APC注入图文教程：手把手带你搞懂这个“老牌”注入手法，别再说你不会了！
嗨，各位搞安全测试的小伙伴们，大家好呀！今天咱们来聊一个听起来有点“高大上”，但实际上只要你跟着我的节奏走，就一定能搞明白的东西——APC注入，说实话，我刚接触这个的时候也是一头雾水，心里想：“这啥玩意儿啊？怎么一会儿线程一会儿队列的？” 别急，今天这篇APC注入图文教程，就是专门写给和我一样曾经懵圈的你，咱们不整那些虚头巴脑的官方定义，就用大白话+实操思路,把它扒个底朝天。
先别慌，APC到底是个啥？
你肯定知道，Windows里边线程是干活的基本单位，但是呢，线程有时候也会“偷懒”，或者说它得等着别人给它派活，APC，全称叫异步过程调用（Asynchronous Procedure Call），你可以把它想象成线程的“待办事项列表”，每个线程都有一个自己的APC队列，当线程处于“可提醒状态”（比如调用了SleepEx、WaitForSingleObjectEx这些函数）的时候，系统就会去看看它队列里有没有排队的APC,有的话就拿出来执行。
那APC注入是啥呢？简单粗暴地说，就是攻击者（或者咱们做测试的）往目标进程的某个线程的APC队列里，硬塞进去一个我们自己的函数地址，等那个线程一“醒”过来，就会傻乎乎地去执行我们的代码，哎，你说这招阴不阴？但确实好用啊！
为啥要学APC注入？它不香吗？
有人可能会问：“现在都什么年代了，还学APC注入？直接远程线程注入不行吗？” 哎，这你就不懂了吧。APC注入有它独特的优势：
- 不需要在目标进程创建新线程——很多安全软件对
CreateRemoteThread盯得死死的，你一调它就报警，但APC注入是利用现有线程,动静小很多。 - 执行时机可控——你得等目标线程进入可提醒状态，虽然有点“守株待兔”的感觉，但一旦成功,那是真稳。
- 经典且通用——从XP到Win10/Win11，这套机制一直存在，学会它,你对Windows线程调度的理解能上一个大台阶。
所以啊，这篇APC注入图文教程,你算是看对了！
动手之前，先把这几个关键API混个脸熟
别急着写代码，咱们先认认门,APC注入主要用到这几个函数：
OpenProcess：拿到目标进程的句柄，这是第一步,没它啥也干不了。VirtualAllocEx：在目标进程里申请一块内存,用来放我们的shellcode或者DLL路径。WriteProcessMemory：把我们的“私货”写进去。QueueUserAPC：核心中的核心！ 这个函数就是往指定线程的APC队列里塞东西，第一个参数是APC函数的地址，第二个是线程句柄,第三个是传给APC函数的参数。ResumeThread/WaitForSingleObjectEx：想办法让目标线程进入可提醒状态。
你看，其实没几个函数对吧？比想象中简单多了。
APC注入图文教程：一步一步跟我做
好，接下来就是真刀真枪的环节了，我尽量说得细一点,你跟着我的思路走。
第一步：找目标进程
假设我们要注入一个记事本（notepad.exe），先用CreateToolhelp32Snapshot或者Process32First/Next遍历进程，拿到notepad的PID，这个没啥好说的,基础操作。
第二步：打开进程，申请内存
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid); LPVOID pRemoteMem = VirtualAllocEx(hProcess, NULL, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
注意啊，这里权限尽量给足，不然写不进去。PAGE_EXECUTE_READWRITE是为了后面能执行。
第三步：写入我们的“payload”
把shellcode或者DLL的完整路径写进去：
WriteProcessMemory(hProcess, pRemoteMem, shellcode, sizeof(shellcode), NULL);
如果是DLL注入，那就写路径字符串，然后APC函数用LoadLibraryA的地址,懂我意思吧？
第四步：找到目标线程，排队！
这一步是关键，你得遍历目标进程的所有线程,拿到线程ID和句柄。
QueueUserAPC((PAPCFUNC)pRemoteMem, hThread, (ULONG_PTR)NULL);
哎，这里有个坑！QueueUserAPC的第一个参数必须是APC函数的地址，如果你写的是shellcode，那pRemoteMem就是函数地址；如果你要加载DLL，那第一个参数应该是LoadLibraryA的地址（因为系统里每个进程的kernel32基址可能不同，但通常同版本系统下差不多，更稳妥的是动态获取）。
第五步：触发执行——让线程“醒过来”
光排队没用啊，线程不进入可提醒状态，APC永远不会执行，怎么办？常见做法是：
- 如果目标线程正在
Sleep，那它本身就是可提醒的,直接就会执行。 - 如果不是，我们可以用
ResumeThread去“骚扰”一下它，或者等它自己调用WaitForSingleObjectEx。 - 更暴力一点：对目标进程的所有线程都排一遍APC,总有一个会中招。
我一般喜欢把所有线程都排上，然后等着，成功率嘛，看运气,但大多数情况下几秒钟内就会触发。
几个容易翻车的地方，我替你踩过坑了
- 32位 vs 64位：如果你的注入器是32位，目标进程是64位，那
QueueUserAPC会失败，反过来也一样,所以位数一定要匹配！ - APC函数签名：
QueueUserAPC要求APC函数是void CALLBACK APCProc(ULONG_PTR dwParam)这种形式，如果你直接塞shellcode，那shellcode得自己处理好返回,不然线程就崩了。 - 权限不够：
OpenProcess失败？试试用管理员权限运行你的注入器。 - 目标线程死了：你刚排完队，线程退出了，那APC就泡汤了,所以尽量选那些长期存在的线程。
最后说两句掏心窝子的话
我知道，网上关于APC注入图文教程的文章一抓一大把，但很多都是贴一堆代码就完事，也不管你看不看得懂，我这篇呢，尽量把“为什么”和“怎么想”都讲清楚，你要是跟着一步步试了，发现哎真的弹出了计算器，或者DLL真的被加载了，那种成就感，啧啧,别提多爽了。
当然啦，技术本身没有好坏，关键看用在哪儿，咱们学这个是为了做安全测试、搞逆向分析，或者单纯满足好奇心。千万别拿去干坏事，不然下一个进去的就是你,我可提醒过了啊！
好了，这篇APC注入图文教程就到这儿，如果你觉得有用，记得回来给我点个赞，或者转发给那个整天问你“APC是啥”的兄弟，有啥问题评论区见，我看到会回，咱们下期再见,拜拜！