反射DLL新手教程

反射DLL新手教程：哎哟喂，原来这东西也没那么玄乎！

我当初也是一脸懵圈

兄弟们,说实话啊，我第一次听到“反射DLL”这五个字的时候，心里真是咯噔一下——啥玩意儿？反射？DLL？这俩词凑一块儿是要闹哪样？我当时跟你们现在的心情估计一模一样，满脑子都是“我是谁？我在哪？我要学这玩意儿干嘛？”

反射DLL新手教程

不过呢,等我真的静下心来研究了两三天，哎，你猜怎么着？这东西其实就跟咱们平时吃饭用筷子一样，看着复杂，捅破那层窗户纸，真没啥高深的！今天我就以一个过来人的身份，拉着你的小手，一步步把这反射DLL的底裤扒干净咯！

反射DLL是个什么鬼？跟普通DLL有啥区别?

咱们先唠唠普通的DLL加载方式,你平时用LoadLibrary加载一个DLL，Windows系统会帮你把这个文件从头到尾处理一遍——映射到内存、解析导入表、处理重定位、调用DllMain……每一步系统都给你安排得明明白白的，说白了，你得把DLL文件放到磁盘上，系统才愿意搭理你。

反射DLL这家伙就邪门了——它不需要落地到磁盘！你直接从内存里丢给它一段DLL的字节流，它自己就能在内存里把自己“撑开”活过来，你想啊，这不就跟孙悟空从耳朵里掏出金箍棒一样神奇吗？直接在内存里变戏法，文件系统根本不知道发生了什么！

“反射”在哪儿？ 其实这个“反射”指的是加载过程是在内存中对自身进行操作，而非依赖操作系统的加载器，它在内存中模拟了LoadLibrary的整个流程，自己解析自己的头结构，自己搞定重定位和导入表，这么说吧，系统加载器干的活，它自己全包圆了。

新手最容易卡住的三个坑（我全踩过！）

① 重定位真是个磨人的小妖精！

哎呀,说到这个我就来气！我第一写反射DLL加载器的时候，折腾了一整天结果一运行就崩，后来才发现是重定位表没处理好，你看啊，代码里到处都是绝对地址，编译器生成的时候是按基地址0x10000000算的，但加载器把DLL塞到别的地址去了，那这些地址不就成了“瞎指路”了吗？

处理重定位其实就四步：

先算出差值delta = 实际基址 - 首选基址
找到重定位表（.reloc段）
遍历每一个重定位块,把每个需要修正的地址加上delta
走完所有块才算是理完了

我当时就是漏了遍历多个块这一步,结果就翻车了，新手记住啊：重定位表可能有多个块！千万别只处理第一个！

② 导入表——不是我导入，而是我要导入别人的函数

你的反射DLL里面如果调用了MessageBox或者CreateThread这些API，那DLL自己是不带这些代码的，它依赖于系统DLL（比如user32.dll、kernel32.dll）导出的函数，所以在内存中加载的时候，你得帮它挨个解析IMAGE_IMPORT_DESCRIPTOR，去找到对应的DLL模块，再找到对应的函数地址，填进去，这个步骤少了，调用API时直接崩溃没商量。

我当时傻乎乎地以为只要内存DLL不落地,就不用管导入表了，结果Windows马上给我一巴掌——程序直接“啪”一下没了，啥提示都没有，真是欲哭无泪啊，兄弟们！

③ 调用 DllMain 的那一下，甭提多紧张了！

等到前面这些步骤都走通了,你就需要找到DLL的入口点（AddressOfEntryPoint），然后通过函数指针去调用它，此时的参数你要传DLL_PROCESS_ATTACH，这一步成功，你就能听到DLL在内存里跟你说“我已就位”了，那个瞬间，我差点跳起来，真的！比打游戏赢了还开心，谁懂啊！

