DLL 注入的三种方法

关于DLL

 关键实现：

1.从外部促使目标进程调用LoadLibrary（）API

2.被注入的dll拥有目标进程内存的访问权限

步骤：

1.首先创建好dll

2.然后将dll注入要钩取的目标进程

实现

1.创建远程线程

CreateRemoteThread()的主要功能就是驱使目标进程调用LoadLibrary函数进而加载指定的DLL文件

仔细观察线程函数ThreadProc()和LoadLibrary（）API

1.  
   //InjectDLL.cpp
2.  
   #include"windows.h"
3.  
   #include"tchar.h"
4.  
    
5.  
   BOOL InjectDLL(DWORD dwPID, LPCTSTR szDllPath)
6.  
   {
7.  
   //Handle内核对象，文件句柄，线程句柄，进程句柄
8.  
   HANDLE hProcess = NULL, hThread = NULL;
9.  
   HMODULE hMod = NULL;
10.  
    //无类型的指针
11.  
    LPVOID pRemoteBuf = NULL;
12.  
    DWORD dwBufSize = (DWORD)(_tcslen(szDllPath) 1) * sizeof(TCHAR);
13.  
    LPTHREAD_START_ROUTINE pThreadProc;
14.  
    //使用dwPID获取目标进程（notepad.exe）句柄
15.  
    if (!(hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPID))) {
16.  
    _tprintf(L"OpenProcess(%d) Failed (%d)\n", dwPID, GetLastError());
17.  
    return FALSE;
18.  
    }
19.  
    //在目标进程notepad.exe中分配szDllname大小的内存。
20.  
    pRemoteBuf = VirtualAllocEx(hProcess, NULL, dwBufSize, MEM_COMMIT, PAGE_READWRITE);
21.  
     
22.  
    //将myhack.dll路径写入分配的内存
23.  
    WriteProcessMemory(hProcess, pRemoteBuf, (LPVOID)szDllPath, dwBufSize, NULL);
24.  
     
25.  
    //获取loadlibraryW()API的地址
26.  
    hMod = GetModuleHandle(L"kernel32.dll");
27.  
    pThreadProc = (LPTHREAD_START_ROUTINE)GetProcAddress(hMod, "LoadLibraryW");
28.  
     
29.  
    //在notepad.exe中运行线程
30.  
    hThread = CreateRemoteThread(
31.  
    hProcess,
32.  
    NULL,
33.  
    0,
34.  
    pThreadProc,
35.  
    pRemoteBuf,
36.  
    0,
37.  
    NULL
38.  
    );
39.  
    WaitForSingleObject(hThread, INFINITE);
40.  
    CloseHandle(hThread);
41.  
    CloseHandle(hProcess);
42.  
    return TRUE;
43.  
    }
44.  
     
45.  
    int _tmain(int argc, TCHAR* argv[])
46.  
    {
47.  
    if (argc != 3)
48.  
    _tprintf(L"USAGE :%s pid dll_path\n", argv[0]);
49.  
    return 1;
50.  
     
51.  
     
52.  
    if (InjectDLL((DWORD)_tstol(argv[1]), argv[2])){
53.  
    _tprintf(L"InjectDll(\"%s\") sucess!!!\n ", argv[2]);
54.  
    }
55.  
    else {
56.  
    _tprintf(L"InjectDll(\"%s\") failed!!!\n ", argv[2]);
57.  
    }
58.  
    return 0;
59.  
    }

1.  
   // myhack.dll的代码
2.  
   #include "windows.h"
3.  
   #include "tchar.h"
4.  
   #include "pch.h"
5.  
   #include "myhack.h"
6.  
   #include<string.h>
7.  
   #include <urlmon.h>
8.  
   #pragma comment(lib, "urlmon.lib")
9.  
    
10.  
     
11.  
    #define DEF_URL (L"http://www.naver.com/index.html")
12.  
    #define DEF_FILE_NAME (L"index.html")
13.  
     
