逆向基础学习 DLL远线程注入技术

最新推荐文章于 2021-11-16 15:53:45 发布

原创最新推荐文章于 2021-11-16 15:53:45 发布 · 590 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#逆向基础 #dll远线程注入 #dll注入

逆向基础学习专栏收录该内容

6 篇文章

订阅专栏

本文介绍了进程和线程的关系，重点讲解了DLL远线程注入技术，包括CreateRemoteThread函数创建远程线程，OpenProcess获取进程句柄，GetProcAddress获取函数地址，VirtualAllocEx分配内存，WriteProcessMemory写入数据等步骤，并提到了线程注入的优化方法，如使用WaitForSingleObject防止线程阻塞。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

DLL远线程注入技术

一、进程和线程的关系

进程（process）和线程（thread）是操作系统的基本概念，但它们比较抽象。

计算机的核心是CPU，它承担了所有的计算任务，就像一座工厂时刻在运行，假定工厂的电力有限，一次只能供给一个车间使用，单个CPU一次只能运行一个任务。

进程就好比工厂车间，它代表CPU所能处理的单个任务，任一时刻，CPU总是运行一个进程，其他进程处于非运行状态。

一个车间里可以有很多工人，他们协同完成一个任务。

线程就好比车间里的工人，一个进程可以包括多个线程。

车间的空间是工人们共享的，比如许多房间是每个工人都可以进出的，这象征一个进程的内存空间是共享的，每个线程都可以使用这些共享内存。

可是，每间房间的大小不同，有些房间最多只能容纳一个人，比如厕所。里面有人的时候，其他人就进不去了。这代表一个线程使用某些共享内存时，其他线程必须等它结束，才能使用这一块内存。

一个防止他人进入的简单方法，就是门口加一把锁。先到的一个人锁上门，后到的人看到上锁，就在门口排队，等锁打开再进去。这就叫“互斥锁”（Mutex），防止多个线程同时读写某一块内存区域。

还有些房间，可以同时容纳n个人，比如厨房，也就是说，如果人数大于n，多出来的人只能在外面等着。这就好比某些内存区域，只能供给固定数目线程使用。这时的解决方法，就是在门口挂n把钥匙。进去的人就取一把钥匙，出来时再把钥匙挂回原处，后到的人发现钥匙架空了，就知道必须在门口排队等着了。这种做法叫做“信号量”（Semaphore），用来保证多个线程不会互相冲突。

不难看出，mutex是semaphore的一种特殊情况（n=1）。也就是说，完全可以用后者替代前者。但是，因为mutex较为简单，且效率高，所以在必须保证资源独占的情况下，还是采用这种设计。

操作系统的设计，可以归结为三点：

（1）以多进程形式，允许多个任务同时运行；

（2）以多线程形式，允许单个任务分成不同的部分运行；

（3）提供协调机制，一方面进程之间和线程之间产生冲突，另一方面允许进程之间和线程之间共享资源。

二、远程线程的创建

远线程注入技术的简单解释：

强制创建一个目标进程的线程，将我们的木马DLL注入进去，加载 LoadLibrary（DLL加载函数）。

创建进程线程函数：CreateRemoteThread

创建在另一个进程的虚拟地址空间中运行的线程。

句法：

HANDLE CreateRemoteThread(

HANDLE hProcess, //要创建线程的进程的句柄。

LPSECURITYATTRIBUTES lpThreadAttributes, // 指向SECURITYATTRIBUTES结构的指针

SIZET dwStackSize, // 堆栈的初始大小，以字节为单位。

LPTHREADSTARTROUTINE lpStartAddress, // 指向由线程执行的类型为LPTHREADSTART_ROUTINE的应用程序定义函数的指针，表示远程进程中线程的起始地址。

LPVOID lpParameter, //指向要传递给线程函数的变量（参数->dll所在路径）的指针。

DWORD dwCreationFlags, //控制线程创建的标志。

LPDWORD lpThreadId //指向接收线程标识符的变量的指针。 );

获取进程句柄的函数：OpenProcess

句法：

HANDLE OpenProcess(

DWORD dwDesiredAccess, // 对进程对象的访问。根据进程的安全描述符检查此访问权限。

BOOL bInheritHandle, // 如果此值为TRUE，则此进程创建的进程将继承该句柄。

DWORD dwProcessId //要打开的本地进程的标识符。

);

如果函数成功，则返回值是指定进程的打开句柄。

获取线程函数地址的函数：GetProcAddress

句法：

FARPROC GetProcAddress(

HMODULE hModule, // DLL模块的句柄，包含函数或变量。

LPCSTR lpProcName, //函数或变量名称，或函数的序数值。

);

