3.1 DLL注入：常规远程线程注入

dll,注入,常规,远程,线程 · 浏览次数 : 17

小编点评

**动态链接库注入技术** 动态链接库注入技术是一种特殊的技术，允许在运行的进程中注入 DLL 动态链接库，从而改变目标进程的行为。 **实现方式** 常见的实现方式包括： * **远程线程注入**：利用 `CreateRemoteThread()` 函数创建一个远线程，并让它在目标进程中执行 DLL 代码。 **核心概念** * 创建进程句柄 * 获取目标进程的内存空间 * 写入 DLL 文件路径到内存中 * 获取 `LoadLibraryA()` 函数的地址 * 创建远线程并启动 * 获取 DLL 代码的入口地址 * 执行 DLL 代码 **代码示例** 以下代码展示了如何使用 `CreateRemoteThreadInjectDll()` 函数在 32 位 DLL 中注入代码： ```c++ #include #include #include #include // 远程线程注入函数 BOOL CreateRemoteThreadInjectDll(DWORD Pid, char* DllName) { HANDLE hProcess = NULL; SIZE_T dwSize = 0; LPVOID pDllAddr = NULL; FARPROC pFuncProcAddr = NULL; // 打开注入进程 hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, Pid); if (NULL == hProcess) { return FALSE; } // 获取注入文件的完整路径 dwSize = sizeof(char) + lstrlen(DllName); // 写入 DLL 文件路径到内存中 if (FALSE == WriteProcessMemory(hProcess, pDllAddr, DllName, dwSize, NULL)) { return FALSE; } // 获取 LoadLibraryA() 函数的地址 pFuncProcAddr = GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA"); if (NULL == pFuncProcAddr) { return FALSE; } // 启动线程注入 HANDLE hRemoteThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pFuncProcAddr, pDllAddr, 0, NULL); if (NULL == hRemoteThread) { return FALSE; } // 关闭句柄 CloseHandle(hProcess); return TRUE; } ``` **注意** * 动态链接库注入可能存在安全风险，因为攻击者可以注入恶意代码并控制目标进程的行为。 * 仅在信任来源执行 DLL 代码是安全的。

正文

动态链接库注入技术是一种特殊的技术，它允许在运行的进程中注入DLL动态链接库，从而改变目标进程的行为。DLL注入的实现方式有许多，典型的实现方式为远程线程注入，该注入方式的注入原理是利用了Windows系统中提供的CreateRemoteThread()这个API函数,该函数第四个参数是准备运行的线程，我们将LoadLibrary()函数填入其中，这样就可以执行远程进程中的LoadLibrary()函数，进而将我们自己准备的DLL加载到远程进程空间中执行，DLL在被装载后则会自动执行初始化部分。

远程线程注入的实现可以总结为如下流程；

1.OpenProcess 打开进程获取进程句柄
2.VirtualAllocEx 在目标进程申请一块内存
3.WriteProcessMemory 将注入DLL路径写出到内存中
4.GetProcAddress 获得LoadLibraryA函数的内存地址
5.CreateRemoteThread 创建远线程,实现DLL注入

远程注入的核心实现原理是利用了CreateRemoteThread函数，CreateRemoteThread是Windows系统的一个函数，能够在指定的进程上下文中创建一个线程。该函数可以使一个进程在另一个进程中执行任意代码，并返回新线程的句柄。在DLL注入中，我们可以使用该函数在目标进程的上下文中创建一个新线程，从而使我们的DLL代码被加载和运行。该函数的声明如下所示；

HANDLE WINAPI CreateRemoteThread(
  HANDLE                 hProcess,
  LPSECURITY_ATTRIBUTES  lpThreadAttributes,
  SIZE_T                 dwStackSize,
  LPTHREAD_START_ROUTINE lpStartAddress,
  LPVOID                 lpParameter,
  DWORD                  dwCreationFlags,
  LPDWORD                lpThreadId
);

参数说明：

hProcess: 目标进程的句柄。
lpThreadAttributes: 线程安全描述符，通常为NULL。
dwStackSize: 新线程的初始化栈大小，通常为0。
lpStartAddress: 线程入口点，指向要在新线程中执行的代码。
lpParameter: 传递给线程入口点的参数。
dwCreationFlags: 线程创建标志，通常为0。
lpThreadId: 如果非NULL，返回新线程的ID号。

在DLL注入中，我们可以使用它来在指定的进程上下文中执行我们的DLL代码，使其被加载和运行。这段代码的实现很容易理解，我们以注入32为DLL为例，代码如下所示；

#include <windows.h>
#include <iostream>
#include <TlHelp32.h>
#include <tchar.h>

// 传入进程名称返回该进程PID
DWORD FindProcessID(LPCTSTR szProcessName)
{
    DWORD dwPID = 0xFFFFFFFF;
    HANDLE hSnapShot = INVALID_HANDLE_VALUE;
    PROCESSENTRY32 pe;
    pe.dwSize = sizeof(PROCESSENTRY32);
    hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPALL, NULL);
    Process32First(hSnapShot, &pe);
    do
    {
        if (!_tcsicmp(szProcessName, (LPCTSTR)pe.szExeFile))
        {
            dwPID = pe.th32ProcessID;
            break;
        }
    } while (Process32Next(hSnapShot, &pe));
    CloseHandle(hSnapShot);
    return dwPID;
}

// 远程线程注入
BOOL CreateRemoteThreadInjectDll(DWORD Pid, char* DllName)
{
    HANDLE hProcess = NULL;
    SIZE_T dwSize = 0;
    LPVOID pDllAddr = NULL;
    FARPROC pFuncProcAddr = NULL;

    // 打开注入进程
    hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, Pid);
    if (NULL == hProcess)
    {
        return FALSE;
    }

    // 得到注入文件的完整路径
    dwSize = sizeof(char) + lstrlen(DllName);

    // 在对端申请一块内存
    pDllAddr = VirtualAllocEx(hProcess, NULL, dwSize, MEM_COMMIT, PAGE_READWRITE);
    if (NULL == pDllAddr)
    {
        return FALSE;
    }

    // 将注入文件名写入到内存中
    if (FALSE == WriteProcessMemory(hProcess, pDllAddr, DllName, dwSize, NULL))
    {
        return FALSE;
    }

    // 得到LoadLibraryA()函数的地址
    pFuncProcAddr = GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA");
    if (NULL == pFuncProcAddr)
    {
        return FALSE;
    }

    // 启动线程注入
    HANDLE hRemoteThread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)pFuncProcAddr, pDllAddr, 0, NULL);
    if (NULL == hRemoteThread)
    {
        return FALSE;
    }

    // 关闭句柄
    CloseHandle(hProcess);
    return TRUE;
}

int main(int argc, char *argv[])
{
    DWORD pid = FindProcessID("lyshark.exe");
    std::cout << "进程PID: " << pid << std::endl;

    bool flag = CreateRemoteThreadInjectDll(pid, (char *)"d://hook.dll");
    std::cout << "注入状态: " << flag << std::endl;

    return 0;
}

本文作者：王瑞
本文链接： https://www.lyshark.com/post/82225748.html
版权声明：本博客所有文章除特别声明外，均采用 BY-NC-SA 许可协议。转载请注明出处！