WIN32 DLL注入的基本原理

没想到入坑WIN32居然是从这个地方，由于对WIN32不太了解，所以摸索起来比较困难。sad师傅推荐了《windows核心编程》这本书，个人感觉还是挺好的，就是得耐下心多读读才能领会。

0x00 Win下进程的内存结构

程序在运行时会把自身的二进制文件加入到内存中，其中相关的函数、变量等都会在内存中对应固定的地址。但是程序功能一般不会仅靠单独一个二进制文件实现，有时还需要调用系统提供的API来进行一些操作。而这通常是靠引用预先集成了许多函数的DLL（动态链接库）文件，并调用其中的函数来实现。由于DLL不包含在程序的二进制文件中，所以需要在运行的时候由操作系统加入到进程的内存空间中。

那么如果我们能够编写一个工具，实现将我们自己编写的DLL注入到另一个不同的进程的内存空间中，就相当于有了间接控制这个进程的能力。（在此处只讨论如何注入）

0x01 几个要用到的win32 API

进程相关

OpenProcess 获得要注入进程的句柄
VirtualAllocEx在远程进程中开辟出一段内存
WriteProcessMemory将Dll的名字写入第二步开辟出的内存中
CreateRemoteThread将LoadLibraryA作为线程函数，参数为Dll的名称，创建新线程
CloseHandle关闭线程句柄

权限相关

OpenProcessToken打开进程令牌
LookupPrivilegeValue
AdjustTokenPrivileges

具体参数可以百度或者谷歌搜索，也可以参考sad师傅的博客关于这些API的介绍：

https://www.jianshu.com/p/044931d7e4d6

0x02 思路

提升进程权限（非必须）
利用进程PID获得目标进程的句柄
在目标进程中开辟出一段内存写入需要调用的DLL的路径（因为后续步骤加载DLL时所用的参数需要在同一内存空间中）
获得 LoadLibraryA 在目标进程中的地址（通常在所有进程中是一样的），利用 LoadLibraryA 作为线程函数，DLL路径地址作为参数，在目标进程中创建一个线程用来加载DLL
完成注入后关闭相关句柄

0x03 代码实现

进程提权

int EnableDebugPriv(const char* name)
{
    HANDLE hToken;
    TOKEN_PRIVILEGES tp;
    LUID luid;
    //打开进程令牌环
    //GetCurrentProcess()获取当前进程句柄
    OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken);
    //获得进程本地唯一ID
    LookupPrivilegeValue(NULL, (LPCWSTR)name, &luid);
    tp.PrivilegeCount = 1;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    tp.Privileges[0].Luid = luid;
    //调整权限
    int ret = AdjustTokenPrivileges(hToken, 0, &tp, sizeof(TOKEN_PRIVILEGES), NULL, NULL);
    return ret;
}

DLL注入

int remoteInjection(const DWORD PID) {
    HANDLE hRemoteProcess;
    HANDLE hRemoteThread;
    char* pszLibFileRemote;

    printf("DEFAULT DLL PATH: %s\n", DLLname);

    if (!EnableDebugPriv((const char*)SE_DEBUG_NAME)) {
        cout << "* FAIL TO: Get SEDEBUG privilege" << endl;
        return 0;
    }
    else {
        cout << "* SUCCESS TO: Get SEDEBUG privilege" << endl;
    }
/*拿到目标进程句柄*/
    hRemoteProcess = OpenProcess(PROCESS_ALL_ACCESS, false, PID);
    if (hRemoteProcess) {
        cout << "* SUCCESS TO: Open process" << endl;
        cout << "Got Handle: " << hRemoteProcess << endl;
    }
    else {
        cout << "* FAIL TO: Open process" << endl;
        return 0;
    }
/*开辟一段内存*/
    pszLibFileRemote = (char *)VirtualAllocEx(hRemoteProcess, NULL, strlen(DLLname) + 10, MEM_COMMIT, PAGE_READWRITE);
    if (pszLibFileRemote) {
        cout << "* SUCCESS TO: Allocate remote memory space" << endl;
        printf("Remote addr: 0x%p\n", (long long)pszLibFileRemote);
    }
    else {
        cout << "* FAIL TO: Allocate remote memory space" << endl;
        return 0;
    }
/*写入DLL路径到目标进程*/
    if (WriteProcessMemory(hRemoteProcess, pszLibFileRemote, (void *)DLLname, strlen(DLLname) + 10, NULL)) {
        cout << "* SUCCESS TO: Write memory" << endl;
    }
    else {
        cout << "* FAIL TO: Write memory" << endl;
        return 0;
    }
    //PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)LoadLibraryA;
/*获得LoadLibraryA函数的地址*/
    PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandleA("kernel32"), "LoadLibraryA");
    if (pfnStartAddr == NULL) {
        cout << "* FAIL TO: Get LoadLibraryA() addr" << endl;
        return 0;
    }
    else
    {
        cout << "* SUCCESS TO: Get LoadLibraryA() addr" << endl;
        printf("LoadLibraryA addr: 0x%p\n", (long long)pfnStartAddr);
    }
/*在目标进程中创建线程加载DLL*/
    hRemoteThread = CreateRemoteThread(hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);
    //在这一步注入了自己创建的DLL
    if (hRemoteThread) {
        cout << "* SUCCESS TO: Create remote thread" << endl;
    }
    else {
        cout << "* FILE TO: Create remote thread" << endl;
        return 0;
    }
/*等待线程结束*/
    WaitForSingleObject(hRemoteThread, INFINITE);
/*关闭句柄*/
    CloseHandle(hRemoteProcess);
    CloseHandle(hRemoteThread);
    return 1;
}

完整项目源码

github： https://github.com/yikesoftware/Remote_DLL_Injection

本项目在vs2019下编写

项目提供了：

用于注入的程序源码
带有注入成功弹窗提示的测试用DLL源码
被注入的测试程序源码

注意

部分受保护进程可能会出现注入失败