咱们来撸一个最小加载器代码（纯C思路）

// 反射加载函数
HMODULE ReflectiveLoad(BYTE* pBuffer) {
    PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)pBuffer;
    if (pDos->e_magic != IMAGE_DOS_SIGNATURE) return NULL;
    PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pBuffer + pDos->e_lfanew);
    if (pNt->Signature != IMAGE_NT_SIGNATURE) return NULL;
    // 获取各段信息
    DWORD dwSize = pNt->OptionalHeader.SizeOfImage;
    DWORD dwBase = (DWORD)VirtualAlloc(NULL, dwSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    // 拷贝所有头
    memcpy(dwBase, pBuffer, pNt->OptionalHeader.SizeOfHeaders);
    // 循环拷贝每个节
    PIMAGE_SECTION_HEADER pSec = (PIMAGE_SECTION_HEADER)((BYTE*)&pNt->OptionalHeader + pNt->FileHeader.SizeOfOptionalHeader);
    for (int i = 0; i < pNt->FileHeader.NumberOfSections; i++) {
        memcpy((BYTE*)dwBase + pSec[i].VirtualAddress, pBuffer + pSec[i].PointerToRawData, pSec[i].SizeOfRawData);
    }
    // 处理重定位表...
    // 处理导入表...
    // 调用入口点
    DWORD dwEntry = dwBase + pNt->OptionalHeader.AddressOfEntryPoint;
    ((BOOL(WINAPI*)(HMODULE, DWORD, LPVOID))dwEntry)((HMODULE)dwBase, DLL_PROCESS_ATTACH, NULL);
    return (HMODULE)dwBase;
}

看完了是不是觉得,咦？好像也就这么回事儿？真正完整的过程还需要处理重定位和导入表，如果还有延迟加载导入表（延迟导入）也得逐一应付，不过新手可以先把上面这个框架跑起来，再逐步去补全细节。

反射DLL到底有啥用？别告诉我就为了装酷！

哈哈,问得好！说实在的，我一开始就是觉得“能在内存里跑DLL”这件事本身就酷毙了，但除了装酷，反射DLL也是有一些非常实际的应用场景的：

规避杀软的文件扫描：正常加载DLL需要磁盘文件，杀软很容易静态拦截，反射DLL直接内存干活，坏蛋们经常用，但我们做安全研究的也用它做红队测试或应急响应。
插件系统的灵活加载：有些软件不希望用户把插件文件散落全局，直接从一个加密资源或网络流中加载，反射DLL就能派上用场。
文件锁定问题：正常加载的DLL文件是不能删除或更新的，反射DLL没这烦恼，直接把数据吐进内存，磁盘上的原文件随便处理，多自在！

不过嘛,学这个技术千万要用在正途上！我都是拿它来做免杀研究和恶意代码分析的，要是你拿它去搞破坏，小心警察叔叔顺着网线找到你哦，咱们得做遵纪守法的好公民！

分享几个我摸爬滚打总结的小技巧（实践出真知！）

先写好一个正常的DLL，用LoadLibrary加载调通了，再把这套DLL改成反射加载方式，代码逻辑一点一点排查，心里不慌。
时刻检查对齐方式！有时候你编译的DLL磁盘对齐和内存对齐的大小不一致，拷贝节区域的时候一定要用VirtualAddress和SizeOfRawData分别去处理，千万别混为一谈。
多打日志，把每一步的关键地址都打印出来，哪个环节出了幺蛾子一目了然，那时候你会觉得日志就是你黑暗中的一盏明灯呀！
别上来就抱怨看不懂PE结构，谁不是从两眼一抹黑熬出来的，拆开揉碎，一步一步跟着调试，慢慢你就豁然开朗了。

最后的碎碎念

说实话,学反射DLL这段时间，我头发掉了不少，咖啡喝了无数杯，中间也有想摔键盘的时刻——比如调试了一整天发现只是少了个，气不气？气得我想把显示器吃了！但是呢，当你终于看到内存里的DLL被自己亲手写的加载器唤醒时，那种成就感，那种浑身起鸡皮疙瘩的感觉，真不是一般的东西能比的！

如果你现在正卡在某个细节上,怎么看都找不到问题所在，别灰心，喝口水，站起来走两步，回头再看一眼PE结构图，说不定灵光一闪就通了呢！我们一起加油，在二进制的世界里披荆斩棘吧！

好啦,今天这篇反射DLL新手教程就先聊到这儿，如果你觉得对你有启发，或者有什么不懂的地方，欢迎随时跟我交流，我还记得当初自己一个人摸索时的孤独感，希望我的文字能成为你的一束光哈！加油加油！💪

极客网安

反射DLL新手教程