远程注入DLL.pdfVIP

远程注入DLL 一、概述 为了隐藏自身的进程信息，我们希望将进程作为一个合法进程的线程运行。由于 系统进程间不允许直接操作资源，因而我们需要在合法进程内部创建一个线程， 为其指定要执行的代码。一种简单的方式是令远程线程载入一个我们编写的DLL， 通过DllMain()函数执行我们需要的代码。基本思路是将LoadLibrary()函数作为一 个线程函数来调用： CreateRemoteThread()LoadLibrary()DllMain() 这里的核心函数是CreateRemoteThread()，它用来在远程进程中创建一新线程。 我们来看一下这个函数： HANDLE WINAPI CreateRemoteThread( HANDLE hProcess, //要创建远程线程的进程句柄 LPSECURITY_ATTRIBUTES lpThreadAttributes, //用于定义新线程的安全属 性，这里设为NULL采用默认值即可 SIZE_T dwStackSize, //初始化线程堆栈大小，NULL为默认大小 LPTHREAD_START_ROUTINE lpStartAddress, //线程函数开始的地址 LPVOID lpParameter, //线程函数参数 DWORD dwCreationFlags, //函数表示创建线程后线程的运行状态 LPDWORD lpThreadId //返回线程ID，不关心可以设为NULL不返回 ); 使用这个函数关键要解决三个参数问题：  获得远程线程的进程句柄，而且要确保相应权限  获取远程进程中线程函数的开始地址，而非本地地址  向远程线程成功传入DLL 路径字符串 解决了这三个问题，我们的远程注入DLL 就基本完成了。接下来，这篇笔记的组 织结构如下：  获取远程进程句柄  枚举系统进程  提升进程权限  获取LoadLibrary()函数在远程进程中的地址  向远程线程中写入DLL 路径字符串  利用VirtualAllocEx()分配远程地址空间  利用WriteProcessMemory()写入远程地址空间  程序源码  运行测试 二、获取远程进程句柄 我们主要利用 OpenProcess()函数来获得要注入的进程的句柄，句柄是系统中可以起到唯一 标识作用的一个对象。我们来看一下OpenProcess()函数： HANDLE WINAPI OpenProcess( DWORD dwDesiredAccess, //获取的句柄的访问权限 BOOL bInheritHandle, //是否可为新进程继承 DWORD dwProcessId //要获取句柄的进程ID ); 句柄的访问权限是指我们要使用该进程的句柄做哪些访问操作，对于远程注入DLL 来说，主 要有： PROCESS_CREATE_THREAD | //For CreateRemoteThread() PROCESS_VM_OPERATION | //For VirtualAllocEx()/VirtualFreeEx() PROCESS_VM_WRITE //For WriteProcessMemory(0 当然，我们也可以直接设为最高权限：PROCESS_ALL_ACCESS。 第二个参数说明了是否可为新进程继承，第三个参数需要借助我们编写的子函数 ListProcess()来获得。另外需要注意的是，对于很多系统和服务进程而言，获取其带有写 权限的句柄需要主调进程拥有调试权限，我们利用子函数 EnableDebugPriv()来提升权限。 这样在XP 下就足够了，在VISTA 之后的系统中需要进一步提升另一个隐藏权限，这里只讨 论在XP 上的情况。  ListProcess() 我们使用ToolHelpAPI 获取当前运行程序的信息，从而编写适合自己需要的工具（@MSDN ）。 它支持的平台比较广泛，可以在 Windows CE 下使用。在 Windows Mobile SDK 的 Samples 里面有一个 PViewCE 的样例程序，就是用这个来查看进程和线程信息的。 使用方法就是先用 CreateToolhelp32Snapshot 将当前系统的进程、线