远程线程的创建步骤（附源码）

（1）用VirtualAllocEx函数在远程进程的地址空间中分配一块内存。

（2）用WriteProcessMemory函数反映Dll的路径名复制到第1步分配的内存中

（3）用GetProcAddress函数来得到LoadLibrary W(或A)函数在Kernel32.dll的真实地址。

（4）用CreateRemoteThread函数在远程进程中创建一个线程，让新线程调用正确的LoadLibrary函数并在参数中传入第1步分配的内存地址。这时，DLL己经被注入到远程进程的地址空间中，DLL的DllMain函数会收到DLL_PROCESS_ATTACH通知并县城可以执行我们想要执行的代码。当DllMain返回时，远程线程会从线程函数（LoadLibraryW/A）调用返回到线程启动函数RtlUserThreadStart(该函数的实现可参考第6章)，最后调用ExitThread使远程线程终止。

（5）此时远程进程中那块在第1步分配的内存还在，DLL也还在远程进程的地址空间中。这里只需调用VirtualFreeEx就可以释放远程进程的内存。

（6）但DLL的释放，要先通过GetProcAddress获得FreeLibrary的地址，然后再通过CreateRemoteThread在远程进程中创建一个线程，让该线程调用FreeLibrary，pvParam参数传入远程DLL中句柄。