DLL後門是駭客植入系統、實現持久化控制的常見手段之一。這類後門通過劫持系統動態鏈接庫（DLL）載入順序，或將惡意DLL植入系統目錄、應用程式目錄，實現代碼注入與權限提升。本文將系統梳理DLL後門的工作原理、常見變種特徵，並提供完整的手工排查與清除流程，幫助管理員徹底清除隱患。

DLL後門核心原理

Windows系統載入DLL時遵循特定搜尋順序：應用程式目錄 → 系統目錄 → 16位系統目錄 → Windows目錄 → 當前工作目錄 → PATH環境變數目錄。駭客利用此機制，將同名惡意DLL放置於優先搜尋路徑，使合法程式載入惡意代碼。常見手法包括：

• DLL劫持：在應用程式目錄放置同名惡意DLL，劫持合法程式調用
• 已知DLL劫持：修改註冊表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs重定向系統核心DLL
• AppInit_DLLs機制濫用：在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs註冊惡意DLL，實現隨user32.dll載入
• 側邊載入：利用簽名合法程式載入同目錄下惡意DLL，繞過信任機制

手工排查關鍵檢查點

1. 註冊表持久化位置檢查

• HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
• HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs
• 各類Run/RunOnce啟動項中引用的DLL路徑

2. 系統關鍵目錄異常DLL掃描

重點檢查以下目錄中非系統簽名、時間異常、體積異常的DLL：

• C:\Windows\System32\、C:\Windows\SysWOW64\
• 各應用程式安裝目錄（特別是常用軟體：瀏覽器、辦公軟體、聊天工具）
• %AppData%、%LocalAppData%、%Temp%等用戶目錄

3. 進程模組異常分析

使用Process Explorer、Process Hacker等工具，檢查可疑進程載入的模組列表，關注：

• 無簽名或簽名驗證失敗的DLL
• 路徑異常（如從Temp、AppData載入的系統DLL）
• 模組描述、公司名稱與檔案屬性不符

完整清除流程

1. 斷網隔離：防止後門持續外連或自我更新
2. 進入安全模式：減少干擾，便於刪除被鎖定檔案
3. 備份註冊表：操作前導出相關鍵值備份
4. 清除註冊表惡意項：刪除上述持久化位置的異常DLL路徑
5. 刪除惡意DLL檔案：配合takeown/icacls獲取所有權後強制刪除
6. 檢查並修復系統檔案：執行sfc /scannow與DISM /Online /Cleanup-Image /RestoreHealth
7. 重啟驗證：觀察啟動項、進程模組、網絡連接是否恢復正常
8. 全盤掃描：使用更新至最新的殺毒引擎進行深度掃描

防範建議

• 啟用DLL簽名強制驗證（組策略：電腦配置 → 管理範本 → 系統 → 驅動程式安裝 → 程式碼簽名）
• 部署應用程式控制策略（AppLocker/WDAC），限制非受信DLL載入
• 定期審計KnownDLLs、AppInit_DLLs等關鍵註冊表項
• 保持系統與軟體更新，修補DLL劫持相關漏洞（如CVE-2020-0787等）
• 採用EDR/XDR方案監控異常DLL載入行為

DLL後門隱蔽性強、清除難度大，但只要掌握核心原理、建立系統化排查流程，配合持續的安全基線管理，即可有效降低風險。安全無絕對，唯有持續防禦與快速響應，才能守住系統防線。