VC++ 遠端執行緒注入技術深度解析：CreateRemoteThread 實戰與防禦視角

前言

**遠端執行緒注入** 是 Windows 進程間最經典的「越界」技術：在目標進程建立執行緒，載入指定 DLL，從而獲得該進程的完整存取權限。本文從 API 流程、記憶體佈局、實戰代碼到安全防禦全方位剖析，**僅供安全研究與防禦理解，嚴禁用於惡意用途。**

核心原理：跨越進程邊界的三把鑰匙

1. OpenProcess：取得目標進程控制代碼，需 PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE
2. VirtualAllocEx + WriteProcessMemory：在目標進程虛擬位址空間分配記憶體、寫入 DLL 完整路徑
3. CreateRemoteThread：以 LoadLibraryW 為起始位址、DLL 路徑為參數，在目標進程建立執行緒 → 觸發 DLL 載入

完整實戰流程

// 1. 取得目標進程 PID (如透過 ToolHelp32 遍歷或 FindWindow+GetWindowThreadProcessId)
DWORD dwPID = GetTargetPID(L"notepad.exe");

// 2. 開啟進程
HANDLE hProc = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, dwPID);
if (!hProc) return ERROR_ACCESS_DENIED;

// 3. 計算 DLL 路徑寬字串長度並分配遠端記憶體
wchar_t dllPath[] = L"C:\\Inject\\MyHook.dll";
SIZE_T cb = (wcslen(dllPath) + 1) * sizeof(wchar_t);
LPVOID pRemotePath = VirtualAllocEx(hProc, NULL, cb, MEM_COMMIT, PAGE_READWRITE);
if (!pRemotePath) { CloseHandle(hProc); return ERROR_OUTOFMEMORY; }

// 4. 寫入路徑
if (!WriteProcessMemory(hProc, pRemotePath, dllPath, cb, NULL)) {
    VirtualFreeEx(hProc, pRemotePath, 0, MEM_RELEASE);
    CloseHandle(hProc); return ERROR_WRITE_FAULT;
}

// 5. 取得 LoadLibraryW 位址 (Kernel32 在所有進程基址相同，ASLR 前提下需額外處理)
FARPROC pLoadLib = GetProcAddress(GetModuleHandle(L"kernel32.dll"), "LoadLibraryW");

// 6. 建立遠端執行緒
HANDLE hThread = CreateRemoteThread(hProc, NULL, 0,
    (LPTHREAD_START_ROUTINE)pLoadLib, pRemotePath, 0, NULL);
if (!hThread) {
    VirtualFreeEx(hProc, pRemotePath, 0, MEM_RELEASE);
    CloseHandle(hProc); return GetLastError();
}

// 7. 等待執行緒結束並清理
WaitForSingleObject(hThread, INFINITE);
DWORD exitCode; GetExitCodeThread(hThread, &exitCode); // exitCode 為 DLL 基址或 0
CloseHandle(hThread);
VirtualFreeEx(hProc, pRemotePath, 0, MEM_RELEASE);
CloseHandle(hProc);

關鍵細節與避坑

驗證用測試 DLL

BOOL APIENTRY DllMain(HMODULE hMod, DWORD reason, LPVOID) {
    if (reason == DLL_PROCESS_ATTACH) {
        wchar_t msg[64]; swprintf(msg, 64, L"Injected! PID=%u", GetCurrentProcessId());
        MessageBox(NULL, msg, L"RemoteDLL", MB_OK);
    }
    return TRUE;
}

注入後彈窗顯示目標 PID，Process Explorer 可見 DLL 已載入目標模組列表。

防禦視角：如何偵測與阻斷

1. 內核回調：註冊 PsSetCreateThreadNotifyRoutine / PsSetLoadImageNotifyRoutine，監控異常 CreateRemoteThread 與非預期 DLL 載入
2. 用戶模式 Hook 監控：Inline Hook CreateRemoteThread、WriteProcessMemory，記錄呼叫堆疊與參數
3. 完整性等級 (MIC)：低完整性進程無法注入高完整性進程 (UIPI)
4. CFG (Control Flow Guard)：間接呼叫目標必須在編譯期產生的有效清單中，增加 Shellcode 執行難度
5. ACG (Arbitrary Code Guard)：禁止動態分配可執行記憶體，阻斷 Shellcode 落地
6. ETW / Sysmon Event ID 8 (CreateRemoteThread)：日誌審計，關聯進程命令列、父進程、簽名狀態

合法應用場景

• **除錯器/分析器** 注入偵測 DLL
• **熱修補/熱更新** 方案
• **相容性修補** (Application Compatibility Shims)
• **防毒/EDR Agent** 行為監控

結語

CreateRemoteThread 注入是 Windows 進程架構開放性的必然產物。**理解其機制，不是為了攻擊，而是為了建立更堅固的防線**。現代 Windows (10/11) 配合 VBS/HVCI、CET、ACG 等硬體輔助防護，已大幅提升注入門檻。作為開發者，應優先選擇 **文檔化的擴充點** (如 COM 擴充、驅動回調、ETW Provider) 而非灰色地帶技術；作為防禦者，持續更新威脅情報、部署行為分析、啟用核心隔離，才是正道。