逆向基础学习 DLL远线程注入技术

末蓝、 2022-03-15 12:52 271阅读 0赞

# DLL远线程注入技术 #

## 一、进程和线程的关系 ##

进程（process）和线程（thread）是操作系统的基本概念，但它们比较抽象。

计算机的核心是CPU，它承担了所有的计算任务，就像一座工厂时刻在运行，假定工厂的电力有限，一次只能供给一个车间使用，单个CPU一次只能运行一个任务。

进程就好比工厂车间，它代表CPU所能处理的单个任务，任一时刻，CPU总是运行一个进程，其他进程处于非运行状态。

一个车间里可以有很多工人，他们协同完成一个任务。

线程就好比车间里的工人，**一个进程可以包括多个线程**。

车间的空间是工人们共享的，比如许多房间是每个工人都可以进出的，这象征**一个进程的内存空间是共享的，每个线程都可以使用这些共享内存**。

可是，每间房间的大小不同，有些房间最多只能容纳一个人，比如厕所。里面有人的时候，其他人就进不去了。这代表**一个线程使用某些共享内存时，其他线程必须等它结束，才能使用这一块内存**。

一个防止他人进入的简单方法，就是门口加一把锁。先到的一个人锁上门，后到的人看到上锁，就在门口排队，等锁打开再进去。这就叫**“互斥锁”（Mutex）**，防止多个线程同时读写某一块内存区域。

还有些房间，可以同时容纳n个人，比如厨房，也就是说，如果人数大于n，多出来的人只能在外面等着。这就好比某些内存区域，只能供给固定数目线程使用。这时的解决方法，就是在门口挂n把钥匙。进去的人就取一把钥匙，出来时再把钥匙挂回原处，后到的人发现钥匙架空了，就知道必须在门口排队等着了。这种做法叫做**“信号量”（Semaphore）**，用来保证多个线程不会互相冲突。

不难看出，mutex是semaphore的一种特殊情况（n=1）。也就是说，完全可以用后者替代前者。但是，因为mutex较为简单，且效率高，所以在必须保证资源独占的情况下，还是采用这种设计。

**操作系统的设计，可以归结为三点：**

**（1）以多进程形式，允许多个任务同时运行；**

**（2）以多线程形式，允许单个任务分成不同的部分运行；**

**（3）提供协调机制，一方面进程之间和线程之间产生冲突，另一方面允许进程之间和线程之间共享资源。**

## 二、远程线程的创建 ##

远线程注入技术的简单解释：

**强制创建一个目标进程的线程，将我们的木马DLL注入进去，加载 LoadLibrary（DLL加载函数）。**

**创建进程线程函数：CreateRemoteThread**

创建在另一个进程的**虚拟地址空间**中运行的线程。

句法：

HANDLE CreateRemoteThread(

HANDLE hProcess, //要创建线程的进程的句柄。

LPSECURITY*ATTRIBUTES lpThreadAttributes, // 指向SECURITY*ATTRIBUTES结构的指针

SIZE*T dwStackSize, // 堆栈的初始大小，以字节为单位。*

*LPTHREADSTARTROUTINE lpStartAddress, // 指向由线程执行的类型为LPTHREAD*START\_ROUTINE的应用程序定义函数的指针，表示远程进程中线程的起始地址。

LPVOID lpParameter, //指向要传递给线程函数的变量（**参数->dll所在路径**）的指针。

DWORD dwCreationFlags, //控制线程创建的标志。

LPDWORD lpThreadId //指向接收线程标识符的变量的指针。 );

**获取进程句柄的函数：OpenProcess**

句法：

HANDLE OpenProcess(

DWORD dwDesiredAccess, // 对进程对象的访问。根据进程的安全描述符检查此访问权限。

BOOL bInheritHandle, // 如果此值为TRUE，则此进程创建的进程将继承该句柄。

DWORD dwProcessId //要打开的本地进程的标识符。

);

如果函数成功，则返回值是指定进程的打开句柄。

**获取线程函数地址的函数：GetProcAddress**

句法：

FARPROC GetProcAddress(

HMODULE hModule, // DLL模块的句柄，包含函数或变量。

LPCSTR lpProcName, //函数或变量名称，或函数的序数值。

);

如果函数成功，则返回值是导出的函数或变量的地址。

**在虚拟地址中分配内存函数：VirtualAllocEx**

保留，提交或更改指定进程的虚拟地址空间内的内存区域的状态。该函数将其分配的内存初始化为零。

句法：

LPVOID VirtualAllocEx(

HANDLE hProcess, //进程的句柄。该函数在此进程的虚拟地址空间内分配内存。

LPVOID lpAddress, //指针，指定要分配的页面区域的所需起始地址。

SIZE\_T dwSize, //要分配的内存区域的大小，以字节为单位。

DWORD flAllocationType, //内存分配的类型。

DWORD flProtect //要分配的页面区域的内存保护。

);

