考虑一下反射 DLL 注入是什么：您利用应用程序让它执行任意代码，然后这个 shell 代码将一个 DLL 作为数据块加载到内存中（到目前为止所有标准 shell 代码的东西......），然后让它执行这样的DLL 通过 PE 加载器将自身作为 DLL 正确加载。整个想法的目的：让您编写一个完整的应用程序，该应用程序可以用您选择的语言编译成 DLL，而不是将整个恶意软件编写为具有固定内存偏移的汇编代码。

因此，要进行检测，您需要查找仅存在于内存中而不存在于磁盘上并且正在其中运行代码的 PE 文件。因此，通过可执行内存 blob 扫描看起来像 PE 文件但与磁盘文件无关的东西。这可以作为开发后取证来完成。或者，如果您想实时检测通常与反射 DLL 注入相关的挂钩调用，例如 LoadLibrary、GetProcAddress 和 VirtualAlloc，并更智能地执行上一步。见ambuships.com

我知道这已经很老了，但我正在为将来可能遇到的其他人添加这个。

诸如遍历 VAD 树之类的技术对于查找反射注入的 DLL 很有用，只要它们没有使用特定的反取证技术来掩盖其在该区域的踪迹。2007 年有一篇关于此的取证论文 ( PDF )，可能有助于未来检测这些问题的努力。

检测并不像在进程的 PEB（进程环境块，反射 DLL 未注册）中查看加载的模块列表那样简单；但是，通过良好的交叉引用和此类工具可以使用 VAD 树进行检测。VAD 树可以在进程的 EPROCESS 块中找到（存储在系统空间中）。

我编写了一个工具（在 C# 和 powershell 中使用反射），它遍历线程堆栈并使用 GetMappedFile 报告函数调用的加载位置。如果 MappedFile 属性为空，则显示所有函数从哪里执行（即哪个 dll 和磁盘上的位置），很可能是反射加载的；）https://github.com/secabstraction/PowerWalker

我已经完成了一个大型安全产品。VAD 在内核模式下行走，还借助检测远程线程的功能。

首先，您检测远程线程以获取内存位置。注入的线程大多有一个不在应用程序加载的任何模块中的起始地址。这不会发生，之后您可以在内存中回溯并检测 PE 标头或 IAT/EAT 部分，这可以帮助定位注入恶意代码的位置