14.  
    HMODULE g_hMod = NULL;
15.  
     
16.  
    DWORD WINAPI ThreadProc(LPVOID lparam)
17.  
    {
18.  
    TCHAR szPath[260] = { 0, };
19.  
    if (!GetModuleFileName(g_hMod, szPath, MAX_PATH))
20.  
    {
21.  
    return FALSE;
22.  
    TCHAR* p = wcsrchr(szPath, '\\');
23.  
    if (!p)
24.  
    return FALSE;
25.  
    wcscpy_s(p 1, 260, DEF_FILE_NAME);
26.  
    URLDownloadToFileW(NULL, DEF_URL, szPath, 0, NULL);
27.  
    return 0;
28.  
    }
29.  
    }
30.  
     
31.  
    BOOL APIENTRY DllMain( HINSTANCE hinstDLL,
32.  
    DWORD fdwReason,
33.  
    LPVOID lpReserved
34.  
    )
35.  
    {
36.  
    HANDLE hThread = NULL;
37.  
    g_hMod = (HMODULE)hinstDLL;
38.  
    switch (fdwReason)
39.  
    {
40.  
    case DLL_PROCESS_ATTACH:
41.  
    OutputDebugString(L"myhack.dll Injection!!!");
42.  
    hThread = CreateThread(NULL, 0, ThreadProc, NULL, 0, NULL);
43.  
    CloseHandle(hThread);
44.  
    break;
45.  
    }
46.  
    return TRUE;
47.  
    }
48.  
     

注：关于系统dll和用户dll

        一般而言，dll文件的默认的ImageBase是0x10000000,在加载不同的dll文件时，可能会发生DLL重定位，例如依次加载a.dll和b.dll，先加载的a.dll被正常加载到了0x10000000处，后来的b.dll就不能被加载到此处，而是加载到其他的空白地址空间。

        而对于系统dll来说，以kernel32.dll为例，每次都会被加载到相同的地址。

 也就是说，系统dll每次加载的地址是固定的。

2.APPInit_DLLs

使用注册表

注意：

重启系统才能生效

3.SetWindowsHookEx()API同消息钩取

消息钩子：Message Hook

功能：

1.查看消息

2.修改消息

3.阻止消息的发送

 

 注：

1.  
   //KeyHook.dll
2.  
   #include "stdio.h"
3.  
   #include "windows.h"
4.  
   #include"pch.h"
5.  
    
6.  
   #define DEF_PROCESS_NAME "notepad.exe"
7.  
    
8.  
   HINSTANCE g_hInstance = NULL;
9.  
   HHOOK g_hHook = NULL;
10.  
    HWND g_hWnd = NULL;
11.  
     
12.  
    BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD dwReason, LPVOID lpvReserved)
13.  
    {
14.  
    switch (dwReason)
15.  
    {
16.  
    case DLL_PROCESS_ATTACH:
17.  
    g_hInstance = hinstDLL;
18.  
    break;
19.  
     
20.  
    case DLL_PROCESS_DETACH:
21.  
    break;
22.  
    }
23.  
     
24.  
    return TRUE;
25.  
    }
26.  
     
27.  
    LRESULT CALLBACK KeyboardProc(int nCode, WPARAM wParam, LPARAM lParam)
28.  
    {
29.  
    char szPath[MAX_PATH] = { 0, };
30.  
    char* p = NULL;
31.  
     
32.  
    if (nCode >= 0)
33.  
    {
34.  
    // bit 31 : 0 => key press, 1 => key release
35.  
    if (!(lParam & 0x80000000)) //释放键盘按键时
36.  
    {
37.  
    GetModuleFileNameA(NULL, szPath, MAX_PATH);
38.  
    p = strrchr(szPath, '\\');
39.  
     
40.  
    // 比较当前进程名称，若为notepad.exe ，则消息不会传递给应用程序（或下一个钩子）
41.  
    if (!_stricmp(p 1, DEF_PROCESS_NAME))
42.  
    return 1;
43.  
    }
44.  
    }
45.  
     
46.  
    // 若非notepad.exe 则调用 CallNextHookEx() 函数，将消息传递给应用程序（或下一个钩子）
47.  
    return CallNextHookEx(g_hHook, nCode, wParam, lParam);
48.  
    }
49.  
     
50.  
    #ifdef __cplusplus
51.  
    extern "C" {
52.  
    #endif
53.  
    __declspec(dllexport) void HookStart()
54.  
    {
55.  
    g_hHook = SetWindowsHookEx(WH_KEYBOARD, KeyboardProc, g_hInstance, 0);
56.  
    }
57.  
     
