• DLL注入——使用远程线程

    1.简介

    从根本上来说，DLL注入技术要求目标进程中的一个线程调用LoadLibrary来载入我们想要的DLL。由于我们不能轻易地控制别人进程中的线程，因此这种方法要求我们在目标进程中创建一个新的线程，Windows提供了创建远程线程的函数。

    1. HANDLE CreateRemoteThread(
    2.   [in]  HANDLE                 hProcess,
    3.   [in]  LPSECURITY_ATTRIBUTES  lpThreadAttributes,
    4.   [in]  SIZE_T                 dwStackSize,
    5.   [in]  LPTHREAD_START_ROUTINE lpStartAddress,
    6.   [in]  LPVOID                 lpParameter,
    7.   [in]  DWORD                  dwCreationFlags,
    8.   [out] LPDWORD                lpThreadId
    9. );
    • hProcess：用于创建线程的进程的句柄。
    • lpThreadAttributes：指向SECURITY_ATTRIBUTES结构的指针，该结构确定返回的句柄是否可以被子进程继承。
    • dwStackSize：堆栈的初始大小，以字节为单位。如果此参数为零，则新线程使用默认大小。
    • lpStartAddress：指向线程要执行的应用程序定义函数的指针。
    • lpParameter：指向要传递给线程的变量的指针。
    • dwCreationFlags：控制线程创建的标志。
    • lpThreadId：指向接收线程标识符的变量的指针。如果该参数为NULL，则不返回线程标识符。

    2.步骤

    • 用VirtualAllocEx函数在远程进程的地址空间中分配一块内存。
    • 用WriteProcessMemory函数把DLL的路径名复制到第一步分配的内存中。
    • 用GetProcAddress函数来得到LoadLibraryW或LoadLibraryA函数的实际地址（在Kernel32.dll中）
    • 用CreateRemoteThread函数在远程进程中创建一个线程，让新线程调用正确的LoadLibrary函数并在参数中传入第一步分配的内存地址。这时，DLL已经被注入到远程进程的地址空间中，DLL的DllMain函数会收到DLL_PROCESS_ATTACH通知并且执行我们想要执行的代码。
    • VirtualFreeEx来释放第1步分配的内存。
    • 用GetProcAddress函数来得到FreeLibrary函数的实际地址（在Kernel32.dll中）
    • 用CreateRemoteThread函数在远程进程中创建一个线程，让新线程调用FreeLibrary函数并在参数中传入远程DLL的HMODULE。

    步骤1、2、3原理简介：

    字符串“D://remoteDll.dll”，位于调用进程的空间地址中，我们把这个地址传给新创建的远程线程，远程线程再把它传给LoadLibrary，当LoadLibrary去访问这个内存地址的时候，DLL的路径字符串并不在那里，远程进程的线程就很可能引发访问违规。为了解决这个问题，我们需要把DLL的字符串存放到远程进程的地址空间中去，所以会使用VirtualAllocEx和WriteProcessMemory方法。

