APC注入的核心限制是目标线程必须处于可唤醒的等待状态；QueueUserAPC仅对WaitSleepJoin或Alertable状态线程生效，需调用SleepEx、MsgWaitForMultipleObjectsEx等可警报函数，否则回调永不执行。
APC 注入的核心限制：目标线程必须处于可唤醒的等待状态
Windows APC（Asynchronous Procedure Call）注入不能“强行”插入任意线程——QueueUserAPC 只对处于 WaitSleepJoin、Alertable 状态的线程生效。这意味着目标线程必须主动调用如 WaitForSingleObjectEx、SleepEx、MsgWaitForMultipleObjectsEx（且传入 bAlertable = TRUE）等可警报等待函数，否则 APC 永远不会被执行。
常见误判是以为只要线程活着就能注入，结果 QueueUserAPC 返回成功（非零值），但回调从未触发——本质是目标线程根本没进入 alertable wait。
- 检查目标线程是否真的在 alertable 等待：可用
GetThreadContext查看EIP/RIP是否落在ntdll!NtDelayExecution或类似系统调用内；或用 Process Hacker / x64dbg 观察线程状态是否为 “Waiting (Alertable)” - GUI 线程天然适合：消息循环中
GetMessage本身不 alertable，但MsgWaitForMultipleObjectsEx+INFINITE+bAlertable=TRUE是常见模式 - 控制台/服务线程需改造：若你控制目标进程，可插入
SleepEx(1, TRUE)循环；若不可控，则基本无法可靠注入
注入步骤：分配内存 → 写入 Shellcode → 排队 APC 回调
APC 注入不是直接执行代码，而是让目标线程在它自己的上下文中调用你提供的函数（即 APC 函数）。该函数必须位于目标进程地址空间，且通常需自行完成重定位和导入解析（除非只用 kernel32/ntdll 的固定地址导出）。
典型流程如下：
- 用
OpenProcess获取目标进程句柄（需PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_CREATE_THREAD权限） - 用
VirtualAllocEx在目标进程中申请可执行内存（PAGE_EXECUTE_READWRITE） - 用
WriteProcessMemory将 shellcode（如加载 DLL 的 stub）写入该内存 - 用
QueueUserAPC向目标线程排队：第一个参数是 shellcode 地址（即LPTHREAD_START_ROUTINE），第二个是目标线程句柄，第三个是 NULL（APC 参数，一般不用）
注意：QueueUserAPC 的回调函数签名必须是 VOID CALLBACK apc_func(ULONG_PTR dwParam)，不能带其他参数或返回值；且它运行在目标线程上下文中，栈和寄存器均属目标线程。
Shellcode 必须自包含：不能依赖调用方栈或外部变量
APC 回调函数被系统调度时，你无法预知目标线程当前的栈深度、寄存器状态或 SEH 链。任何基于局部变量、未初始化指针、或假设特定寄存器值的逻辑都会崩溃。
安全做法是：shellcode 全部硬编码或使用位置无关方式（PIC），所有 API 地址通过手动解析 ntdll.dll 和 kernel32.dll 的导出表获取（即 “API hashing + 手动 PE 解析”），避免调用 LoadLibrary 等高风险函数（它们可能触发 TLS 回调或加载器锁）。
- 推荐最小化功能：仅实现
LoadLibraryA加载一个 DLL 路径（路径字符串需写死在 shellcode 中，或从 APC 参数传入——但需确保参数地址在目标进程有效） - 避免使用 C 运行时：不要用
printf、malloc、异常处理等；纯汇编或手写 C 内联 asm 更可控 - 调试技巧：先用
CreateRemoteThread测试同一段 shellcode 是否能跑通，再切换到 APC 方式——排除 shellcode 本身问题
权限与兼容性陷阱：SeDebugPrivilege 和 Wow64
没有 SeDebugPrivilege，OpenProcess 会失败（错误码 ERROR_ACCESS_DENIED）；而启用该权限需先调用 OpenProcessToken + LookupPrivilegeValue + AdjustTokenPrivileges，缺一不可。
32 位进程向 64 位进程注入（或反之）完全不可行：VirtualAllocEx 和 WriteProcessMemory 会返回 ERROR_PARTIAL_COPY 或直接失败。APC 注入同样受此限制——架构必须严格匹配。
- 检查目标进程位数：用
IsWow64Process（32 位进程查 64 位）或GetNativeSystemInfo+GetSystemInfo对比 - UAC 提权后仍需显式启用
SeDebugPrivilege：即使你是 Administrator 组，该权限默认也是 disable 状态 - Windows 10 RS5+ 引入 PPL（Protected Process Light）：对某些系统进程（如 csrss.exe、winlogon.exe），即使有 debug 权限也无法打开，
OpenProcess直接返回NULL
真正难的从来不是怎么调用 QueueUserAPC，而是让目标线程老老实实停在 alertable 状态、并确保你的 shellcode 在它那个陌生的栈和寄存器环境下活过前 10 条指令。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
