DLL远程线程注入初尝试

margin

DLL远程线程注入初尝试 (qq.com)​
DLL注入前提条件

1.windows在动态链接库的使用时在各个进程中的虚拟地址是相同的，所以注入器中的kernel32.dll地址可以当做要被注入的进程的地址用。

2.有相关的权限，注入器的权限要能打开目标权限，以及分配内存和写入内存。
二

DLL注入的相关步骤

1.打开要注入的进程。
2.给进程分配虚拟内存 VirtualAllocEx。
3.给分配的内存写入要注入的DLL目录。
4.找到 kernel32.dll 模块的里面的LoadLibrary函数的地址。
5.用CreatRemoTethread给目标进程注入dll。
6.关闭目标进程的句柄。
三

实验过程

实验工具:

自己编写的注入器，和自己编译的一个简单的DLL文件，x64dbg，win10记事本

实验流程：

1、先打开记事本。

2、然后拿x64dbg附加进程，然后在LoadLibrary函数打下断点，可以在x64dbg的符号表中查找。

​

编辑

3、运行注入器。

​

编辑

4、查看注入过程。

​

编辑
通过查看日志，可以发现线程已经被注入了。
并且rip停到了我们设置断点的位置。

​

编辑
并且可以看到rcx寄存器中地址存放的地址就是我们写入的地址(这里因为笔者嫌弃麻烦，直接把DLL文件放到了与记事本的同一目录下，所以输入 填写dll文件的名字就好了)。
转存失败重新上传取消
我们会发现在这个call 指令(f8)运行时rip就会立马跳转去，并且会显示出我们注入成功的，但是没看太明rip跳出去的地方是干什么的，因为我在messagebox下了断点也没有断下来，并且窗口直接跳出。

​

编辑

​

编辑
​

注入器和dll文件代码解析

DLL文件代码，IDE: VS2019

1. BOOL APIENTRY DllMain( HMODULE hModule,
   
2.                        DWORD  ul_reason_for_call,
   
3.                        LPVOID lpReserved
   
4.                      )
   
5. {
   
6.     switch (ul_reason_for_call)
   
7.     {
   
8.     case DLL_PROCESS_ATTACH:
   
9. 
   
10.         OutputDebugString(L"DLL Inject Sucess");
    
11.         MessageBox(NULL, L"dll sucess", L"dll sucess", MB_OK);
    
12.         break;//加载DLL时运行d
    
13.     case DLL_THREAD_ATTACH: //释放DLL运行的
    
14.         OutputDebugString(L"DLL free Sucess");
    
15.         MessageBox(NULL, L"dll free", L"dll free", MB_OK);
    
16.         break;//加载DLL时运行d
    
17.     case DLL_THREAD_DETACH:
    
18.     case DLL_PROCESS_DETACH:
    
19.         break;
    
20.     }
    
21.     return TRUE;
    
22. }
    

复制代码

注入器

1. 
   
2. #include<stdio.h>
   
3. #include<Windows.h>
   
4. #include<iostream>
   
5. #include<string>
   
6. using namespace std;
   
7. BOOL CreateRemoteDllInjectDll(DWORD dwProcessId, char *pdllname);
   
8. int main() {
   
9.     DWORD dwProcessId;
   
10.     char DLLName[20]; //需要输入的DLL文件名字
    
11.     cout << "Pleace input DLLfile name :" << endl;
    
12.     cin >> DLLName;
    
13.     cout << "Pleace input PRocessID :" << endl;
    
14.     cin >> dwProcessId;
    
15.     CreateRemoteDllInjectDll(dwProcessId,DLLName);
    
16. 
    
17.     return 0;
    
18. 
    
19. }
    
20. /**
    
21. 1.打开要注入的进程
    
22. 2.给进程分配虚拟内存 VirtualAllocEx
    
23. 3.给分配的内存写入要注入的DLL目录
    
24. 4.找到 kernel32.dll 模块的里面的LoadLibrary函数的地址
    
25. 5.用CreatRemoTethread给目标进程注入dll
    
26. 6.关闭目标进程的句柄
    
27. **/
    
28. BOOL CreateRemoteDllInjectDll(DWORD dwProcessId, char *pdllname) {
    
29.     HANDLE hProcess = NULL;
    
30.     LPVOID pDLLAddr =NULL;\
    
31.     HMODULE hker=NULL;
    
32.     FARPROC pFunProcAddr =NULL;
    
33.     DWORD dwsize=0;
    
34.     hker = GetModuleHandleA("kernel32.dll"); //得到kernel32.dll进程中的地址
    
35.     if( NULL == hker) {
    
36.         puts("GetModuleHandle kernel32.dll  is error");
    
37.         return false;
    
38.     }
    
39. 
    
40.     hProcess = OpenProcess(PROCESS_ALL_ACCESS,false,dwProcessId);//打开要注入的进程
    
41.     if( NULL == hProcess) { // 检查打开进程是否成功
    
42.         puts("OpenProcess is error");
    
43.         return false;
    
44.     }
    
45.     dwsize = strlen(pdllname)+1; //DLL文件目录的长度
    
46.     pDLLAddr  = VirtualAllocEx(hProcess,NULL,dwsize,MEM_COMMIT,PAGE_READWRITE );
    
47.     //申请的内存空间，并且地址保存在pDLLAddr目录中
    
48.     if(pDLLAddr == NULL) {  //检查
    
49.         puts("VirtualAllocEx is error");
    
50.         return false;
    
51.     }
    
52.     if(!WriteProcessMemory(hProcess,pDLLAddr,pdllname,dwsize,NULL)) {//把所需要的注入的dll文件目录字符注入给目标进程
    
53.         puts("WriteProcessMemory is error");
    
54.         return false;
    
55.     }
    
56.     pFunProcAddr = GetProcAddress(hker,"LoadLibraryA"); //得到loadlibrarya函数的地址
    
57.     if(pFunProcAddr == NULL) {
    
58.         puts("Get LoadLibraryA is error");
    
59.         return false;
    
60. 
    
61.     }
    
62.     HANDLE hRemotehandle =  CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START_ROUTINE)(pFunProcAddr),pDLLAddr,0,NULL); //创造远程线程
    
63.     if(!hRemotehandle) {
    
64.         puts(" CreateRemoteThread is error");
    
65.         return false;
    
66.     WaitForSingleObject(hRemotehandle, INFINITE);
    
67.     CloseHandle(hRemotehandle);//关闭句柄
    
68.     CloseHandle(hProcess);
    
69.     return 0;
    
70. 
    
71.     }
    
72. 
    
73. }
    

复制代码