25、代码注入与挂钩技术详解

代码注入与挂钩技术详解

1. 利用应用程序兼容性垫片进行DLL注入

1.1 应用程序兼容性垫片概述

Microsoft Windows应用程序兼容性基础设施（应用程序垫片）允许为旧版操作系统（如Windows XP）创建的程序在现代操作系统（如Windows 7或Windows 10）上运行。这通过应用程序兼容性修复（垫片）来实现。微软向开发者提供垫片，使他们无需重写代码就能修复程序。当垫片应用于程序且程序执行时，垫片引擎会将程序的API调用重定向到垫片代码，通过修改导入地址表（IAT）中的指针来实现。

例如，几年前编写的应用程序 xyz.exe ，在执行有用操作前会检查操作系统版本，通过调用 kernel32.dll 中的 GetVersion() API来确定。如果该应用程序仅在Windows XP上执行有用操作，在Windows 7上运行时将无法正常工作，因为 GetVersion() 返回的版本不匹配。此时，可以通过修复代码并重新构建程序，或者应用名为 WinXPVersionLie 的垫片来解决。应用垫片后，当 xyz.exe 在Windows 7上执行并调用 GetVersion() 时，垫片引擎会拦截并返回Windows XP版本，使应用程序误以为在Windows XP上运行。

1.2 创建垫片

创建用于将DLL注入目标进程的垫片可分为以下四个步骤：
1. 选择要应用垫片的应用程序 <