Windows核心编程-远程注入DLL解析.pdfVIP

远程注入 DLL 一、概述 为了隐藏自身的进程信息，我们希望将进程作为一个合法进程的线程运行。 由于系统进程间不允许直接操作资源， 因而我们需要在合法进程内部创建一个线 程，为其指定要执行的代码。 一种简单的方式是令远程线程载入一个我们编写的 DLL，通过 DllMain() 函数执行我们需要的代码。基本思路是将 LoadLibrary() 函数作为一个线程函数来调用： CreateRemoteThread()LoadLibrary()DllMain() 这里的核心函数是 CreateRemoteThread() ，它用来在远程进程中创建一新线程。 我们来看一下这个函数： HANDLE WINAPI CreateRemoteThread( HANDLE hProcess, // 要创建远程线程的进程句柄 LPSECURITY_ATTRIBUTESlpThreadAttributes, // 用于定义新线程的安 全属性，这里设为 NULL采用默认值即可 SIZE_T dwStackSize, // 初始化线程堆栈大小， NULL为默认大小 LPTHREAD_START_ROUTINE lpStartAddress, //线程函数开始的地址 LPVOID lpParameter, // 线程函数参数 DWORD dwCreationFlags, // 函数表示创建线程后线程的运行状态 LPDWORDlpThreadId // 返回线程 ID，不关心可以设为 NULL不返回 ); 使用这个函数关键要解决三个参数问题： 获得远程线程的进程句柄，而且要确保相应权限 获取远程进程中线程函数的开始地址，而非本地地址 向远程线程成功传入 DLL路径字符串 解决了这三个问题， 我们的远程注入 DLL就基本完成了。 接下来， 这篇笔记的组 织结构如下： 获取远程进程句柄 枚举系统进程 提升进程权限 获取 LoadLibrary() 函数在远程进程中的地址 向远程线程中写入 DLL路径字符串 利用 VirtualAllocEx() 分配远程地址空间 利用 WriteProcessMemory() 写入远程地址空间 程序源码 运行测试 二、获取远程进程句柄 我们主要利用 OpenProcess() 函数来获得要注入的进程的句柄， 句柄是系统 中可以起到唯一标识作用的一个对象。我们来看一下 OpenProcess() 函数： HANDLE WINAPI OpenProcess( DWORD dwDesiredAccess, // 获取的句柄的访问权限 BOOL bInheritHandle, // 是否可为新进程继承 DWORD dwProcessId // 要获取句柄的进程 ID ); 句柄的访问权限是指我们要使用该进程的句柄做哪些访问操作，对于远程注入 DLL来说，主要有： PROCESS_CREATE_THREAD |//For CreateRemoteThread() PROCESS_VM_OPERATION |//For VirtualAllocEx()/VirtualFreeEx() PROCESS_VM_WRITE //For WriteProcessMemory(0 当然，我们也可以直接设为最高权限： PROCESS_ALL_ACCESS。 第二个参数说明了是否可为新进程继承，