问从注入的DLL中向现有线程添加工作负载

EN

这是可能的，但如此复杂，不一定在所有情况下都有效。您需要拼接现有线程的机器代码，因此需要对代码页内存进行写访问。逻辑：

1. 查找线程id和线程句柄，然后使用SuspendThread WINAPI调用
2. 挂起的线程现在可以处于等待状态或处于系统DLL调用状态，因此需要分析当前的执行堆栈，对其进行回溯，并从应用程序空间查找执行地址。在某些情况下，您需要API函数StackWalk和PDB文件。它还依赖于运行的体系结构(x86，amd64，.)。遍历堆栈，直到您的EIP/RIP不会在应用程序内存地址空间
3. 解码机器指令(它将是‘调用’)和连接下一个指令到您的函数调用。您需要使用instructions.
4. ResumeThread

(裸的)声明函数或执行代码并替换__declspec的__declspec实现函数。

此方法只能工作一次，因为不能保证在循环中执行应用程序代码。