如果函数成功，则返回值是分配的页面区域的基址。

**将数据写入指定进程中的内存区域函数：WriteProcessMemory**

句法：

BOOL WriteProcessMemory(

HANDLE hProcess, //要修改的进程内存的句柄。

LPVOID lpBaseAddress,//指向写入数据的指定进程中的基址的指针。

LPCVOID lpBuffer, //指向缓冲区的指针，该缓冲区包含要在指定进程的地址空间中写入的数据。

SIZE*T nSize, //要写入指定进程的字节数。*

*SIZE*T \*lpNumberOfBytesWritten //指向变量的指针，该变量接收传输到指定进程的字节数。

);

代码如下：

include "iostream"
    
    include <Windows.h>
    
    void InJect(int pid,char* Path) { //返回进程的句柄 HANDLE ProcessHandle = OpenProcess(PROCESSALLACCESS,NULL,pid);
    
    //申请一块内存给DLL路径
    LPVOID pReturnAddress =  VirtualAllocEx(ProcessHandle, NULL, strlen(Path) + 1, MEM_COMMIT,PAGE_READWRITE);
    
    //写入路径到上一行代码申请的内存中
    WriteProcessMemory(ProcessHandle, pReturnAddress, Path, strlen(Path) + 1, NULL);
    
    //获取LoadLibraryA函数的地址，也就是DLL载入函数的地址
    HMODULE hModule = GetModuleHandleA("kernel32.dll");
    LPTHREAD_START_ROUTINE lpStartAddress = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryA");
    
    //创建远程线程
    CreateRemoteThread(ProcessHandle, NULL, 0, lpStartAddress, pReturnAddress, 0, NULL);
    
    }
    
    int main() {
    
    const char* a = "C:\\Users\\HTML\\Desktop\\C++\\Project1\\Debug\\Dll1.dll";
    
    InJect(5760,(char*)a);
    
    
    return 0;
    
    }

查看进程PID：

![20190302205304759.png][]

运行程序，查看dll是否注入成功：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MTczMjQzMA_size_16_color_FFFFFF_t_70][]

成功了！但是这只是最基础的注入。

## 三、线程注入优化 ##

在多线程情况下，有时候我们会**希望等待某一线程完成了再让程序继续做其他事情**，要实现这个目的，可以使用Windows API函数WaitForSingleObject，或者WaitForMultipleObjects。等待线程，这个过程就是WaitForSingleObject。

防止程序线程阻塞

**等待线程函数：WaitForSingleObject**

句法：

DWORD WaitForSingleObject(

HANDLE hHandle, //对象的句柄。

DWORD dwMilliseconds //超时间隔，以毫秒为单位。如果*dwMilliseconds*是**INFINITE**，则发出对象信号时才返回该函数。**线程执行完毕，获取到了句柄，则发出信号。永久等待：有多久等多久**

);

如果函数成功，则返回值指示导致函数返回的事件。可参考[https://docs.microsoft.com/zh-cn/windows/desktop/api/synchapi/nf-synchapi-waitforsingleobject][https_docs.microsoft.com_zh-cn_windows_desktop_api_synchapi_nf-synchapi-waitforsingleobject]

优化之后的代码：

InJect函数：

注：strlen(Path)+1是为了防止内存溢出。

void InJect(int pid,char* Path)
    {
    	//返回进程的句柄
    	HANDLE ProcessHandle =  OpenProcess(PROCESS_ALL_ACCESS,NULL,pid);
    
    	//申请一块内存给DLL路径
    	LPVOID pReturnAddress =  VirtualAllocEx(ProcessHandle, NULL, strlen(Path) + 1, MEM_COMMIT,PAGE_READWRITE);
    
    	//写入路径到上一行代码申请的内存中
    	WriteProcessMemory(ProcessHandle, pReturnAddress, Path, strlen(Path) + 1, NULL);
    
    	//获取LoadLibraryA函数的地址，也就是DLL载入函数的地址
    	HMODULE hModule = GetModuleHandleA("kernel32.dll");
    	LPTHREAD_START_ROUTINE lpStartAddress = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryA");
    
    	//创建远程线程 获取线程的句柄
    	HANDLE hThread = CreateRemoteThread(ProcessHandle, NULL, 0, lpStartAddress, pReturnAddress, 0, NULL);
    
    	WaitForSingleObject(hThread,2000);
    
    	//关闭Handle，防止内存泄漏
    	CloseHandle(ProcessHandle);
    	CloseHandle(hThread);
    
    
    }

[20190302205304759.png]: /images/20220315/7e8f3ea1ebdf4d0580760ef283a25462.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MTczMjQzMA_size_16_color_FFFFFF_t_70]: /images/20220315/52cb3ac99c3e49a6b35f11b4f0805560.png
[https_docs.microsoft.com_zh-cn_windows_desktop_api_synchapi_nf-synchapi-waitforsingleobject]: https://docs.microsoft.com/zh-cn/windows/desktop/api/synchapi/nf-synchapi-waitforsingleobject