内核线程注入(x86)

最新推荐文章于 2024-05-31 19:34:41 发布

置顶

拉塞尔

最新推荐文章于 2024-05-31 19:34:41 发布

阅读量1.5k

点赞数

CC 4.0 BY-SA版权

分类专栏：注入系列

本文链接：https://blog.youkuaiyun.com/qq_37957965/article/details/84338756

本文介绍了从BlackBone源码中提取的内核线程注入方法，涉及在Ring0层驱动中Attach到目标进程，使用NtCreateThreadEx创建线程执行ShellCode，从而实现DLL注入。关键步骤包括：利用KeStackAttachProcess切换到目标进程环境，构造ShellCode，并通过ExecuteInNewThread函数创建内核线程执行ShellCode。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这是我阅读BlackBone源码从里面扣出来的关于内核线程注入方法的使用。

主要通过Ring0层驱动Attach到目标进程然后调用NtCreateThreadEx来执行ShellCode，ShellCode做了一个注入Dll的简单行为。

关键函数如下：

//切换到目标进程创建内核线程进行注入
NTSTATUS AttachAndInjectProcess(IN HANDLE ProcessID)
{
    PEPROCESS EProcess = NULL;
    KAPC_STATE ApcState;
    NTSTATUS Status = STATUS_SUCCESS;

    if (ProcessID == NULL)
    {
        Status = STATUS_UNSUCCESSFUL;
        return Status;
    }
    //获取EProcess
    Status = PsLookupProcessByProcessId(ProcessID, &EProcess);
    if (Status != STATUS_SUCCESS)
    {
        DbgPrint(("PsLookupProcessByProcessId函数失败\n"));
        return Status;
    }
    //KeStackAttachProcess例程  将当前线程连接到目标进程的地址空间。
    KeStackAttachProcess((PRKPROCESS)EProcess, &ApcState);
    __try
    {
        PVOID NtdllAddress = NULL;
        PVOID LdrLoadDll = NULL;
        UNICODE_STRING NtdllUnicodeString = { 0 };
        UNICODE_STRING DllFullPath = { 0 };

        //获取ntdll模块基地址
        RtlInitUnicodeString(&NtdllUnicodeString, L"Ntdll.dll");
        NtdllAddress = GetUserModule(EProcess, &NtdllUnicodeString);
        if (!NtdllAddress)
        {
            DbgPrint("%s: Failed to get Ntdll base\n", __FUNCTION__);
         &n