Windows内存注入（前置原理）

Windows内存注入（前置原理）

前置知识：每一个线程都具备自己的运行环境也就是线程上下文，在线程失去cpu执行权的时候会报错当前的上下文，在下次取得执行权的时候会通过这个上下文来恢复之前的执行现场（Windows的时间片一般为20ms）

通过Windows提供的获取线程上下文api可以获取到线程当前的寄存器信息，这样我们就可以先暂停线程然后重设eip的值然后将我们更新后的上下文设置到线程里，在让其运行起来

我们重设的eip可以指向我们插入的内存或是注入的dll地址，在执行我们的代码后在跳转回原先的eip位置（这里有很多种方式，也可以继续上面的操作吧eip设回去，也可以通过远跳转回去都可以）

整体测试代码如下：

#include <Windows.h>
#include <iostream>

BOOL isrunning = true;

DWORD __stdcall ThreadProc(void* lpParameter) 
{
	for (size_t i = 0; i < 1000; i++)
	{
		if (!isrunning) {
			return 0;
		}
		Sleep(200);
		std::cout << i << std::endl;
	}
	return 0;
}

int main() {
	DWORD threadId;
	HANDLE h = CreateThread(NULL, 0, ThreadProc, NULL, CREATE_SUSPENDED, &threadId);
	if (h == NULL) {
		return -1;
	}
	ResumeThread(h);
	Sleep(1000);
	SuspendThread(h);
	printf("停止目标线程获取线程上下文\n");
	CONTEXT thread_context = { 0 };
	thread_context.ContextFlags = CONTEXT_CONTROL;
	if (!GetThreadContext(h, &thread_context)) {
		isrunning = false;
		while (TRUE)
		{
			DWORD code = { 0 };
			if (GetExitCodeThread(h, &code) != 0) break;
		}
		return -1;
	}

	printf("目标线程上下文中的EIP为0x%08x\n", thread_context.Eip);

	thread_context.Eip = (DWORD)ThreadProc;
	SetThreadContext(h, &thread_context);
	printf("重设目标线程上下文的EIP为函数开始地址0x%08x\n", (DWORD)ThreadProc);
	ResumeThread(h);
	Sleep(20000);
	return 0;
}

运行效果：可以看到我们可以重写eip让他重新执行

api介绍（这里只介绍功能详细信息可以到msdn上看）：

• CreateThread
  ：此函数用于创建线程

• ResumeThread
  ：此函数用于让目标线程挂起

• SuspendThread
  ：此函数用于减少目标线程的挂起计数，是其恢复争抢时间片

• GetThreadContext
  ：此函数用于获取线程上下文
  ：入参的CONTEXT的ContextFlags需要提前设置
  ：CONTEXT_CONTROL宏意思是获取通用寄存器，还有其他的宏用于获取dr寄存器或是浮点数寄存器等

• SetThreadContext
  ：此函数用于重设线程上下文