /// </summary> /// <param name="processName">processName 程式名稱</param> /// <param name="dllPath">dllPath dll路徑</param> void InjectDll(const wchar_t* processName, const char* dllPath) { // 獲取指定程式的控制程式碼 DWORD dword = GetProcessByName(processName); if (dword == 0) { MessageBox(NULL, TEXT("沒有找到指定程式"), TEXT("錯誤"), 0); return; } // 開啟指定程式 HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dword); if (hProcess == NULL) { MessageBox(NULL, TEXT("指定程式開啟失敗"), TEXT("錯誤"), 0); return; } /* 在指定程式的地址，開闢一塊記憶體空間，用來儲存 DLL的路徑資訊 LPVOID VirtualAllocEx( [in] HANDLE hProcess, 在那個程式中開闢記憶體 [in, optional] LPVOID lpAddress, 開闢記憶體的起始地址 (NULL，不需要控制起始位置) [in] SIZE_T dwSize, 開闢記憶體的大小（當前儲存的內容是 DLL的路徑） [in] DWORD flAllocationType, 記憶體分配的型別。（開闢記憶體） [in] DWORD flProtect，設定記憶體的許可權 （可讀可寫） ); */ LPVOID DLLAddress = VirtualAllocEx(hProcess, NULL, strlen(dllPath), MEM_COMMIT, PAGE_READWRITE); /* 把DLL的路徑，寫入到剛開闢出來的記憶體中 BOOL WriteProcessMemory( [in] HANDLE hProcess, // 指定的程式 [in] LPVOID lpBaseAddress, // DLL路徑字串，寫入的基址 [in] LPCVOID lpBuffer, // DLL路徑字串，的指標 [in] SIZE_T nSize, // 需要寫入記憶體的位元組長度 [out] SIZE_T *lpNumberOfBytesWritten // [out] 返回一個指標，不需要，NULL ); */ if (WriteProcessMemory(hProcess, DLLAddress, dllPath, strlen(dllPath), NULL) == 0) { MessageBox(NULL, TEXT("路徑寫入失敗"), TEXT("錯誤"), 0); return; } // 獲取 Kernel32.dll 這個模組 HMODULE k32 = GetModuleHandle(TEXT("Kernel32.dll")); // 在 Kernel32.dll 模組中找到 LoadLibrary 這個函式的記憶體地址 LPVOID loadADD = GetProcAddress(k32, "LoadLibraryA"); /* 在指定程式中，建立一個執行緒 並通過這個執行緒，呼叫 LoadLibrary 函式 通過 LoadLibrary 函式，把 DLL 載入到目標程式中 HANDLE CreateRemoteThread( [in] HANDLE hProcess, // 指定程式 [in] LPSECURITY_ATTRIBUTES lpThreadAttributes, // 設定執行緒安全屬性，表示執行緒是否可以繼承，NULL就夠了 [in] SIZE_T dwStackSize, // 堆疊的初始大小，0 表示使用可執行檔案的預設大小 [in] LPTHREAD_START_ROUTINE lpStartAddress, // 遠端程式中，需要執行的那個函式的指標 [in] LPVOID lpParameter, // 目前程式中 DLL路徑的指標 [in] DWORD dwCreationFlags, // 0 執行緒在建立後立即執行。 [out] LPDWORD lpThreadId // [out] 當前不需要這個返回值 ); */ HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)loadADD, DLLAddress, 0, NULL); // 釋放指定的模組 CloseHandle(hThread); CloseHandle(hProcess); } /// <summary> /// 把指定程式中的DLL解除安裝掉 /// </summary> /// <param name="processName"></param> /// <param name="dllPath"></param> void UnInjectDll(const wchar_t* processName) { // 通過程式名稱獲取該程式控制程式碼 DWORD dword = GetProcessByName(processName); if (dword == 0) { MessageBox(NULL, TEXT("沒有找到指定程式"), TEXT("錯誤"), 0); return; } // 獲取指定程式中指定模組的記憶體地址 HMODULE hmodule = GetProcessModuleHandle(dword, L"WX_Read_Write.dll"); // 開啟指定程式 HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dword); if (hProcess == NULL) { MessageBox(NULL, TEXT("指定程式開啟失敗"), TEXT("錯誤"), 0); return; } // 獲取 Kernel32.dll 這個模組 HMODULE k32 = GetModuleHandle(TEXT("Kernel32.dll")); // 在 Kernel32.dll 模組中找到 LoadLibrary 這個函式的記憶體地址 LPVOID loadADD = GetProcAddress(k32, "FreeLibrary"); HANDLE hThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)loadADD, (LPVOID)hmodule, 0, NULL); // 釋放指定的模組 CloseHandle(hThread); CloseHandle(hProcess); } /// <summary> /// /// </summary> /// <param