    3.示例

    3.1先做一个动态库remoteDll.dll

    此库的功能是，一旦被注入到进程的地址空间中，就报告该进程正在使用的所有DLL，并将打印信息写入到本地文件D://out.txt中。

    1. const char* filepath = "D://out.txt";
    2.  
    3. BOOL APIENTRY DllMain( HMODULE hModule,
    4.                        DWORD  ul_reason_for_call,
    5.                        LPVOID lpReserved
    6.                      )
    7. {
    8.     switch (ul_reason_for_call)
    9.     {
    10.     case DLL_PROCESS_ATTACH:
    11.     {
    12.         FILE* fp = freopen(filepath, "w", stdout);
    13.         
    14.         PBYTE pb = NULL;
    15.         MEMORY_BASIC_INFORMATION mbi;
    16.         while (VirtualQuery(pb, &mbi, sizeof(mbi)) == sizeof(mbi))
    17.         {
    18.             int nlen;
    19.             char szModName[MAX_PATH];
    20.             if (mbi.State == MEM_FREE)
    21.                 mbi.AllocationBase = mbi.BaseAddress;
    22.             if ((mbi.AllocationBase == hModule) || (mbi.AllocationBase != mbi.BaseAddress) || (mbi.AllocationBase == NULL))
    23.                 nlen = 0;
    24.             else
    25.             {
    26.                 nlen = GetModuleFileNameA((HINSTANCE)mbi.AllocationBase, szModName, _countof(szModName));
    27.             }
    28.             if (nlen > 0)
    29.             {
    30.                 char szBuf[MAX_PATH] = { 0 };
    31.                 wsprintfA(szBuf, "\n%p-%s", mbi.AllocationBase, szModName);
    32.                 printf("%s\n", szBuf);
    33.             }
    34.  
    35.             pb += mbi.RegionSize;
    36.         } 
    37.  
    38.         fclose(fp);
    39.     }
    40.     break;
    41.     case DLL_THREAD_ATTACH:
    42.     case DLL_THREAD_DETACH:
    43.     case DLL_PROCESS_DETACH:
    44.         break;
    45.     }
    46.     return TRUE;
    47. }

    3.2写一个测试程序

    新建一个带界面的程序

    改了一下窗口界面，这里加了一个菜单项注入。

    点击注入出现弹窗，如下图所示。

    输入进程ID，点击确定即可，下面是注入的回调函数。

    1. // “注入”框的消息处理程序。
    2. INT_PTR CALLBACK Inject(HWND hDlg, UINT message, WPARAM wParam, LPARAM lParam)
    3. {
    4.     UNREFERENCED_PARAMETER(lParam);
    5.     switch (message)
    6.     {
    7.     case WM_INITDIALOG:
    8.     {
    9.         return (INT_PTR)TRUE;
    10.     }
    11.     case WM_COMMAND:
    12.         if (LOWORD(wParam) == IDOK)
    13.         {
    14.             //获取ID值
    15.             DWORD processID = GetDlgItemInt(hDlg, IDC_EDIT1, NULL, FALSE);
    16.             if (processID == 0)
    17.             {
    18.                 processID = GetCurrentProcessId();
    19.             }
    20.  
    21.             if (InjectLib(processID, TEXT("D://remoteDll.dll")))
    22.             {
    23.                 printf("inject ok");
    24.                 EjectLib(processID, TEXT("D://remoteDll.dll"));
    25.             }
    26.             else
    27.             {
    28.                 printf("inject failed");
    29.             }
    30.  
    31.             EndDialog(hDlg, LOWORD(wParam));
    32.             return (INT_PTR)TRUE;
    33.         }
    34.         else if (LOWORD(wParam) == IDCANCEL)
    35.         {
    36.             EndDialog(hDlg, LOWORD(wParam));
    37.             return (INT_PTR)TRUE;
    38.         }
    39.         break;
    40.     }
    41.     return (INT_PTR)FALSE;
    42. }

    InjectLib函数如下：

    1. BOOL WINAPI InjectLib(DWORD processID, PCWSTR pszLibFile)
    2. {
    3.     BOOL bOk = FALSE;
    4.     HANDLE hProcess = NULL, hThread = NULL;
    5.     PWSTR pszLibFileRemote = NULL;
    6.  
    7.     __try
    8.     {
    9.         hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD |
    10.             PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, processID);
    11.  
    12.         if (hProcess == NULL)
    13.             __leave;
    14.  
    15.         int cch = 1 + lstrlenW(pszLibFile);
    16.         int cb = cch * sizeof(wchar_t);
    17.  
    18.         pszLibFileRemote = (PWSTR)VirtualAllocEx(hProcess, NULL, cb, MEM_COMMIT, PAGE_READWRITE);
    19.         if (pszLibFileRemote == NULL)
    20.             __leave;
    21.  
    22.         if (!WriteProcessMemory(hProcess, pszLibFileRemote, (PVOID)pszLibFile, cb, NULL))
    23.             __leave;
    24.  
    25.         FARPROC pfnThreadRtn = GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
    26.         if (pfnThreadRtn == NULL)
    27.             __leave;
    28.  
    29.         hThread = CreateRemoteThread(hProcess, NULL, 0, (PTHREAD_START_ROUTINE)pfnThreadRtn, pszLibFileRemote, 0, NULL);
    30.         if (hThread == NULL)
    31.             __leave;
    32.  
    33.         WaitForSingleObject(hThread, INFINITE);
    34.  
    35.         bOk = TRUE;
    36.     }
    37.     __finally
    38.     {
    39.         if (pszLibFileRemote != NULL)
    40.             VirtualFreeEx(hProcess, pszLibFileRemote, 0, MEM_RELEASE);
    41.  
    42.         if (hThread != NULL)
    43.             CloseHandle(hThread);
    44.  
    45.         if (hProcess != NULL)
    46.             CloseHandle(hProcess);
    47.     }
    48.  
    49.     return bOk;
    50. }

