闲着没事整理了一下DLL的N种注入方法.docx
《闲着没事整理了一下DLL的N种注入方法.docx》由会员分享，可在线阅读，更多相关《闲着没事整理了一下DLL的N种注入方法.docx（57页珍藏版）》请在冰豆网上搜索。
闲着没事整理了一下DLL的N种注入方法
闲着没事整理了一下DLL的N种注入方法，对学习外挂的朋友，应该有用！
第一种方法：
利用CreateRemoteThread远程建立线程的方式注入DLL．
首先，我们要提升自己的权限，因为远程注入必不可免的要访问到目
标进程的内存空间，如果没有足够的系统权限，将无法作任何事．下
面是这个函数是用来提升我们想要的权限用的．
functionEnableDebugPriv:
Boolean;
var
hToken:
THANDLE;
tp:
TTokenPrivileges;
rl:
Cardinal;
begin
result:
=false;
//打开进程令牌环
OpenProcessToken（GetCurrentProcess（）,
TOKEN_ADJUST_PRIVILEGESorTOKEN_QUERY,hToken）;
//获得进程本地唯一ID
ifLookupPrivilegeValue（nil,'SeDebugPrivilege',
tp.Privileges[0].Luid）then
begin
tp.PrivilegeCount:
=1;
tp.Privileges[0].Attributes:
=SE_PRIVILEGE_ENABLED;
//调整权限
result:
=AdjustTokenPrivileges（hToken,False,tp,
sizeof（tp）,nil,rl）;
end;
end;
关于OpenProcessToken（）和AdjustTokenPrivileges（）两个API
的简单介绍：
OpenProcessToken（）：
获得进程访问令牌的句柄．
functionOpenProcessToken（
ProcessHandle:
THandle;//要修改访问权限的进程句柄
DesiredAccess:
DWORD;//指定你要进行的操作类型
varTokenHandle:
THandle
）:
BOOL;//返回的访问令牌指针
AdjustTokenPrivileges（）：
调整进程的权限．
functionAdjustTokenPrivileges（
TokenHandle:
THandle; //访问令牌的句柄
DisableAllPrivileges:
BOOL;//决定是进行权限修改还是除
能（Disable）所有权限
constNewState:
TTokenPrivileges; //指明要修改的权限,
是一个指向TOKEN_PRIVILEGES结构的指针，该结构包含一个数组，数
据组的每个项指明了权限的类型和要进行的操作;
BufferLength:
DWORD; //结构PreviousState的长度,如果
PreviousState为空，该参数应为0
varPreviousState:
TTokenPrivileges;//指向
TOKEN_PRIVILEGES结构的指针，存放修改前的访问权限的信息
varReturnLength:
DWORD//实际PreviousState结构返回的大
小
）:
BOOL;
远程注入DLL其实是通过CreateRemoteThread建立一个远程线程调
用LoadLibrary函数来加载我们指定的DLL，可是如何能让远程线程
知道我要加载DLL呢，要知道在Win32系统下，每个进程都拥有自己的
4G虚拟地址空间，各个进程之间都是相互独立的。
所我们需要在远程
进程的内存空间里申请一块内存空间，写入我们的需要注入的DLL
的路径．需要用到的API函数有：
OpenProcess（）：
打开目标进程，得到目标进程的操作权限，详细参
看MSDN
functionOpenProcess（
dwDesiredAccess:
DWORD; //希望获得的访问权限
bInheritHandle:
BOOL; //指明是否希望所获得的句柄可以继
承
dwProcessId:
DWORD//要访问的进程ID
）:
THandle;
VirtualAllocEx（）：
用于在目标进程内存空间中申请内存空间以写入
DLL的文件名
functionVirtualAllocEx（
hProcess:
THandle; //申请内存所在的进程句柄
lpAddress:
Pointer; //保留页面的内存地址；一般用nil自
动分配
dwSize, //欲分配的内存大小，字节单位；注意实际分配的
内存大小是页内存大小的整数倍
flAllocationType:
DWORD;
flProtect:
DWORD
）:
Pointer;
WriteProcessMemory（）：
往申请到的空间中写入DLL的文件名
functionWriteProcessMemory（
hProcess:
THandle; //要写入内存数据的目标进程句柄
constlpBaseAddress:
Pointer;//要写入的目标进程的内存指
针,需以VirtualAllocEx（）来申请
lpBuffer:
Pointer;//要写入的数据
nSize:
DWORD;//写入数据的大小
varlpNumberOfBytesWritten:
DWORD//实际写入的大小
）:
BOOL;
然后就可以调用CreateRemoteThread建立远程线程调用
LoadLibrary函数来加载我们指定的DLL．
CreateRemoteThread（） //在一个远程进程中建立线程
functionCreateRemoteThread（
hProcess:
THandle; //远程进程的句柄
lpThreadAttributes:
Pointer;//线程安全描述字，指向
SECURITY_ATTRIBUTES结构的指针
dwStackSize:
DWORD; //线程栈大小，以字节表示
lpStartAddress:
TFNThreadStartRoutine; //一个
TFNThreadStartRoutine类型的指针，指向在远程进程中执行的函数
地址
lpParameter:
Pointer;//传入参数的指针
dwCreationFlags:
DWORD; //创建线程的其它标志
varlpThreadId:
DWORD//线程身份标志，如果为0,则不返回
）:
THandle;
整个远程注入DLL的具体实现代码如下：
functionInjectDll（constDllFullPath:
string;const
dwRemoteProcessId:
Cardinal）:
boolean;
var
hRemoteProcess,hRemoteThread:
THANDLE;
pszLibFileRemote:
Pointer;
pszLibAFilename:
PwideChar;
pfnStartAddr:
TFNThreadStartRoutine;
memSize,WriteSize,lpThreadId:
Cardinal;
begin
result:
=FALSE;
//调整权限，使程序可以访问其他进程的内存空间
ifEnableDebugPrivthen
begin
//打开远程线程PROCESS_ALL_ACCESS参数表示打开所有的权限
hRemoteProcess:
=OpenProcess（PROCESS_ALL_ACCESS,FALSE,
dwRemoteProcessId）;
try
//为注入的dll文件路径分配内存大小,由于为WideChar,故要
乘2
GetMem（pszLibAFilename,Length（DllFullPath）*2+1）;
//之所以要转换成WideChar,是因为当DLL位于有中文字符
的路径下时不会出错
StringToWideChar（DllFullPath,pszLibAFilename,Length
（DllFullPath）*2+1）;
//计算pszLibAFilename的长度，注意，是以字节为单元的
长度
memSize:
=（1+lstrlenW（pszLibAFilename））*sizeof
（WCHAR）;
//使用VirtualAllocEx函数在远程进程的内存地址空间分配
DLL文件名空间
pszLibFileRemote:
=VirtualAllocEx（hRemoteProcess,
nil,memSize,MEM_COMMIT,PAGE_READWRITE）;
ifAssigned（pszLibFileRemote）then
begin
//使用WriteProcessMemory函数将DLL的路径名写入到远程
进程的内存空间
ifWriteProcessMemory（hRemoteProcess,
pszLibFileRemote,pszLibAFilename,memSize,WriteSize）and
（WriteSize=memSize）then
begin
lpThreadId:
=0;
//计算LoadLibraryW的入口地址
pfnStartAddr:
=GetProcAddress（LoadLibrary
（'Kernel32.dll'）,'LoadLibraryW'）;
//启动远程线程LoadLbraryW,通过远程线程调用创建新
的线程
hRemoteThread:
=CreateRemoteThread
（hRemoteProcess,nil,0,pfnStartAddr,pszLibFileRemote,0,
lpThreadId）;
//如果执行成功返回 True;
if（hRemoteThread<>0）then
result:
=TRUE;
//释放句柄
CloseHandle（hRemoteThread）;
end;
end;
finally
//释放句柄
CloseHandle（hRemoteProcess）;
end;
end;
end;
接下来要说的是如何卸载注入目标进程中的DLL，其实原理和注入DLL
是完全相同的，只是远程调用调用的函数不同而已，这里要调用的是
FreeLibrary．代码如下：
functionUnInjectDll（constDllFullPath:
string; const
dwRemoteProcessId:
Cardinal）:
Boolean;
//进程注入和取消注入其实都差不多，只是运行的函数不同而已
var
hRemoteProcess,hRemoteThread:
THANDLE;
pszLibFileRemote:
pchar;
pszLibAFilename:
PwideChar;
pfnStartAddr:
TFNThreadStartRoutine;
memSize,WriteSize,lpThreadId,dwHandle:
Cardinal;
begin
result:
=FALSE;
//调整权限，使程序可以访问其他进程的内存空间
ifEnableDebugPrivthen
begin
//打开远程线程PROCESS_ALL_ACCESS参数表示打开所有的权限
hRemoteProcess:
=OpenProcess（PROCESS_ALL_ACCESS,FALSE,
dwRemoteProcessId）;
try
//为注入的dll文件路径分配内存大小,由于为WideChar,故要
乘2
GetMem（pszLibAFilename,Length（DllFullPath）*2+1）;
//之所以要转换成WideChar,是因为当DLL位于有中文字符
的路径下时不会出错
StringToWideChar（DllFullPath,pszLibAFilename,Length
（DllFullPath）*2+1）;
//计算pszLibAFilename的长度，注意，是以字节为单元的
长度
memSize:
=（1+lstrlenW（pszLibAFilename））*sizeof
（WCHAR）;
//使用VirtualAllocEx函数在远程进程的内存地址空间分配
DLL文件名空间
pszLibFileRemote:
=VirtualAllocEx（hRemoteProcess,
nil,memSize, MEM_COMMIT,PAGE_READWRITE）;
ifAssigned（pszLibFileRemote）then
begin
//使用WriteProcessMemory函数将DLL的路径名写入到远程
