DLL注入至explorer.exe失败：MessageBox未弹出求助

问题描述 #

尝试将HelloWorldDLL.dll注入explorer.exe进程，注入程序无报错、执行流程看似正常，但附加进程后MessageBox并未弹出。已确认注入程序与DLL均为x64架构，验证了进程句柄、函数指针、内存缓冲区等参数有效，且完全关闭Windows Defender排查拦截，但问题仍未解决。

代码中的低级错误及修复方案 #

1. 内存分配与写入未处理宽字符串终止符 #

这是核心问题：调用VirtualAllocEx和WriteProcessMemory时，仅用wcslen(dllfullpath)计算长度，既没考虑宽字符串的终止符\0，也没将字符数转换为字节数（每个宽字符占2字节）。目标进程中存储的DLL路径会因缺少终止符无法被LoadLibraryW识别，导致加载失败。

错误代码片段：

LPVOID lpBufTargetProc = VirtualAllocEx(hTargetProcess, NULL, wcslen(dllfullpath), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
// ...
int res = WriteProcessMemory(hTargetProcess, lpBufTargetProc, dllfullpath, wcslen(dllfullpath), &nbyteswritten);

修复后：

size_t dllPathByteSize = (wcslen(dllfullpath) + 1) * sizeof(wchar_t); // +1 预留终止符空间，转字节数
LPVOID lpBufTargetProc = VirtualAllocEx(hTargetProcess, NULL, dllPathByteSize, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
// ...
int res = WriteProcessMemory(hTargetProcess, lpBufTargetProc, dllfullpath, dllPathByteSize, &nbyteswritten);

2. findProcess函数存在资源泄漏 #

找到目标进程返回句柄前，未关闭CreateToolhelp32Snapshot创建的快照句柄hProcessSnap，会造成系统资源泄漏。

错误代码片段：

if (hProcess != NULL) {
    return hProcess;
}

修复后：

if (hProcess != NULL) {
    CloseHandle(hProcessSnap); // 关闭快照句柄
    return hProcess;
}

同时需确保所有函数出口路径都关闭快照句柄，比如循环结束返回NULL前也要调用CloseHandle(hProcessSnap)。

3. OpenProcess权限过大 #

PROCESS_ALL_ACCESS权限过高，在Windows 10/11等高版本系统中可能因权限不足导致进程打开失败（即使当前进程有管理员权限）。注入仅需最小必要权限：

hProcess = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ, FALSE, pe32.th32ProcessID);

4. DLL中线程句柄未关闭 #

DLL的DllMain调用CreateThread后，未关闭返回的线程句柄，虽线程退出后系统会自动释放，但显式关闭是良好编程习惯：

修复后DLL代码片段：

case DLL_PROCESS_ATTACH:
{
    HANDLE hThread = CreateThread(NULL, NULL, MessageBoxThread, NULL, NULL, NULL);
    if (hThread != NULL) {
        CloseHandle(hThread);
    }
    break;
}

额外排查建议 #

• 确认DLL路径绝对正确：注入前用MessageBox弹出dllfullpath，检查路径是否存在错误（比如DLL是否与注入程序同目录、路径是否含特殊字符）。
• 验证DLL是否加载：用Process Explorer查看explorer.exe的已加载模块列表，确认HelloWorldDLL.dll是否存在。
• 提升注入程序权限：右键以管理员身份运行注入程序，避免权限不足导致的隐性失败。

内容的提问来源于stack exchange，提问作者xTom