dll动态链接库（5）---进程注入

最新推荐文章于 2024-07-18 00:25:39 发布

原创最新推荐文章于 2024-07-18 00:25:39 发布 · 1k 阅读

0 ·

CC 4.0 BY-SA版权

windows编程专栏收录该内容

15 篇文章

订阅专栏

本文介绍了Windows操作系统中的进程注入技术，主要聚焦于使用DLL动态链接库进行进程注入。通过OpenProcess, VirtualAllocEx, WriteProcessMemory等API函数实现远程线程创建，以达到隐藏进程和穿透防火墙的效果。同时，也提到了进程注入可能导致的目标进程执行效率降低甚至崩溃的风险，以及在不同Windows版本中权限提升的挑战。" 124709268,13220608,Spring Cloud OpenFeign深入解析与源码探索,"['Java', '微服务', 'Spring Cloud', '开发语言']

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

BOOL Inject(LPCTSTR szModule, DWORD dwID) //dwID为进程id
{
	HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE, FALSE, dwID);
	if ( !hProcess ) {
		return FALSE;
	}
	int cByte  = (_tcslen(szModule)+1) * sizeof(TCHAR);
	LPVOID pAddr = VirtualAllocEx(hProcess, NULL, cByte, MEM_COMMIT, PAGE_READWRITE);
	if ( !pAddr || !WriteProcessMemory(hProcess, pAddr, szModule, cByte, NULL)) {
		return FALSE;
	}
#ifdef _UNICODE
	PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(_T("Kernel32")), "LoadLibraryW");
#else
	PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(_T("Kernel32")), "LoadLibraryA");
#endif
	if ( !pfnStartAddr ) {
		return FALSE;
	}
	DWORD dwThreadID = 0;
	HANDLE hRemoteThread = CreateRemoteThread(hProcess, NULL, 0, pfnStartAddr, pAddr, 0, &dwThreadID);
	if ( !hRemoteThread ) {
		return FALSE;
	}
	CloseHandle(hRemoteThread);
	CloseHandle(hProcess);
	return TRUE;
}

BOOL EnablePrivilege(LPCTSTR lpszPrivilegeName, BOOL bEnable)
{
	HANDLE hToken = NULL;
	TOKEN_PRIVILEGES tp;
	LUID luid;

	if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY | TOKEN_READ, &hToken))
		return FALSE;
	if(!LookupPrivilegeValue(NULL, lpszPrivilegeName, &luid))
		return TRUE;

	tp.PrivilegeCount = 1;
	tp.Privileges[0].Luid = luid;
	tp.Privileges[0].Attributes = (bEnable) ? SE_PRIVILEGE_ENABLED : 0;

	AdjustTokenPrivileges(hToken, FALSE, &tp, NULL, NULL, NULL);
	CloseHandle(hToken);
	return (GetLastError() == ERROR_SUCCESS);
} 
//提权
BOOL EnablePrivilege(LPCTSTR lpszPrivilegeName = SE_DEBUG_NAME, BOOL bEnable = TRUE);

int APIENTRY _tWinMain(HINSTANCE hInstance,
                     HINSTANCE hPrevInstance,
                     LPTSTR    lpCmdLine,
                     int       nCmdShow)
{
	Inject(_T("E:\\Project\\Vc8.0\\DLLTest\\debug\\DLLTest.dll"), 2152); 
}

===================================================================================================

1、为什么要进行进程注入：到了WinNT以后的系列操作系统中，每个进程都有自己的4GB私有进程地址空间，彼此互不相关。进程A中的一个地址，比如：0x12345678，到了进程B中的相同地方，存的东西完全不一样，或者说不可预料。所以说如果进程A想要看看或者修改进程B地址空间中的内容，就必须深入到其地址空间中，因为DLL是可以被加载到任何进程当中的，所以在进程注入中，DLL应该是主角，也就是说一些核心的代码都应该放在DLL中编写。

对于我们小黑来说：优点就是进程隐藏，能穿透防火墙。

2、注入的缺点：
如果DLL程序的算法不是很好，或者DLL文件有Bug，那么将影响目标进程的执行效率，或者说干脆目标进程崩溃。

3、注入的具体方法：
目前Windows操作系统上面注入的方法也很多，《Windows核心编程》上面介绍了不少，大家也可以到网上搜索一下，比如钩子，远程线程技术等等……

4、具体编程方法：
本课程教大家用远程线程技术来实现进程的注入。
用到的API函数：
OpenProcess(...) //获取已知进程的句柄；
VirtualAllocEx(...) //在进程中申请空间；
WriteProcessMemory(...) //向进程中写入东西；
GetProcAddress(...) //取得函数在DLL中的地址；
CreateRemoteThread(...) //在其他进程中创建新线程；
CloseHandle(...) //关闭句柄；

■补充：并不是所有的远程注入都能成功，有时候调用OpenProcess(...)或者WriteProcessMemory(...)函数的时候，会调用失败，调用GetLastError()返回错误码是5，拒绝访问，意思是说你的权限不够，那么网上也有现成的提权的函数，这里面也给大家写了一个，但是随着Windows操作系统的升级，Xp->Vista->7，其安全性也越来越高，所以以前在XpSp2上编写的程序，到Sp3或者Vista上面权限又不够了，所以说提权代码也不是万能的，技术没有止境！