name="hwndDlg"></param> /// <param name="uMsg"></param> /// <param name="wParam"></param> /// <param name="lParam"></param> /// <returns></returns> INT_PTR CALLBACK dialogProc(_In_ HWND hwndDlg, _In_ UINT uMsg, _In_ WPARAM wParam, _In_ LPARAM lParam) { wchar_t processName[100] = L"WeChat.exe"; char dllPath[400] = { "C://Users//qiaoas//documents//visual studio 2015//Projects//ConsoleApplication1//Debug//WX_Read_Write.dll" }; switch (uMsg) { case WM_INITDIALOG: break; case WM_CLOSE: EndDialog(hwndDlg, 0); // 關閉窗體 break; case WM_COMMAND: /*GetDlgItemText(hwndDlg, Text_ProcessName, processName, sizeof(processName)); GetDlgItemText(hwndDlg, Text_DLLPath, (LPWSTR)dllPath, sizeof(dllPath));*/ if (wParam == Btn_Inject_DLL) { if (sizeof(processName) == 0) { MessageBox(NULL, TEXT("程式名稱不能為空"), TEXT("錯誤"), 0); } if (sizeof(dllPath) == 0) { MessageBox(NULL, TEXT("DLL路徑不能為空"), TEXT("錯誤"), 0); } InjectDll(processName, dllPath); // 注入DLL } if (wParam == Btn_unInject_DLL) { UnInjectDll(processName); // 解除安裝DLL } break; default: break; } return FALSE; } /// <summary> /// 初始化 /// </summary> /// <param name="hInstance"></param> /// <param name="hPrevInstance"></param> /// <param name="lpCmdLine"></param> /// <param name="nCmdShow"></param> /// <returns></returns> int APIENTRY wWinMain(_In_ HINSTANCE hInstance, _In_opt_ HINSTANCE hPrevInstance, _In_ LPWSTR lpCmdLine, _In_ int nCmdShow) { DialogBox(hInstance, MAKEINTRESOURCE(IDD_DIALOG1), NULL, &dialogProc); return 0; }
初學C++，程式碼可能有些地方寫的不夠好，但是注入解除安裝是完全沒問題的。
注入邏輯解釋：
使用 CreateRemoteThread 函式可以為目標程式建立一個新的執行緒。
在一個程式為另一個程式建立的執行緒就是遠端執行緒。
使用 LoadLibrary 函式把指定的DLL載入到程式中
因此就可以在建立遠端執行緒的同時呼叫 LoadLibrary 函式，把指定的DLL載入到目標程式中。
為什麼建立遠端執行緒的時候呼叫 LoadLibrary 函式就能把 DLL 注入到目標程式中
LoadLibrary 函式是 Kernel32.dll 中的一個成員
Kernel32.dll 這個DLL是建立程式必須的一個DLL，並且所有程式在記憶體中指向的 Kernel32.dll 是同一個地址
所以只要獲取到當前程式中 LoadLibrary 函式的地址就夠了
為什麼要在目標程式中開闢一塊記憶體，再把DLL路徑寫入到塊記憶體中
LoadLibrary 函式需要一個引數，就是DLL的路徑
把當前程式中的一個地址傳到另一個程式中，鬼知道另一個程式獲取這個地址中的資料時，讀取到的是否是我們想要的。
因此需要把DLL的路徑直接寫入到目標程式中。
VirtualAllocEx 函式，在目標程式中開闢一塊空間，用來存放DLL路徑
WriteProcessMemory 函式，把DLL的路徑寫入進去
GetModuleHandle 獲取 Kernel32.dll 模組
GetProcAddress 獲取 LoadLibraryA 函式在記憶體中的地址
CreateRemoteThread 建立遠端執行緒，並呼叫 LoadLibraryA 函式
LoadLibrary 、LoadLibraryA、LoadLibraryW 這三者的區別。
LoadLibrary 是一個巨集，可以根據字符集的不同，自動決定是使用 LoadLibraryA 還是 LoadLibraryW
LoadLibrary 巨集定義的原始碼 WINBASEAPI _Ret_maybenull_ HMODULE WINAPI LoadLibraryA( _In_ LPCSTR lpLibFileName ); WINBASEAPI _Ret_maybenull_ HMODULE WINAPI LoadLibraryW( _In_ LPCWSTR lpLibFileName ); #ifdef UNICODE #define LoadLibrary LoadLibraryW #else #define LoadLibrary LoadLibraryA #endif // !UNICODE
解除安裝邏輯：
使用 CreateRemoteThread 函式建立一個遠端執行緒
呼叫 FreeLibrary 函式，解除安裝DLL
FreeLibrary 函式在 Kernel32.dll 模組中，邏輯同上
FreeLibrary 函式需要 DLL 的記憶體地址
遍歷程式快照可以獲取到指定模組的記憶體地址
解除安裝和注入的思路都是一樣的
確認DLL是否注入到目標程式中
方式一：使用 procexp
方式二：Cheat Engine
確認 Kernel32.dll 中的 FreeLibrary 和 LoadLibraryA 在多個程式中是否指向同一塊記憶體地址：
可以通過CE檢視多個程式中 Kernel32.dll 的記憶體地址是否相同
再通過 Kernel32.dll 中函式的記憶體地址，確認 FreeLibrary 和 LoadLibraryA 這兩個函式