9X 环境中Windows提供了想光的API函数用于隐藏系统进程。但是到了 2000 以上系统，已经无法真正的做到对于进程的隐藏，除非编写底层驱动。但是我们可以通过一些变通的办法来达到隐藏进程的目的，其中一个就是远程注入。简单的说就是先编写一个 API的DLL，然后将这个DLL库注入到一个系统进程中，作为它的一个线程去执行。
要实现DLL注入，首先需要打开目标进程。
hRemoteProcess  =  OpenProcess ( PROCESS_CREATE_THREAD  |  //允许远程创建线程
 　　　 PROCESS_VM_OPERATION　 |  //允许远程VM操作
 　　　 PROCESS_VM_WRITE , 　 //允许远程VM写
 　　　 FALSE ,  dwRemoteProcessId  )
 由于我们后面需要写入远程进程的内存地址空间并建立远程线程，所以需要申请足够的权限（PROCESS_CREATE_THREAD、VM_OPERATION、VM_WRITE）。
如果进程打不开，以后的操作就别想了。进程打开后，就可以建立远线程了，不过别急，先想想这个远线程的线程函数是什么？我们的目的是注入一个DLL。而且我们知道用LoadLibrary可以加载一个DLL到本进程的地址空间。于是，自然会想到如果可以在目标进程中调用LoadLibrary，不就可以把 DLL加载到目标进程的地址空间了吗？对！就是这样。远线程就在这儿用了一次，建立的远线程的线程函数就是LoadLibrary，而参数就是要注入的 DLL的文件名。 ( 这里需要自己想一想，注意到了吗，线程函数ThreadProc和LoadLibrary函数非常相似，返回值，参数个数都一样 )  还有一个问题，LoadLibrary这个函数的地址在哪儿？也许你会说，这个简单，GetProcAddress就可以得出。于是代码就出来了。
 char  * pszLibFileRemote = "my.dll" ;
 PTHREAD_START_ROUTINE pfnStartAddr  = ( PTHREAD_START_ROUTINE ) GetProcAddress ( GetModuleHandle ( "Kernel32" ),  "LoadLibraryA" );
 CreateRemoteThread (  hRemoteProcess ,  NULL ,  0 ,  pfnStartAddr ,  pszLibFileRemote ,  0 ,  NULL );
     但是不对！不要忘了，这是远线程，不是在你的进程里，而pszLibFileRemote指向的是你的进程里的数据，到了目标进程，这个指针都不知道指向哪儿去了，同样pfnStartAddr这个地址上的代码到了目标进程里也不知道是什么了，不知道是不是你想要的LoadLibraryA了。但是，问题总是可以解决的，Windows有些很强大的API函数，他们可以在目标进程里分配内存，可以将你的进程中的数据拷贝到目标进程中。因此 pszLibFileRemote的问题可以解决了。
 char  * pszLibFileName = "my.dll" ; //注意，这个一定要是全路径文件名，除非它在系统目录里；原因大家自己想想。
//计算DLL路径名需要的内存空间
 int  cb  = ( 1  +  lstrlenA ( pszLibFileName )) *  sizeof ( char );
 //使用VirtualAllocEx函数在远程进程的内存地址空间分配DLL文件名缓冲区
 pszLibFileRemote  = ( char  *)  VirtualAllocEx (  hRemoteProcess ,  NULL ,  cb ,  MEM_COMMIT ,  PAGE_READWRITE );
 //使用WriteProcessMemory函数将DLL的路径名复制到远程进程的内存空间
 iReturnCode  =  WriteProcessMemory ( hRemoteProcess ,  pszLibFileRemote , ( PVOID )  pszLibFileName ,  cb ,  NULL );
     OK，现在目标进程也认识pszLibFileRemote了，但是pfnStartAddr好像不好办，我怎么可能知道LoadLibraryA在目标进程中的地址呢？其实Windows为我们解决了这个问题，LoadLibraryA这个函数是在Kernel32 . dll这个核心DLL里的，而这个 DLL很特殊，不管对于哪个进程，Windows总是把它加载到相同的地址上去。因此你的进程中LoadLibraryA的地址和目标进程中 LoadLibraryA的地址是相同的 ( 其实，这个DLL里的所有函数都是如此 ) 。至此，DLL注入结束了。
 
但是目前还有一个问题，上面的方法是无法将DLL注入到系统进程中去的，原因是进程级别不够。那么我们就要提升注入程序的进程级别。使用下面的函数：
 void  EnableDebugPriv (  void  )
{
  HANDLE hToken ;
  LUID sedebugnameValue ;
  TOKEN_PRIVILEGES tkp ;
  if  ( !  OpenProcessToken (  GetCurrentProcess (),
   TOKEN_ADJUST_PRIVILEGES  |  TOKEN_QUERY , & hToken  ) )
   return ;
  if  ( !  LookupPrivilegeValue (  NULL ,  SE_DEBUG_NAME , & sedebugnameValue  ) ){
   CloseHandle (  hToken  );
   return ;
 }
  tkp . PrivilegeCount  =  1 ;
  tkp . Privileges [ 0 ]. Luid  =  sedebugnameValue ;
  tkp . Privileges [ 0 ]. Attributes  =  SE_PRIVILEGE_ENABLED ;
  if  ( !  AdjustTokenPrivileges (  hToken ,  FALSE , & tkp ,  sizeof  tkp ,  NULL ,  NULL  ) )
   CloseHandle (  hToken  );
}
 
