使用DLL远程注入对记事本换肤

以你之姓@ 2021-11-30 01:28 181阅读 0赞

<table> 
 <tbody> 
 <tr> 
 <td align="left"> <a href="http://www.uipower.com/NotepadSkin.zip" rel="nofollow">源代码下载</a> 摘&nbsp;&nbsp; 要详细阐述了如何使用DLL远程注入技术对Windows 记事本进行换肤，讲解了DLL远程注入的概念和步骤。 关键词DLL远程注入，换肤 一、概述 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1. DLL远程注入原理 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;DLL远程注入就是使用远程线程来插入DLL，就是要求目标进程中的线程调用LoadLibrary函数来加载必要的DLL。由于除了自己进程中的线程外，我们无法方便地控制其它进程中的线程，因此这种解决方案要求我们在目标进程中创建一个新线程。由于是自己创建这个线程，因此我们能够控制它执行什么代码。 Windows提供了一个称为CreaeRemoteThread的函数，使我们能够非常容易地在另一个进程中创建线程： HANDLE CreateRemoteThread(HANDLE hProcess,PSECURITY_ARRTRIBUTES psa,DWORD dwStackSize, &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PTHREAD_START_ROUTINE pfnStartAddr,PVOID pvParam,DWORD fdwCreate,PDOWRD pdwThreadId); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;如何才能让该线程加载我们的DLL呢？那就需要该线程调用LoadLibrary函数： &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;HINSTANCE LoadLibraryA (LPCSTR pszLibFileName);&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //ANSI 版本 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; &nbsp;HINSTANCE LoadLibraryW (LPCWSTR pszLibFileName);&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //Unicode版本 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 我们现在要做的事情是创建一个新线程，并使线程函数的地址成为LoadLibraryA或LoadLibraryW函数的地址。 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE) &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; GetProcAddress(GetModuleHandle(TEXT(“kernel32”)),”LoadLibraryA”); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; HANDLE hThread = CreateRemoteThread(hProcessRemote,NULL,0,pfnThreadRtn,”C:""MyLib.dll”,0,NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 细心的读者应该注意到一个问题：就是字符串”C:""MyLib.dll”是在调用进程的地址空间中，会导致远程进程的线程可能引发访问违规。所以我们必须将DLL的路径名字符串放入远程进程的地址空间中。 <code>//&nbsp;</code><code>向目标进程地址空间写入</code><code>DLL</code><code>名称</code> <code>DWORD&nbsp;dwSize,&nbsp;dwWritten;</code> <code>dwSize&nbsp;=&nbsp;lstrlenA(&nbsp;lpszDll&nbsp;)&nbsp;+&nbsp;1;</code> <code>LPVOID&nbsp;lpBuf&nbsp;=&nbsp;VirtualAllocEx(hProcess,&nbsp;NULL,&nbsp;dwSize,&nbsp;MEM_COMMIT,&nbsp;PAGE_READWRITE&nbsp;);</code> <code>WriteProcessMemory(&nbsp;hProcess,&nbsp;lpBuf,&nbsp;(LPVOID)lpszDll,&nbsp;dwSize,&nbsp;&amp;dwWritten&nbsp;)</code><code>；</code> HANDLE hThread = CreateRemoteThread(hProcessRemote,NULL,0,pfnThreadRtn,<code> lpBuf</code>, 0,NULL); <code>//&nbsp;</code><code>等待</code><code>LoadLibrary</code><code>加载完毕</code><code>,</code><code>对字符串空间进行回收</code> <code>VirtualFreeEx(&nbsp;hProcess,&nbsp;lpBuf,&nbsp;dwSize,&nbsp;MEM_DECOMMIT&nbsp;);</code> &nbsp;&nbsp;&nbsp; 这时，DLL已经被插入远程的地址空间中，同时DLL的DllMain函数接收到一个DLL_PROCESS_ATTACH通知，并且能够执行需要的代码。 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 需要提醒的是，这种插入DLL的方法存在唯一一个不足是，Windows98并不支持这样的函数。只能用在Window2000及以上版本。 &nbsp;2. 对记事本换肤 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 要对记事本换肤，需要解决2个问题： 第一、找到能对程序进行换肤DLL文件，这里我们采用Skin++ (<a href="http://www.uipower.com/" rel="nofollow">www.uipower.com</a>)作为换肤DLL； 第二、能将DLL远程注入到记事本的方法，该方法我们在上面已经做了介绍。 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 二、换肤的关键部分代码 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; TCHAR szLibFileName[_MAX_PATH]; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; GetModuleFileName(NULL, szLibFileName,_MAX_PATH); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CString strLibFileName(szLibFileName); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; strLibFileName = strLibFileName.Left(strLibFileName.ReverseFind(_T('""')) + 1); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; strLibFileName += _T("SkinPlusPlus.dll"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; _tcscpy(szLibFileName,strLibFileName); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; HWND hNotepad = ::FindWindow(_T("Notepad"),NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; if (hNotepad == NULL) return; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD dwRemoteProcessId; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ::GetWindowThreadProcessId( hNotepad, (DWORD*)&amp;dwRemoteProcessId ); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; HANDLE hRemoteProcess = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ, FALSE,dwRemoteProcessId); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //计算DLL路径名需要的内存空间 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int cb = (1 + _tcslen(szLibFileName)) * sizeof(TCHAR); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //使用VirtualAllocEx函数在远程进程的内存地址空间分配DLL文件名缓冲区 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; BYTE* pszLibFileRemote = (BYTE*) VirtualAllocEx( hRemoteProcess, NULL, cb,MEM_COMMIT, PAGE_EXECUTE_READWRITE); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //使用WriteProcessMemory函数将DLL的路径名复制到远程进程的内存空间 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int iReturnCode = WriteProcessMemory(hRemoteProcess,pszLibFileRemote, (PVOID)szLibFileName,cb, NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //计算LoadLibraryW的入口地址 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryA"); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; //启动远程线程LoadLibraryW，通过远程线程调用用户的DLL文件 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; HANDLE hThread = CreateRemoteThread( hRemoteProcess, NULL, 0,pfnStartAddr, pszLibFileRemote, 0, NULL); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; WaitForSingleObject( hThread, INFINITE ); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DWORD dwHandle; &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; GetExitCodeThread( hThread, &amp;dwHandle ); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; VirtualFreeEx( hRemoteProcess, pszLibFileRemote, cb, MEM_DECOMMIT ); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CloseHandle( hThread ); &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ::SetForegroundWindow(hNotepad); 三、结束语 &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; DLL的远程注入技术和软件换肤是目前Windows上非常流行的2项技术，您可以在很多场合同时看到这2者的身影，比如MSNShell。有兴趣的读者可以到<a href="http://www.msnshell.com/" rel="nofollow">http://www.msnshell.com/</a>上下载使用。 </td> 
 </tr> 
 </tbody> 
</table>

转载于:https://www.cnblogs.com/MaxWoods/archive/2008/06/25/1229784.html