轉載請宣告出處：http://www.cnblogs.com/predator-wang/p/5076681.html

 

5. 無DLL注入(遠端程式碼注入)

在第三中方法種，我們啟動遠端執行緒時，執行緒函式是我們從Kernel32.dll中取得的LoadLibrary函式的地址為執行緒函式的地址，其實我們可以直接將執行緒函式體和函式引數寫入目標程序的地址空間，然後建立遠端執行緒。

使用這個方法時，需要注意以下幾個問題：

(1) 遠端執行緒函式體不得使用kernel32.dll，user32.dll以外的函式。因為這個兩個模組在各個程序的相對地址是一樣的，如果一定要使用其它函式，則必須將函式體寫入目標程序空間。

(2) 不能使用任何字串常量，因為字串常量是存放在PE檔案裡.data這個段裡面的，函式裡儲存的只是相對地址。

 

(3) 去掉編譯器的/GZ編譯選項，這個選項是用來Enable Stack Frame Run-Time Error Checking。當這個選項開啟時，編譯器會在每個函式中加入一些程式碼，用來檢驗ESP在函式體中是否被改變，但是這些檢驗函式的地址在不同PE檔案中 有可能是不一樣的。

 

(4) 不得使用增量連結（incremental linking）。增量連結是編譯器為了減少連結時間做的處理，把函式體用一個JMP指令代替，這樣就可以隨意改變函式的內容，而不用修改CALL指令。

 

(5) 不要在函式體內使用超過4kb的區域性變數。區域性變數是存放在棧中的，例如下面這個函式

 

:00401000   push ebp

 :00401001   mov  ebp, esp

 

 :00401003   sub  esp, 00000100           ; change ESP as storage for

 

                                          ; local variables is needed

 

 :00401006   mov  byte ptr [esp], 00      ; var[0] = 0;

 

 :0040100A   mov  byte ptr [esp+01], 01   ; var[1] = 1;

 

 :0040100F   mov  byte ptr [esp+FF], FF   ; var[255] = 255;

 

 :00401017   mov  esp, ebp                ; restore stack pointer

 

 :00401019   pop  ebp

 

 :0040101A   ret

 

 但是當局部變數的大小超過4kb時，棧指標並不直接改版，而是呼叫另一個函式來分配記憶體，這個函式有可能在不同程序中的地址不一樣。

 

(6) 函式體內switch語句中的case不要超過3個，否則編譯器會在PE檔案中使用跳轉表，而這個跳轉表有可能在目標程序中並不存在。

   下面是一個無DLL注入(程式碼注入)的例子：

例如我們要把程式碼注入到HW.exe中，HW.exe的原始碼很簡單，如下：

 

#include <iostream>
#include <windows.h>
using namespace std;

int main()//指標陣列
{
    cout << "HelloWorld" << endl;
    MessageBoxW(NULL, L"hello", L"hello", MB_OK);
    system("pause");
    return 0;
}

 

檢視程序ID:

實現注入程式碼的程式NoDLLInject.exe：

#include <iostream>
#include <Windows.h>
#include <string.h>
#include <tchar.h>

using namespace std;

typedef struct _RemotePara{
    PVOID dwMessageBox;
    wchar_t strMessageBox[12];
}RemotePara;
// 遠端執行緒執行體  

DWORD __stdcall ThreadProc(RemotePara *Para)
{
    typedef int( *PMessageBox) (HWND, LPCWSTR, LPCWSTR, UINT);
    PMessageBox MessageBoxFunc = (PMessageBox)Para->dwMessageBox;
    MessageBoxFunc(NULL, Para->strMessageBox, Para->strMessageBox, MB_OK);

    return 0;
}


void EnableDebugPriv()   
{
    HANDLE hToken;
    LUID sedebugnameValue;
    TOKEN_PRIVILEGES tkp;
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
        return;
    if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &sedebugnameValue))
    {
        CloseHandle(hToken);
        return;
    }
    tkp.PrivilegeCount = 1;
    tkp.Privileges[0].Luid = sedebugnameValue;
    tkp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    if (!AdjustTokenPrivileges(hToken, FALSE, &tkp, sizeof tkp, NULL, NULL))
    {
        CloseHandle(hToken);
    }
}

int main(int argc, char *argv[])
{
    DWORD THREADSIZE = 1024;
    DWORD pID = 23060;
    DWORD byte_write;
    HANDLE hRemoteProcess, hThread;
    RemotePara myRemotePara, *pRemotePara;
    void *pRemoteThread;
    HINSTANCE hUser32;
    

    hRemoteProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pID);
    cout << hRemoteProcess << endl;

    if (!hRemoteProcess)
        return 0;
    // 在遠端程序地址空間分配虛擬記憶體  
    pRemoteThread = VirtualAllocEx(hRemoteProcess, 0, THREADSIZE, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    cout << pRemoteThread << endl;
    if (!pRemoteThread)
        return 0;
// 將執行緒執行體ThreadProc寫入遠端程序  
    
    if (!WriteProcessMemory(hRemoteProcess, pRemoteThread, &ThreadProc, THREADSIZE, 0))
    {
        VirtualFreeEx(hRemoteProcess, pRemoteThread, 1024, MEM_RELEASE);
        return 0;
    }
    //cout << &ThreadProc << endl;
    ZeroMemory(&myRemotePara, sizeof(RemotePara));

    hUser32 = LoadLibraryW(L"user32.dll");
    myRemotePara.dwMessageBox = (PVOID)GetProcAddress(hUser32, "MessageBoxW");
    cout << myRemotePara.dwMessageBox << endl;
    wcscat(myRemotePara.strMessageBox, L"Hello!"); //複製MessageBox函式的引數  
    //寫進目標程序       
    pRemotePara = (RemotePara *)VirtualAllocEx(hRemoteProcess, 0, sizeof(RemotePara), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    cout << pRemotePara << endl;
    if (!pRemotePara)
        return 0;
    if (!WriteProcessMemory(hRemoteProcess, pRemotePara, &myRemotePara, sizeof myRemotePara, 0))
    {
        VirtualFreeEx(hRemoteProcess, pRemotePara, sizeof(RemotePara), MEM_RELEASE);
        return 0;
    }
        
    // 啟動執行緒   
    hThread = CreateRemoteThread(hRemoteProcess, 0, 0, (LPTHREAD_START_ROUTINE)pRemoteThread, pRemotePara, 0, &byte_write);
    //myRemotePara.dwMessageBox(NULL, L"Hello", L"Hello", MB_OK);
    FreeLibrary(hUser32);
    CloseHandle(hRemoteProcess);

    system("pause");
    return 0;
}

 

 注入成功：

實驗成功之前有個小插曲，就是同樣的NoDLLInject.exe，但是注入時就會報錯：

其原因就在於最開始被注入的HW.exe的原始碼是：

#include <iostream>
#include <windows.h>
using namespace std;

int main()//指標陣列
{
    cout << "HelloWorld" << endl;
    system("pause");
    return 0;
}

這裡沒有用到MessageBoxW，檢視其匯入表，也就沒有user32.dll：

相關推薦