原創文章，轉載請貼出處

遠端注入時有一個不痛不癢的問題，DLL與shellcode如何解除安裝自身，做到無痕清除？

由於我的DLL自解除安裝用到了Shellcode，所以兩個問題都需要解決。

DLL解除安裝一般使用FreeLibrary，但是如果DLL自己Free自己，會遇到下一條指令（eip/rip）無效的問題（DLL自己的記憶體空間已經解除安裝了，而下一條指令仍然指向原來的DLL空間）。微軟給出的解決辦法是FreeLibraryAndExitThread這個函式，解除安裝DLL後立馬退出。

FreeLibrary只是把DLL的引用計數減1，如果之前多次LoadLibrary，則需要多次FreeLibrary來完全解除安裝

在DLL外部，以下程式碼可以完全解除安裝DLL：

        while(ret)

         {

                   ret= FreeLibrary(hmod);

         }

但是不能在DLL內部使用。

於是想到可以通過把釋放DLL的程式碼寫成Shellcode，這樣即使DLL被解除安裝也不會使eip無效。

通過GlobalAlloc得到緩衝區（不能用malloc，因為它的記憶體隨DLL一同釋放了），用VirtualProtect使緩衝區可執行，

一點要注意，我的上一篇文章提到VC需要關閉幾個開關才能正常的拷貝函式記憶體指令

struct myEnvir

{

         ptGetProcAddress GetProcAddress;

         ptFreeLibrary FreeLibrary;

         ptExitThread ExitThread;

         ptGlobalFree GlobalFree;

} ;

long__stdcall  DoTrulyUnloadDLLAndExitThread(myEnvir* par,HMODULE hmod,DWORD exitcode,void

{

         BOOL ret=1;

        //ptFreeLibrary PFreeLibrary=(ptFreeLibrary)par->GetProcAddress(par->hmodkernel,par->pfree);

        // PExitThread=(ptExitThread)par->GetProcAddress(par->hmodkernel,par->pexit);

        while(ret)

         {

                   ret=par->FreeLibrary(hmod);

         }

        void* pExit=par->ExitThread;

        void* pFree=par->GlobalFree;

        __asm{

                   push exitcode

                   push 0

                   push pcode

                   push pExit

                   jmp pFree

         }

        return 0;

}

void__stdcall TrulyUnloadDLLAndExitThread(HMODULE hmod,DWORD exitcode)

{

        void* p=(BYTE*)GlobalAlloc(GMEM_FIXED,200);

         memcpy(p,DoTrulyUnloadDLLAndExitThread,200);

         DWORD oldpro;

         VirtualProtect(p,100,PAGE_EXECUTE_READWRITE,&oldpro);   

        typedef long (__stdcall *ptFun)(myEnvir* par,HMODULE hmod,DWORD exitcode,void* pcode);

         ptFun pFun=(ptFun)p;

         myEnvir par={GetProcAddress,FreeLibrary,ExitThread,GlobalFree};

         pFun(&par,hmod,exitcode,p);

}

要注意所有的API函式地址都被重定位過了，所以我們的shellcode需要呼叫者提供幾個API函式的地址（見結構體myEnvir）

Shellcode仍然需要解除安裝自己，因為它是由GlobalAlloc分配的，如果這樣結束的話就會造成記憶體洩漏。於是使用了一些堆疊技巧

        __asm{

                   push exitcode

                   push 0

                   push pcode

                   push pExit

                   jmp pFree

         }

Call一個函式會把返回地址push入堆疊，我們自己把exitthread的地址push入堆疊，作為返回地址，然後呼叫GlobalFree，由於free掉了shellcode後直接到了exitthread，所以不會造成錯誤。

在x64環境下大同小異，只是呼叫ExitThread和GlobalFree時用rcx傳引數，而且彙編程式碼需要用shellcode完成

X64程式碼：

struct myEnvir

{

         ptGetProcAddress GetProcAddress;

         ptFreeLibrary FreeLibrary;

         ptExitThread ExitThread;

         ptGlobalFree GlobalFree;

} ;

long__stdcall  DoTrulyUnloadDLLAndExitThread(myEnvir* par,HMODULE hmod,DWORD exitcode,void* pcode)

{

         BOOL ret=1;

        //ptFreeLibrary PFreeLibrary=(ptFreeLibrary)par->GetProcAddress(par->hmodkernel,par->pfree);

        // PExitThread=(ptExitThread)par->GetProcAddress(par->hmodkernel,par->pexit);

        while(ret)

         {

                   ret=par->FreeLibrary(hmod);

         }

        //par->ExitThread(exitcode);

        typedef void (*ptShellcode)(void* pcode,void* pexit,void* pfree);

         ptShellcode pFun=(ptShellcode)((char*)pcode+200);

         pFun(pcode,par->ExitThread,par->GlobalFree);

        /*void* pExit=par->ExitThread;

         void* pFree=par->GlobalFree;

         __asm{

                   push exitcode

                   push 0

                   push pcode

                   push pExit

                   jmp pFree

         }*/

        return 0;

}

void__stdcall TrulyUnloadDLLAndExitThread(HMODULE hmod,DWORD exitcode)

{

UCHAR shellcode[10]=

"\x48\x83\xEC\x28"//4

"\x52"            //5

"\x41\xFF\xE0";   //8         

        void* p=(BYTE*)GlobalAlloc(GMEM_FIXED,300);

         memset(p,0xcc,300);

         memcpy(p,DoTrulyUnloadDLLAndExitThread,200);

         memcpy((char*)p+200,shellcode,sizeof(shellcode));

         DWORD oldpro;

         VirtualProtect(p,300,PAGE_EXECUTE_READWRITE,&oldpro);   

        typedef long (__stdcall *ptFun)(myEnvir* par,HMODULE hmod,DWORD exitcode,void* pcode);

         ptFun pFun=(ptFun)p;

         myEnvir par={GetProcAddress,FreeLibrary,ExitThread,GlobalFree};

         pFun(&par,hmod,exitcode,p);

}

2014-02-13