58.  
    __declspec(dllexport) void HookStop()
59.  
    {
60.  
    if (g_hHook)
61.  
    {
62.  
    UnhookWindowsHookEx(g_hHook);
63.  
    g_hHook = NULL;
64.  
    }
65.  
    }
66.  
    #ifdef __cplusplus
67.  
    }
68.  
    #endif

1.  
   //KeyHook.h
2.  
   #pragma once
3.  
   //typedef void (*PFN_HOOKSTART)();//这里是定义了两个函数指针。
4.  
   //typedef void (*PFN_HOOKSTOP)();
5.  
   extern "C" _declspec(dllexport) void HookStart();
6.  
   extern "C" _declspec(dllexport) void HookStop();

1.  
   //HookMain.cpp
2.  
   #include "stdio.h"
3.  
   #include "conio.h"
4.  
   #include "windows.h"
5.  
   #include <iostream>
6.  
    
7.  
   #define DEF_DLL_NAME "KeyHook.dll"
8.  
   #define DEF_HOOKSTART "HookStart"
9.  
   #define DEF_HOOKSTOP "HookStop"
10.  
     
11.  
    typedef void (*PFN_HOOKSTART)();//这里是定义了两个函数指针。
12.  
    typedef void (*PFN_HOOKSTOP)();
13.  
     
14.  
    void main()
15.  
    {
16.  
    HMODULE hDll = NULL;
17.  
    PFN_HOOKSTART HookStart = NULL;
18.  
    PFN_HOOKSTOP HookStop = NULL;
19.  
    char ch = 0;
20.  
     
21.  
     
22.  
    hDll = LoadLibraryA(DEF_DLL_NAME);//加载KeyHook.dll，获得dll的句柄
23.  
    if (hDll == NULL)
24.  
    {
25.  
    printf("LoadLibrary(%s) failed!!! [%d]", DEF_DLL_NAME, GetLastError());
26.  
    return;
27.  
    }
28.  
     
29.  
    HookStart = (PFN_HOOKSTART)GetProcAddress(hDll, DEF_HOOKSTART);//利用GetProcAddress()获得HookStart的函数地址
30.  
    HookStop = (PFN_HOOKSTOP)GetProcAddress(hDll, DEF_HOOKSTOP);//利用GetProcAddress()获得HookStop的函数地址
31.  
     
32.  
    HookStart();//开始钩取函数
33.  
     
34.  
    printf("press 'q' to quit!\n");
35.  
    printf("press 'q' to quit!\n");
36.  
    while (_getch() != 'q');//遇到键盘输入q就退出
37.  
     
38.  
    HookStop();//退出钩取函数
39.  
     
40.  
    FreeLibrary(hDll);
41.  
    }

基础知识积累及复习：

1.

2. 

3. 函数指针

函数指针的定义方式为：

函数返回值类型 (* 指针变量名) (函数参数列表);

例如：

4.

5.几个句柄的区别 

都是无符号类型的四个字节的整数

                为什么设置这么多的类型？

                      1.为了方便区分

                       2.避免当做整数进行加减乘除运算

 6.头文件：#include <string.h>

(1)._tcsrchr

查找字符串中某个字符最后一次出现的位置

两个参数

第一个参数：字符串

第二个参数：查找的字符

返回值：指向最后一次在字符串中出现的该字符的指针，如果要查找的字符再串中没有出现，则返回NULL。

(2)._tcschr
查找一个字符串中首次出现的指定字符。

两个参数
第一个参数：字符串
第二个参数：查找的字符
返回值：成功则返回要查找字符第一次出现的位置，失败返回NULL

7.

DLL的入口点函数.

switch (fdwReason)

    {

    case DLL_PROCESS_ATTACH:

当系统第一次将一个DLL映射到进程的地址空间的时候

    case DLL_THREAD_ATTACH:

当系统将一个DLL从进程的地址空间中撤销映射的时候

    case DLL_THREAD_DETACH:

    case DLL_PROCESS_DETACH:

        break;

    }

这篇好文章是转载于：学新通技术网