近年興起的「DLL木馬」憑藉極高隱蔽性成為木馬進化新方向。本文從DLL技術原理切入，層層剖析其運行機制與防禦難點。

一、DLL技術演進：從靜態到動態

早期靜態鏈接將庫代碼完整編譯進EXE，導致程式臃腫。Windows引入動態鏈接庫（DLL），將通用代碼編譯為獨立檔案，運行時按需載入內存、多進程共享，實現「取用所需、用完即走」的輕量化架構。Windows核心本身即由數千DLL構成。

二、API接口：DLL的「工具箱」

DLL通過應用程式介面（API）對外暴露功能入口。核心三大DLL——kernel32.dll（核心服務）、user32.dll（用戶界面）、gdi32.dll（圖形繪圖）構成系統基礎框架。程式調用API如同從工具箱取工具，用畢歸位。

三、DLL與木馬的結合

DLL本質是編譯好的代碼，僅缺少 main 入口。木馬作者將木馬功能代碼封裝為DLL，導出特定API，外觀上只是普通庫檔案，實則攜帶完整監控、竊密、遠控功能。核心優勢：DLL運行時掛載於調用進程內，不創建獨立進程，極難被任務管理器發現。

四、DLL載入入口：DllMain

Windows載入DLL時會自動尋找並執行 DllMain 函數（類比EXE的main）。若缺失，系統會提供一個空的預設 DllMain 使其載入。木馬作者必須在 DllMain 或其調用的模組中植入啟動邏輯。

五、DLL木馬核心技術拆解

1. 木馬主體結構

不可將所有代碼暴露為API，需保留內部函數供自身調用。標準執行入口為 DllMain，在此編寫核心邏輯或跳轉至執行模組。

2. 動態嵌入（注入）技術

利用遠程線程將DLL注入 explorer.exe、svchost.exe 等關鍵系統進程。注入後無新進程產生，若掛載於 explorer.exe，殺毒意味著關閉Windows桌面，進退維谷。

3. 啟動機制：Loader的關鍵角色

DLL無法直接放入啟動項，需一個 Loader（EXE載入器） 完成注入。常見Loader類型：
• rundll32.exe 直接調用導出函數啟動（如3721早期版本）；
• 註冊表 AppInit_DLLs 鍵值由內核載入（穩定性要求極高，如求職信病毒）；
• 寫為NT Service掛載於 svchost.exe（隱蔽性佳，Loader受保護）。

4. 雙刃劍：穩定性風險

DLL木馬若編寫粗糙（缺異常處理、輸入驗證），崩潰將拖垮宿主進程。若宿主為系統關鍵進程，後果為系統藍屏或崩潰。這也是成熟DLL木馬稀少的主因——「寫不好不敢用，寫好太難」。

結語

DLL木馬將「代碼復用」推向極致，以動態注入實現進程級隱身。防禦端需從進程模組枚舉、異常線程監控、關鍵進程完整性校驗等維度佈防，單純掃描檔案特徵碼已難奏效。