如果函数成功，则返回值是导出的函数或变量的地址。

在虚拟地址中分配内存函数：VirtualAllocEx

保留，提交或更改指定进程的虚拟地址空间内的内存区域的状态。该函数将其分配的内存初始化为零。

句法：

LPVOID VirtualAllocEx(

HANDLE hProcess, //进程的句柄。该函数在此进程的虚拟地址空间内分配内存。

LPVOID lpAddress, //指针，指定要分配的页面区域的所需起始地址。

SIZE_T dwSize, //要分配的内存区域的大小，以字节为单位。

DWORD flAllocationType, //内存分配的类型。

DWORD flProtect //要分配的页面区域的内存保护。

);

如果函数成功，则返回值是分配的页面区域的基址。

将数据写入指定进程中的内存区域函数：WriteProcessMemory

句法：

BOOL WriteProcessMemory(

HANDLE hProcess, //要修改的进程内存的句柄。

LPVOID lpBaseAddress,//指向写入数据的指定进程中的基址的指针。

LPCVOID lpBuffer, //指向缓冲区的指针，该缓冲区包含要在指定进程的地址空间中写入的数据。

SIZET nSize, //要写入指定进程的字节数。

SIZET *lpNumberOfBytesWritten //指向变量的指针，该变量接收传输到指定进程的字节数。

);

代码如下：

include "iostream"

include <Windows.h>

void InJect(int pid,char* Path) { //返回进程的句柄 HANDLE ProcessHandle = OpenProcess(PROCESSALLACCESS,NULL,pid);

//申请一块内存给DLL路径
LPVOID pReturnAddress =  VirtualAllocEx(ProcessHandle, NULL, strlen(Path) + 1, MEM_COMMIT,PAGE_READWRITE);

//写入路径到上一行代码申请的内存中
WriteProcessMemory(ProcessHandle, pReturnAddress, Path, strlen(Path) + 1, NULL);

//获取LoadLibraryA函数的地址，也就是DLL载入函数的地址
HMODULE hModule = GetModuleHandleA("kernel32.dll");
LPTHREAD_START_ROUTINE lpStartAddress = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryA");

//创建远程线程
CreateRemoteThread(ProcessHandle, NULL, 0, lpStartAddress, pReturnAddress, 0, NULL);

}

int main() {

const char* a = "C:\\Users\\HTML\\Desktop\\C++\\Project1\\Debug\\Dll1.dll";

InJect(5760,(char*)a);


return 0;

}

查看进程PID：

运行程序，查看dll是否注入成功：

成功了！但是这只是最基础的注入。

三、线程注入优化

在多线程情况下，有时候我们会希望等待某一线程完成了再让程序继续做其他事情，要实现这个目的，可以使用Windows API函数WaitForSingleObject，或者WaitForMultipleObjects。等待线程，这个过程就是WaitForSingleObject。

防止程序线程阻塞

等待线程函数：WaitForSingleObject

句法：

DWORD WaitForSingleObject(

HANDLE hHandle, //对象的句柄。

DWORD dwMilliseconds //超时间隔，以毫秒为单位。如果dwMilliseconds是INFINITE，则发出对象信号时才返回该函数。线程执行完毕，获取到了句柄，则发出信号。永久等待：有多久等多久

);

如果函数成功，则返回值指示导致函数返回的事件。可参考https://docs.microsoft.com/zh-cn/windows/desktop/api/synchapi/nf-synchapi-waitforsingleobject

优化之后的代码：

InJect函数：

注：strlen(Path)+1是为了防止内存溢出。

void InJect(int pid,char* Path)
{
	//返回进程的句柄
	HANDLE ProcessHandle =  OpenProcess(PROCESS_ALL_ACCESS,NULL,pid);

	//申请一块内存给DLL路径
	LPVOID pReturnAddress =  VirtualAllocEx(ProcessHandle, NULL, strlen(Path) + 1, MEM_COMMIT,PAGE_READWRITE);

	//写入路径到上一行代码申请的内存中
	WriteProcessMemory(ProcessHandle, pReturnAddress, Path, strlen(Path) + 1, NULL);

	//获取LoadLibraryA函数的地址，也就是DLL载入函数的地址
	HMODULE hModule = GetModuleHandleA("kernel32.dll");
	LPTHREAD_START_ROUTINE lpStartAddress = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryA");

	//创建远程线程 获取线程的句柄
	HANDLE hThread = CreateRemoteThread(ProcessHandle, NULL, 0, lpStartAddress, pReturnAddress, 0, NULL);

	WaitForSingleObject(hThread,2000);

	//关闭Handle，防止内存泄漏
	CloseHandle(ProcessHandle);
	CloseHandle(hThread);


}