Windows-注入技术学习总结

原创 2024-07-12 16:10:23 2.1k 阅读 AI写同款

ID_EVER

3粉丝5篇原创

关注

Windows Ring3层注入——输入法注入（六） Windows Ring3层注入——输入法注入（六）输入法介绍输入法注入原理输入法注入的相关知识输入法注入步骤输入法注入的函数原型及代码示例输入法注入操作描述流程图删除自己安装的输入法: 输入法介绍输入法是一类特殊的程序，主要功能在程序中是进行文字的输入，一般有外挂式（早期的“万能五笔”）和输入法接口式两种实现方式。外挂式比较简单，它的形式通常是一个EXE文件，通过模拟一些Windows输入... 阅读详情

AI摘要

本文详细解析远程线程注入、消息钩子、输入法、注册表、EIP、APC及SSDT替换等Windows系统常见的代码注入技术，包括原理、流程和注意事项，以及防注入策略的探讨。

1.远程线程注入

原理：利用CreateRemoteThread()函数，将自己创建的的线程加载到远程空间进程里去执行。

CreateRemoteThread function (processthreadsapi.h) - Win32 apps | Microsoft Docs

注入流程：

OpenProcess 打开被注入进程句柄。
VirtualAllocEx 在注入进程里申请空间，用于存放注入插件路径的字符串，不然在注入进程里找不到参数。
WriteProcessMemory 往申请的空间里写路径字符串
CreateRemoteThread 注入进程，函数第四个参数写LoadLibrary，因为LoadLibrary函数地址在Kernel32.dll中，在每个进程中映射地址都一样，所以不需要再去注入进程查找该函数地址了。第五个参数写路径字符串地址，为LoadLibrary函数的参数。
WaitForSingleObject 等待线程执行完成返回，VirtualFreeEx释放申请空间。

示例代码：

#define TARGETEXE L"notepad.exe"
WCHAR InjectDll[] = L"C:\\Users\\k\\source\\repos\\ConsoleApplication3\\x64\\Release\\TestDll.dll";

DWORD dTargetpid = 0;
 {
     HANDLE hSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
     if (hSnapshot != INVALID_HANDLE_VALUE)
     {
         PROCESSENTRY32W pe32;
         pe32.dwSize = sizeof(PROCESSENTRY32W);

         if (Process32FirstW(hSnapshot, &pe32))
         {
             do {
                 if (wcscmp(pe32.szExeFile, TARGETEXE) == 0)
                 {
                     dTargetpid = pe32.th32ProcessID;
                     break;
                 }
             } while (Process32NextW(hSnapshot, &pe32));
         }
     }
     CloseHandle(hSnapshot);
 }

 HANDLE hTargethandle =  OpenProcess( PROCESS_ALL_ACCESS, FALSE, dTargetpid);
 if (hTargethandle != INVALID_HANDLE_VALUE)
 {
     //必须具备 PROCESS_VM_OPERATION  访问权限
     LPVOID vaAddress =  VirtualAllocEx(hTargethandle, NULL, sizeof(InjectDll), MEM_COMMIT, PAGE_READWRITE);
     if (vaAddress != nullptr)
     {
         if (WriteProcessMemory(hTargethandle, vaAddress, InjectDll, sizeof(InjectDll), NULL))
         {
             HMODULE hKernel32module = GetModuleHandle(L"kernel32.dll");
             if (hKernel32module)
             {
                 LPTHREAD_START_ROUTINE loadLibraryFunction = (LPTHREAD_START_ROUTINE)GetProcAddress(hKernel32module, "LoadLibraryW");
             
                 //必须具备 PROCESS_CREATE_THREAD、 PROCESS_QUERY_INFORMATION、 PROCESS_VM_OPERATION、 PROCESS_VM_WRITE和 PROCESS_VM_REA