C++ 怎么在内存中实现不落地的反射式 DLL 注入（Reflective DLL Injection）-C++-PHP中文网

reflective dll injection的核心约束是绕过系统loader，全程手动完成pe加载：解析pe头、修正重定位、填充导入表、处理tls、调用dllmain，且dll二进制始终驻留内存、不落地、不注册模块。

c++ 怎么在内存中实现不落地的反射式 dll 注入（reflective dll injection）

什么是 Reflective DLL Injection 的核心约束

它不是常规的 LoadLibrary 调用，而是把 DLL 文件内容完整读入内存后，由注入者手动完成重定位、导入表解析、TLS 初始化、入口点调用等全部 PE 加载逻辑。关键在于：整个过程不写入磁盘、不依赖系统 loader，DLL 的二进制数据始终只存在于目标进程的内存中。

必须能解析 PE 头（DOS_HEADER、NT_HEADERS、IMAGE_OPTIONAL_HEADER）
必须遍历并修正所有重定位项（IMAGE_BASE_RELOCATION）
必须逐个解析 IMAGE_IMPORT_DESCRIPTOR，动态获取每个导入函数地址（如 kernel32.dll!VirtualAlloc）
必须处理 TLS 回调（如果存在 IMAGE_TLS_DIRECTORY）
入口点（DllMain）必须用 CreateRemoteThread 或 QueueUserAPC 触发，且传入的 hModule 是你手动分配的基址，不是系统给的

为什么不能直接用 LoadLibrary + VirtualAlloc + WriteProcessMemory

因为那只是“把文件丢进去”，没做任何加载工作。目标进程看到的只是一段原始字节，没有重定位修正、没有 IAT 填充、没有 TLS 初始化——一旦执行，大概率在第一条调用外部 API 的指令就触发 ACCESS_VIOLATION 或跳转到错误地址。

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

LoadLibrary 会走系统 loader，生成合法模块句柄并注册到 PEB 的 Ldr 链表，而 reflective 注入绕过这一切
如果你只 WriteProcessMemory 写入原始 DLL 数据，然后跳过去执行，GetProcAddress 会找不到这个模块，EnumProcessModules 也看不到它
更隐蔽的副作用：某些 EDR（如 Windows Defender、CrowdStrike）会监控 LoadLibrary 系列 API 调用，但对裸地址跳转+手动解析的反射注入检测较弱——前提是你的重定位和导入处理完全正确

最关键的三个易错点：重定位、导入解析、堆栈对齐

重定位表处理漏掉某个区块（比如 .rdata 或 .pdata），会导致某处硬编码地址仍指向原始编译基址（如 `0x10000000`），而非你 `VirtualAlloc` 分配的真实地址（如 `0x7ff8a1230000`）

导入解析时未检查 `IMAGE_THUNK_DATA` 的高 32 位是否为 0（即是否为序号导入），直接当函数名处理，结果调用 `GetProcAddress(hMod, "123")` 失败

在 x64 下，`CreateRemoteThread` 启动反射 DLL 入口前，没确保目标线程栈指针满足 16 字节对齐（Windows x64 ABI 要求），导致 `DllMain` 内部调用某些 API（如 `InitializeCriticalSection`）崩溃

示例片段（伪代码逻辑）：

// 检查重定位块是否覆盖全部需修正区域
PIMAGE_BASE_RELOCATION rel = relocDir;
while (rel->VirtualAddress != 0) {
    WORD* entry = (WORD*)((BYTE*)rel + sizeof(IMAGE_BASE_RELOCATION));
    int count = (rel->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / sizeof(WORD);
    for (int i = 0; i > 12;
        DWORD offset = entry[i] & 0x0fff;
        if (type == IMAGE_REL_BASED_DIR64) { // x64 only
            ULONGLONG* addr = (ULONGLONG*)((BYTE*)remoteBase + rel->VirtualAddress + offset);
            *addr += delta; // delta = remoteBase - originalImageBase
        }
    }
    rel = (PIMAGE_BASE_RELOCATION)((BYTE*)rel + rel->SizeOfBlock);
}