    EjectLib函数如下：

    1. BOOL WINAPI EjectLib(DWORD processID, PCWSTR pszLibFile)
    2. {
    3.     BOOL bOk = FALSE;
    4.     HANDLE hthSnapshot = NULL;
    5.     HANDLE hProcess = NULL, hThread = NULL;
    6.     PWSTR pszLibFileRemote = NULL;
    7.  
    8.     __try
    9.     {
    10.         //获取指定进程的快照，以及这些进程使用的堆、模块和线程。
    11.         hthSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, processID);
    12.         if (hthSnapshot == INVALID_HANDLE_VALUE)
    13.             __leave;
    14.  
    15.         MODULEENTRY32W me = { sizeof(me) };
    16.         BOOL bFound = FALSE;
    17.         BOOL bMoreMods = Module32FirstW(hthSnapshot, &me);  //检索与进程关联的第一个模块的信息。
    18.         for (; bMoreMods; bMoreMods = Module32NextW(hthSnapshot, &me)) //检索与进程或线程关联的下一个模块的信息
    19.         {
    20.             bFound = (_wcsicmp(me.szModule, pszLibFile) == 0) || (_wcsicmp(me.szExePath, pszLibFile));
    21.             if (bFound)
    22.                 break;
    23.         }
    24.  
    25.         if (!bFound)
    26.             __leave;
    27.  
    28.         hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD |
    29.             PROCESS_VM_OPERATION, FALSE, processID);
    30.  
    31.         if (hProcess == NULL)
    32.             __leave;
    33.  
    34.         FARPROC pfnThreadRtn = GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "FreeLibrary");
    35.         if (pfnThreadRtn == NULL)
    36.             __leave;
    37.  
    38.         //me.modBaseAddr 在所属进程的上下文中模块的基地址。
    39.         hThread = CreateRemoteThread(hProcess, NULL, 0, (PTHREAD_START_ROUTINE)pfnThreadRtn, me.modBaseAddr, 0, NULL);
    40.         if (hThread == NULL)
    41.             __leave;
    42.  
    43.         WaitForSingleObject(hThread, INFINITE);
    44.  
    45.         bOk = TRUE;
    46.     }
    47.     __finally
    48.     {
    49.         if (hthSnapshot != NULL)
    50.             CloseHandle(hthSnapshot);
    51.  
    52.         if (hThread != NULL)
    53.             CloseHandle(hThread);
    54.  
    55.         if (hProcess != NULL)
    56.             CloseHandle(hProcess);
    57.     }
    58.  
    59.     return bOk;
    60. }

    3.3执行程序

    打开一个记事本程序，找到PID，如下图所示，PID = 20752。

    运行3.2中的程序，输入这个PID，点击确定注入成功。

    3.4运行结果

    注入之后，在本地文件out.txt中，可以看见正在该记事本程序正在使用的DLL。

  • 相关阅读:
    gqday1
    深度解读js中数组的findIndex方法
    LCP 01.猜数字
    YOLOv8改进PAN结构：Lowlevel Feature Alignment，集特征对齐、信息融合和信息注入于一体，增强模型对不同尺寸物体的检测能力
    react文件预览插件react-file-viewer
    33个常用JavaScript功能已封装成方法
    二、JumpServer堡垒机管理员手册
    面试官：如何避免缓存脏读
    微前端的初探索
    快速排序原理JAVA和Scala实现-函数式编程的简洁演示
  • 原文地址：https://blog.csdn.net/wzz953200463/article/details/126591449