利用远程线程来进行DLL注入

这种方法只能在WIN2000中使用（XP，和最新的2003不知道）。具体步骤如下：

　　１）、取得远程进程的进程ID；

　　２）、在远程进程空间中分配一段内存用来存放要注入的DLL完整路径；

　　３）、将要注入的DLL的路径写到刚才分配的远程进程空间；

　　４）、从Kernel32.dll中取得LoadLibray的地址；

　　５）、调用CreateRemoteThread函数以从Kernel32.dll中取得的LoadLibrary函数的地址为线程函数的地址，以我们要注入的DLL文件名为参数，创建远程线程；

　　在第二三步中，为什么要把我们要注入的DLL的文件名写到远程进程的地址空间进行*作，《WINDOWS核心编程》中是这样描述的：

“（要注入的DLL文件名）字符串是在调用进程的地址空间中。该字符串的地址已经被赋予新创建的远程线程，该线程将它传递给L o a d L i b r a r y A。但是，当L o a d L i b r a r y A取消对内存地址的引用时， D L L路径名字符串将不再存在，远程进程的线程就可能引发访问违规”；



　　至于第四步中为什么不直接对LoadLibrary进行调用，《WINDOWS核心编程》中是这样描述的：

“如果在对C r e a t e R e m o t e T h r e a d的调用中使用一个对L o a d L i b r a r y A的直接引用，这将在你的模块的输入节中转换成L o a d L i b r a r y A的形实替换程序的地址。将形实替换程序的地址作为远程线程的起始地址来传递，会导致远程线程开始执行一些令人莫名其妙的东西。其结果很可能造成访问违规。”



好了，下面开始我们的例子。

　　１、同上面应用HOOK来进行DLL注入一样，我们先创建一个DLL工程，这个DLL完全可以不编写任何代码，因为我们只想将DLL注入到指定进程就达到目的了，但为了好看，我还是随便在其中写一个API函数。代码如下：



extern "C" __declspec(dllexport) __stdcall void About();



int WINAPI DllEntryPoint(HINSTANCE hinst, unsigned long reason, void* lpReserved)

{

return 1;

}

//---------------------------------------------------------------------------



void __declspec(dllexport) __stdcall About()

{

MessageBox(NULL,"这个DLL模块演示了DLL的注入技术。\n"

"通过程序的调用LoadLibrary将本模块注入到指定的"

"进程的地址空间中。", "DLL注入技术",

MB_ICONINFORMATION + MB_OK);

}

　　编译它，就得到我们用来注入的DLL文件了。接下来是测试工程。

　　２、编写测试工程。用BCB建立一个应用程序工程，在窗体中放入两个按钮，一个用来注入，一个用来撤消，另外还有一个文本框控件，用来等待用户输入进程ID号。代码如下：



//---------------------------------------------------------------------------



// DLL注入函数

BOOL WINAPI LoadLib(DWORD dwProcessId, LPWSTR lpszLibName)

{

HANDLE hProcess = NULL,

hThread = NULL;

LPWSTR lpszRemoteFile = NULL;



// 打开远程进程

hProcess = OpenProcess(PROCESS_CREATE_THREAD

| PROCESS_VM_OPERATION

| PROCESS_VM_WRITE,

FALSE,

dwProcessId);

if (hProcess == NULL)

{

MessageBox(NULL, ("OpenProcess failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}



// 在远程进程中分配存贮DLL文件名的空间

lpszRemoteFile = (LPWSTR)VirtualAllocEx(hProcess, NULL,

sizeof(WCHAR) * lstrlenW(lpszLibName) + 1,

MEM_COMMIT, PAGE_READWRITE);

if (lpszRemoteFile == NULL)

{

MessageBox(NULL, ("VirtualAllocEx failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 复制DLL文件名到远程刚分配的进程空间

if (!WriteProcessMemory(hProcess, lpszRemoteFile,

(PVOID)lpszLibName, sizeof(WCHAR) * lstrlenW(lpszLibName) + 1,

NULL))

{

MessageBox(NULL, ("WriteProcessMemory failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 取得LoadLibrary函数在Kennel32.dll中的地址

PTHREAD_START_ROUTINE pfnThreadRtn =

(PTHREAD_START_ROUTINE)GetProcAddress(

GetModuleHandle("Kernel32.dll"),"LoadLibraryW");

if (pfnThreadRtn == NULL)