进程的内存空间
ifWriteProcessMemory（hRemoteProcess,
pszLibFileRemote,pszLibAFilename,memSize,WriteSize）and
（WriteSize=memSize）then
begin
//计算GetModuleHandleW的入口地址
pfnStartAddr:
=GetProcAddress（LoadLibrary
（'Kernel32.dll'）,'GetModuleHandleW'）;
//使目标进程调用GetModuleHandleW，获得DLL在目标进
程中的句柄
hRemoteThread:
=CreateRemoteThread
（hRemoteProcess,nil,0,
pfnStartAddr,pszLibFileRemote,0,lpThreadId）;
//等待GetModuleHandle运行完毕
WaitForSingleObject（hRemoteThread,INFINITE）;
//获得GetModuleHandle的返回值,存在dwHandle变量中
GetExitCodeThread（hRemoteThread,dwHandle）;
//计算FreeLibrary的入口地址
pfnStartAddr:
=GetProcAddress（LoadLibrary
（'Kernel32.dll'）,'FreeLibrary'）;
//使目标进程调用FreeLibrary，卸载DLL
hRemoteThread:
=CreateRemoteThread
（hRemoteProcess,nil,0,
pfnStartAddr,Pointer（dwHandle）,0,lpThreadId）;
//等待FreeLibrary卸载完毕
WaitForSingleObject（hRemoteThread,INFINITE）;
//如果执行成功返回 True;
ifhRemoteProcess<>0then
result:
=TRUE;
//释放目标进程中申请的空间
VirtualFreeEx（hRemoteProcess,pszLibFileRemote,
Length（DllFullPath）+1,MEM_DECOMMIT）;
//释放句柄
CloseHandle（hRemoteThread）;
end;
end;
finally
//释放句柄
CloseHandle（hRemoteProcess）;
end;
end;
end;
第二种方法：
采用CreateProcess的方法，实现起来比较复杂，但没有上面几种方法的局限性。
且可以用其他工
具（VC等）调试注入的DLL。
下面进行介绍。
原理如下：
1． 用CreateProcess（CREATE_SUSPENDED）启动目标进程。
2． 找到目标进程的入口，用ImageHlp中的函数可以实现。
3． 将目标进程入口的代码保存起来。
4． 在目标进程的入口写入LoadLibrary（MyDll）实现Dll的注入。
5． 用ResumeThread运行目标进程。
6． 目标进程就运行了LoadLibrary（MyDll），实现DLL的注入。
7． 目标进程运行完LoadLibrary（MyDll）后，将原来的代码写回目标进程的入口。
8． 目标进程Jmp至原来的入口，继续运行程序。
从原理上可以看出，DLL的注入在目标进程的开始就运行了，而且不是用Debug的方案，这样，就
没有上面方案的局限性了。
该方案的关键在6，7，8三步，实现方法需要监视进程和DLL合作。
下
面，结合代码进行分析。
在监视进程中，创建FileMapping，用来保存目标进程的入口代码，同时保证DLL中可以访问。
在
第7步实现将原目标代码写回目标进程的入口。
／／监视程序和DLL共用的结构体
#pragmapack（push,1） ／／保证下面的结构体采用BYTE对齐（必须）
typedefstruct
{
BYTE int_PUSHAD; //pushad 0x60
BYTE int_PUSH; //push&szDLL 0x68
DWORDpush_Value; // &szDLL="ApiSpy.dll"的path
BYTE int_MOVEAX; // moveeax&LoadLibrary 0xB8
DWORDeax_Value; // &LoadLibrary
WORD call_eax; // calleax 0xD0FF（FFD0）（LoadLibrary
（"ApiSpy.dll"）;
BYTE jmp_MOVEAX; // moveeax&ReplaceOldCode 0xB8
DWORDjmp_Value; // JMP的参数
WORD jmp_eax; // jmpeax 0xE0FF（FFE0）jmpReplaceOldCode;
charszDLL[MAX_PATH];// "ApiSpy.dll"的FullPath
}INJECT_LOADLIBRARY_CODE,*LPINJECT_CODE;
#pragmapack（pop,1）
上面结构体的代码为汇编代码，对应的汇编为：
pushad
pushszDll
moveax,&LoadLibraryA
calleax //实现调用LoadLibrary（szDll）的代码
moveax,oldentry
jmpeax//实现在LoadLibrary运行完后,跳至目标进程的入口继续运行
//FileMaping的结构体
typedefstruct
{
LPBYTE lpEntryPoint; //目标进程的入口地址
BYTE oldcode[sizeof（INJECT_CODE）]; //目标进程的代码保存
}SPY_MEM_SHARE,*LPSPY_MEM_SHARE;
准备工作：
第一步：
用CreateProcess（CREATE_SUSPENDED）启动目标进程。
CreateProcessA（0,szRunFile,0,0,FALSE,CREATE_SUSPENDED
0,NULL,&stInfo,
&m_proInfo）;
//用CreateProcess启动一个暂停的目标进程
//找到目标进程的入口点，函数如下
第二步：
找到目标进程的入口，用I
升级会员 