将资源加载到内存，然后把DLL文件按照映像对齐大小映射到内存中，切不可直接将DLL文件数据存储到内存中。
因为根据PE结构的基础知识可知，PE文件有两个对齐字段，一个是映像对齐大小SectionAlignment，另一个是文件对齐大小FileAlignment。
其中，映像对齐大小是PE文件加载到内存中所用的对齐大小，而文件对齐大小是PE文件存储在本地磁盘所用的对齐大小。一般文件对齐大小会比映像对齐大小要小，这样文件会变小，以此节省磁盘空间。
然而，成功映射内存数据之后，在DLL程序中会存在硬编码数据，硬编码都是以默认的加载基址作为基址来计算的。由于DLL可以任意加载到其他进程空间中，所以DLL的加载基址并非固定不变。当改变加载基址的时候，硬编码也要随之改变，这样DLL程序才会计算正确。
但是，如何才能知道需要修改哪些硬编码呢？换句话说，如何知道硬编码的位置？答案就藏在PE结构的重定位表中，重定位表记录的就是程序中所有需要修改的硬编码的相对偏移位置。根据重定位表修改硬编码数据后，这只是完成了一半的工作。
DLL作为一个程序，自然也会调用其他库函数，例如MessageBox。
那么DLL如何知道MessageBox函数的地址呢？
它只有获取正确的调用函数地址后，方可正确调用函数。PE结构使用导入表来记录PE程序中所有引用的函数及其函数地址。在DLL映射到内存之后，需要根据导入表中的导入模块和函数名称来获取调用函数的地址。
若想从导入模块中获取导出函数的地址，最简单的方式是通过GetProcAddress函数来获取（此次采用的方法）。但是为了避免调用敏感的WIN32 API函数而被杀软拦截检测，采用直接遍历PE结构导出表的方式来获取导出函数地址。
判断dll是否内存加载
.net程序
1、将dll拖入到dnspy中，使用dnspy进行调试，并且启动；
2、调试-》窗口-》模块；
3、然后继续运行程序，可以看到InMemory显示“是”，即可判断内存加载dll。
