《Windows API巡礼》--CreateRemoteThread和WriteProcessMemory

CreateRemoteThread函数用于为指定进程创建线程，该线程将会在其他进程的地址空间中执行，访问其他进程的资源：

HANDLE WINAPI CreateRemoteThread(

  __in   HANDLE hProcess, //需要为其创建线程的目标进程句柄，该目标进程需要具有如下权限：

                              //PROCESS_CREATE_THREAD、PROCESS_QUERY_INFORMATION、

                              //PROCESS_VM_OPERATION、PROCESS_VM_WRITE、PROCESS_VM_READ

  __in   LPSECURITY_ATTRIBUTES lpThreadAttributes, //指向安全描述符的指针，NULL为默认

  __in   SIZE_T dwStackSize, //线程堆栈大小，0表示使用默认值

  __in   LPTHREAD_START_ROUTINE lpStartAddress, //函数指针，指向存在与目标进程中的线程函数

  __in   LPVOID lpParameter, //传给线程函数的参数

  __in   DWORD dwCreationFlags, //0---线程创建后立即运行；

//CREATE_SUSPENDED---线程创建后挂起，知道ResumeThread函数调用才开始运行；

//STACK_SIZE_PARAM_IS_A_RESERVATION---dwStackSize参数指定初始保留的堆栈大小

//不指定该标志时，dwStackSize表示提交的大小（commit size）

  __out  LPDWORD lpThreadId //指向存放线程ID的缓冲区的指针，为NULL表示不保存线程ID

);

返回值：

成功时，返回新线程的句柄；

失败时，返回NULL。

 

WriteProcessMemory函数用于将数据写入到目标进程的虚拟地址空间中：

BOOL WINAPI WriteProcessMemory(

  __in   HANDLE hProcess, //目标进程句柄，操作进程需要有目标进程的PROCESS_VM_WRITE和

                            //PROCESS_VM_OPERATION权限

  __in   LPVOID lpBaseAddress, //写入数据的地址，目标进程虚拟地址空间中的地址

  __in   LPCVOID lpBuffer, //指向需要写入的数据

  __in   SIZE_T nSize, //写入数据的字节大小

  __out  SIZE_T *lpNumberOfBytesWritten //用于保存实际写入的数据的大小

);

返回值：

成功时，返回非零值；

失败时，返回零值。

 

实例代码：直接将远程进程地址空间中的API函数LoadLibraryW作为线程函数调用：

#include <windows.h>

 

/***********************************************************

* 功能：通过创建远程线程给其他进程加载DLL

* 参数：dwProcessId--目标进程PID

*       lpszLibName--DLL的路径

* 返回值：是否成功

***********************************************************/

BOOL LoadRemoteDll(DWORD dwProcessId, LPTSTR lpszLibName)

{

    BOOL bResult = FALSE;

    HANDLE hProcess = NULL;

    HANDLE hThread = NULL;

    PTSTR pszLibFileRemote = NULL;

    DWORD cch;

    PTHREAD_START_ROUTINE pfnThreadRtn;

   

    __try

    {

        //获得想要注入代码的进程的句柄

        hProcess = OpenProcess(PROCESS_ALL_ACCESS,

                              FALSE, dwProcessId);

        if(hProcess == NULL)

        {

            __leave;           

        }    

        //计算DLL路径名需要的字节数

        cch = lstrlen(lpszLibName) + 1;

        //在远程线程中为路径名分配空间

        pszLibFileRemote = (PTSTR)VirtualAllocEx(

                           hProcess, NULL, cch,

                           MEM_COMMIT, PAGE_READWRITE);

        if(pszLibFileRemote == NULL)

        {

            __leave;                   

        }

       

        //将DLL的路径名复制到远程进程的内存空间

        if(!WriteProcessMemory(hProcess,

                  (PVOID)pszLibFileRemote,

                  (PVOID)lpszLibName,

                  cch,

                  NULL))

        {

            __leave;         

        }

       

        //获得LoadLibrary在Kernel32.dll中的真实地址

        pfnThreadRtn = (PTHREAD_START_ROUTINE)GetProcAddress(

                     GetModuleHandle(TEXT("Kernel32")), TEXT("LoadLibraryW"));

        if(pfnThreadRtn == NULL)

        {

            __leave;               

        }

       

        //创建远程线程，并通过远程线程调用用户的DLL文件

        hThread = CreateRemoteThread(hProcess, NULL,

                0, pfnThreadRtn, (PVOID)pszLibFileRemote,

                0, NULL);

        if(hThread == NULL)

        {

            __leave;           

        }

       

        //等待远程线程终止

        WaitForSingleObject(hThread, INFINITE);

        bResult = TRUE;

    }    

    __finally

    {

        //关闭句柄

        if(pszLibFileRemote != NULL)

        {

            VirtualFreeEx(hProcess, (PVOID)pszLibFileRemote, 0, MEM_RELEASE);

            pszLibFileRemote = NULL;                   

        }        

        if(hThread != NULL)

        {

            CloseHandle(hThread);

            hThread = NULL;

        }

        if(hProcess != NULL)

        {

            CloseHandle(hProcess);

            hProcess = NULL;           

        }

    }

    return bResult;

}