{

MessageBox(NULL, ("GetProcAddress failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 创建远程线程

hThread = CreateRemoteThread(hProcess,

NULL,

0,

pfnThreadRtn, // LoadLibrary地址

lpszRemoteFile, // 要加载的DLL名

0,

NULL);

if (hThread == NULL)

{

MessageBox(NULL, ("CreateRemoteThread failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 等待线程返回

WaitForSingleObject(hThread, INFINITE);



// 释放进程空间中的内存

VirtualFreeEx(hProcess, lpszRemoteFile, 0, MEM_RELEASE);

// 关闭句柄

CloseHandle(hThread);

CloseHandle(hProcess);



return TRUE;

}



// 在进程空间释放注入的DLL

BOOL WINAPI FreeLib(DWORD dwProcessId, LPTSTR lpszLibName)

{

HANDLE hProcess = NULL,

hThread = NULL,

hthSnapshot = NULL;

MODULEENTRY32 hMod = {sizeof(hMod)};

BOOL bFound;



// 取得指定进程的所有模块映象

hthSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,

dwProcessId);

if (hthSnapshot == NULL)

{

MessageBox(NULL, ("CreateRemoteThread failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 取得所有模块列表中的指定的模块

BOOL bMoreMods = Module32First(hthSnapshot, &hMod);

if (bMoreMods == FALSE)

{

MessageBox(NULL, ("Module32First failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 循环取得想要的模块

for (;bMoreMods; bMoreMods = Module32Next(hthSnapshot, &hMod))

{

//ShowMessage(String(hMod.szExePath) + " | " + String(lpszLibName));

if ((strcmp(hMod.szExePath, lpszLibName) == 0) ||

(strcmp(hMod.szModule, lpszLibName) == 0))

break;

}

// 打开进程

hProcess = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION,

FALSE, dwProcessId);

if (hProcess == NULL)

{

MessageBox(NULL, ("OpenProcess failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 取得FreeLibrary函数在Kernel32.dll中的地址

PTHREAD_START_ROUTINE pfnThreadRtn =

(PTHREAD_START_ROUTINE)GetProcAddress(

GetModuleHandle("Kernel32.dll"), "FreeLibrary");

if (pfnThreadRtn == NULL)

{

MessageBox(NULL, ("GetProcAddress failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 创建远程线程来执行FreeLibrary函数

hThread = CreateRemoteThread(hProcess,

NULL,

0,

pfnThreadRtn,

hMod.modBaseAddr,

0,

NULL);

if (hThread == NULL)

{

MessageBox(NULL, ("CreateRemoteThread failed with error "

+ IntToStr(GetLastError())).c_str(), "Error",

MB_ICONINFORMATION + MB_OK);

return FALSE;

}

// 等待线程返回

WaitForSingleObject(hThread, INFINITE);



// 关闭句柄

CloseHandle(hThread);

CloseHandle(hthSnapshot);

CloseHandle(hProcess);



return TRUE;

}

//---------------------------------------------------------------------------

void __fastcall TfrmMain::btLoadClick(TObject *Sender)

{

m_szDllFile = Application->ExeName;

m_szDllFile = m_szDllFile.SubString(0, m_szDllFile.Length()

- String(StrRScan(m_szDllFile.c_str(),'\\')).Length());

m_szDllFile = m_szDllFile + "\\DllLib.dll";

m_dwProcessId = StrToInt(Edit->Text);



LoadLib(m_dwProcessId, WideString(m_szDllFile).c_bstr());

}

//---------------------------------------------------------------------------

void __fastcall TfrmMain::btUnloadClick(TObject *Sender)

{

FreeLib(m_dwProcessId, m_szDllFile.c_str());

}

//---------------------------------------------------------------------------

好了，把上面的工程编译成生EXE文件，接下来我们就可以进行DLL的注入测试了。先打开记事本（当然你也可以打开其它的进程，或直接在已经加载的进程测试），通过WINDOWS的任务管理器，找到它的进程ID。然后运行我们的测试工程，在文本框中输入进程ID，点击注入。这时我们就可以通过我们最先写的小工具来查看它的进程空间中所包含的模块了，你会发现，我们的DLL已经成功加载到了它的进程空间中。点击卸载，取消DLL的注入。