 
 
 最后我们来做一个简单的例子：
首先编写注入程序的代码
 // DLLAdd.cpp : Defines the entry point for the application.
//
 #include  "stdafx.h"
 #include  "winnt.h"
 void  EnableDebugPriv ();
 int  APIENTRY WinMain ( HINSTANCE hInstance ,
                      HINSTANCE hPrevInstance ,
                      LPSTR     lpCmdLine ,
                      int        nCmdShow )
{
  EnableDebugPriv ();
   // TODO: Place code here.
  HANDLE hRemoteProcess ;
  HANDLE hRemoteThread ;
  //PWSTR pszLibFileRemote;
 //LPCWSTR pszLibFileName;
  BOOL iReturnCode ;
  char  * pszLibFileRemote = "RemoteDLL.dll" ;
  char  * pszLibFileName = "C:\\RemoteDLL.dll" ; //注意，这个一定要是全路径文件名，除非它在系统目录里
  hRemoteProcess  =  OpenProcess ( PROCESS_CREATE_THREAD
         | PROCESS_VM_OPERATION
         | PROCESS_VM_WRITE ,
         FALSE , 0x3E0 ); //0x3E0是进程的id，测试时是explorer的进程id，可以用spy＋＋去查找。
 //计算DLL路径名需要的内存空间
  int  cb  = ( 1  +  lstrlenA ( pszLibFileName )) *  sizeof ( char );
  //使用VirtualAllocEx函数在远程进程的内存地址空间分配DLL文件名缓冲区
  pszLibFileRemote  = ( char  *)  VirtualAllocEx ( hRemoteProcess ,  NULL ,  cb ,
             MEM_COMMIT ,  PAGE_READWRITE );
  //使用WriteProcessMemory函数将DLL的路径名复制到远程进程的内存空间
  iReturnCode  =  WriteProcessMemory ( hRemoteProcess ,
     pszLibFileRemote , ( PVOID )  pszLibFileName ,  cb ,  NULL );
  //计算LoadLibraryW的入口地址
  PTHREAD_START_ROUTINE pfnStartAddr  = ( PTHREAD_START_ROUTINE )
           GetProcAddress ( GetModuleHandle ( TEXT ( "Kernel32" )),
           "LoadLibraryA" );
  //启动远程线程LoadLibraryW，通过远程线程调用用户的DLL文件
  hRemoteThread  =  CreateRemoteThread (  hRemoteProcess ,  NULL ,  0 ,
           pfnStartAddr ,  pszLibFileRemote ,  0 ,  NULL );

  return  0 ;
}
 
 //提升权限
 void  EnableDebugPriv (  void  )
{
  HANDLE hToken ;
  LUID sedebugnameValue ;
  TOKEN_PRIVILEGES tkp ;
  if  ( !  OpenProcessToken (  GetCurrentProcess (),
   TOKEN_ADJUST_PRIVILEGES  |  TOKEN_QUERY , & hToken  ) )
   return ;
  if  ( !  LookupPrivilegeValue (  NULL ,  SE_DEBUG_NAME , & sedebugnameValue  ) ){
   CloseHandle (  hToken  );
   return ;
 }
  tkp . PrivilegeCount  =  1 ;
  tkp . Privileges [ 0 ]. Luid  =  sedebugnameValue ;
  tkp . Privileges [ 0 ]. Attributes  =  SE_PRIVILEGE_ENABLED ;
  if  ( !  AdjustTokenPrivileges (  hToken ,  FALSE , & tkp ,  sizeof  tkp ,  NULL ,  NULL  ) )
   CloseHandle (  hToken  );
}
 
 

 然后编写需要注入的DLL的代码

 #include  "stdafx.h"
 #include  "winnt.h"
 #include  < stdlib . h >
 BOOL APIENTRY DllMain (  HANDLE hModule ,
                        DWORD  ul_reason_for_call ,
                        LPVOID lpReserved
       )
{
  char  szProcessId [ 64 ];
  int  i = 1 ;
  switch ( ul_reason_for_call )
 {
  case  DLL_PROCESS_ATTACH :
  {
    _itoa ( GetCurrentProcessId (), szProcessId , 10 );
    MessageBox ( NULL , szProcessId , "RemoteDLL" , MB_OK );
  }
  default :
   return  TRUE ;
 }
}
 
 将编译好的dll放到C盘根目录下面运行注入程序。我们可以发现弹出了一个标示了被注入进程id的对话框。
如上，只要我们再dll中编写我们需要的代码，就可以隐秘的在电脑里执行我们需要的事情。