函数说明

CreateRemoteThread 函数是Windows操作系统中用于创建一个在远程进程地址空间中运行的线程的API函数。这个函数是Windows核心API的一部分，通常被系统程序、驱动程序和高级编程人员使用。它可以允许一个进程创建另一个进程中的线程，这对于各种系统级的操作非常有用，例如在不影响目标进程的情况下执行代码或进行调试。

函数原型

HANDLE CreateRemoteThread(
  HANDLE hProcess,
  LPSECURITY_ATTRIBUTES lpThreadAttributes,
  SIZE_T dwStackSize,
  LPTHREAD_START_ROUTINE lpStartAddress,
  LPVOID lpParameter,
  DWORD dwCreationFlags,
  LPDWORD lpThreadId
);

• hProcess：目标进程的句柄。
• lpThreadAttributes：指向安全属性的指针，可以设置为NULL。
• dwStackSize：线程的堆栈大小，如果设置为0，则使用默认值。
• lpStartAddress：指向线程入口点的函数指针。
• lpParameter：传递给入口函数的参数。
• dwCreationFlags：线程创建标志，可以用来指定线程的优先级等。
• lpThreadId：指向接收线程ID的指针。

步骤示例

以下是一个简单的示例，演示如何在另一个进程中创建一个新的线程来执行一个函数：

1. 获取目标进程的句柄。
2. 设置线程的堆栈大小。
3. 设置线程入口点函数和参数。
4. 调用 CreateRemoteThread 函数创建线程。
5. 等待线程执行完毕。
6. 清理资源。

#include <iostream>
#include <Windows.h>
// 注入的 DLL 的路径
const wchar_t* DLL_PATH =  L"D:\\Projects\\HelloHook\\x64\\Release\\InjectDll.dll";
int main()
{
    // 获取 explorer.exe 进程 ID
    DWORD explorerPID = 0;
    HWND hwnd = FindWindow(L"Shell_TrayWnd", NULL);
    GetWindowThreadProcessId(hwnd, &explorerPID);
    // 打开 explorer.exe 进程，获取句柄
    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, explorerPID);
    if (hProcess == NULL)
    {
        std::cout << "Failed to open explorer.exe process!" << std::endl;
        return 1;
    }
    // 在 explorer.exe 进程中分配内存来存放 DLL 的路径
    LPVOID dllPathAddr = VirtualAllocEx(hProcess, NULL, wcslen(DLL_PATH) *  sizeof(wchar_t), MEM_COMMIT, PAGE_READWRITE);
    if (dllPathAddr == NULL)
    {
        std::cout << "Failed to allocate memory in explorer.exe process!" <<  std::endl;
        CloseHandle(hProcess);
        return 1;
    }
    // 将 DLL 路径写入到 explorer.exe 进程的内存中
    if (!WriteProcessMemory(hProcess, dllPathAddr, DLL_PATH, wcslen(DLL_PATH) *  sizeof(wchar_t), NULL))
    {
        std::cout << "Failed to write DLL path to explorer.exe process memory!" <<  std::endl;
        VirtualFreeEx(hProcess, dllPathAddr, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return 1;
    }
    // 获取 LoadLibraryW 函数的地址
    HMODULE hKernel32 = GetModuleHandle(L"kernel32.dll");
    FARPROC loadLibraryAddr = GetProcAddress(hKernel32, "LoadLibraryW");
    if (loadLibraryAddr == NULL)
    {
        std::cout << "Failed to get address of LoadLibraryW function!" <<  std::endl;
        VirtualFreeEx(hProcess, dllPathAddr, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return 1;
    }
    // 在 explorer.exe 进程中创建远程线程，执行 LoadLibraryW("YourDLL.dll")
    HANDLE hRemoteThread = CreateRemoteThread(hProcess, NULL, 0,  (LPTHREAD_START_ROUTINE)loadLibraryAddr, dllPathAddr, 0, NULL);
    if (hRemoteThread == NULL)
    {
        std::cout << "Failed to create remote thread in explorer.exe process!" <<  std::endl;
        VirtualFreeEx(hProcess, dllPathAddr, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return 1;
    }
    // 等待远程线程执行完毕
    WaitForSingleObject(hRemoteThread, INFINITE);
    // 清理资源
    VirtualFreeEx(hProcess, dllPathAddr, 0, MEM_RELEASE);
    CloseHandle(hRemoteThread);
    CloseHandle(hProcess);
    std::cout << "DLL injected successfully!" << std::endl;
    return 0;
}