WinNT/Win2000/WinXP中的远线程技术之一

原创 2005年05月31日 15:55:00

WinNT/Win2000/WinXP中的远线程技术之一--DLL注入

    什么是远线程?我们知道用CreateThread可以在当前进程里建立一个线程,远线程与此类似,只不过是在其他进程中建立一个线程,用API函数CreateRemoteThread。这个远线程建立后就与建立它的进程无关了,而是进入了另外一个进程。举例说,进程A可以在进程B中建立一个远线程,这个远线程就是进程B中的线程了,而此时如果进程A结束了,也不会影响到那个远线程的运行,除非进程B也结束了,那个远线程才会结束。怎么样,是不是很神奇啊?现在我们来看看怎么建立远线程。

    最简单的远线程技术是DLL注入。好,先从这个讲起。所谓DLL注入就是将一个DLL放进某个进程的地址空间里,让它成为那个进程的一部分。要实现DLL注入,首先需要打开目标进程。

hRemoteProcess = OpenProcess( PROCESS_CREATE_THREAD | //允许远程创建线程
    PROCESS_VM_OPERATION | //允许远程VM操作
    PROCESS_VM_WRITE, //允许远程VM写
    FALSE, dwRemoteProcessId )
由于我们后面需要写入远程进程的内存地址空间并建立远程线程,所以需要申请足够的权限(PROCESS_CREATE_THREAD、VM_OPERATION、VM_WRITE)。

如果进程打不开,以后的操作就别想了。进程打开后,就可以建立远线程了,不过别急,先想想这个远线程的线程函数是什么?我们的目的是注入一个DLL。而且我们知道用LoadLibrary可以加载一个DLL到本进程的地址空间。于是,自然会想到如果可以在目标进程中调用LoadLibrary,不就可以把DLL加载到目标进程的地址空间了吗?对!就是这样。远线程就在这儿用了一次,建立的远线程的线程函数就是LoadLibrary,而参数就是要注入的DLL的文件名。(这里需要自己想一想,注意到了吗,线程函数ThreadProc和LoadLibrary函数非常相似,返回值,参数个数都一样) 还有一个问题,LoadLibrary这个函数的地址在哪儿?也许你会说,这个简单,GetProcAddress就可以得出。于是代码就出来了。

char *pszLibFileRemote="my.dll";

PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32"), "LoadLibraryA");

CreateRemoteThread( hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);

    但是不对!不要忘了,这是远线程,不是在你的进程里,而pszLibFileRemote指向的是你的进程里的数据,到了目标进程,这个指针都不知道指向哪儿去了,同样pfnStartAddr这个地址上的代码到了目标进程里也不知道是什么了,不知道是不是你想要的LoadLibraryA了。但是,问题总是可以解决的,Windows有些很强大的API函数,他们可以在目标进程里分配内存,可以将你的进程中的数据拷贝到目标进程中。因此pszLibFileRemote的问题可以解决了。

char *pszLibFileName="my.dll";//注意,这个一定要是全路径文件名,除非它在系统目录里;原因大家自己想想。
//计算DLL路径名需要的内存空间
int cb = (1 + lstrlenA(pszLibFileName)) * sizeof(char);
//使用VirtualAllocEx函数在远程进程的内存地址空间分配DLL文件名缓冲区
pszLibFileRemote = (char *) VirtualAllocEx( hRemoteProcess, NULL, cb, MEM_COMMIT, PAGE_READWRITE);
//使用WriteProcessMemory函数将DLL的路径名复制到远程进程的内存空间
iReturnCode = WriteProcessMemory(hRemoteProcess, pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);
    OK,现在目标进程也认识pszLibFileRemote了,但是pfnStartAddr好像不好办,我怎么可能知道LoadLibraryA在目标进程中的地址呢?其实Windows为我们解决了这个问题,LoadLibraryA这个函数是在Kernel32.dll这个核心DLL里的,而这个DLL很特殊,不管对于哪个进程,Windows总是把它加载到相同的地址上去。因此你的进程中LoadLibraryA的地址和目标进程中LoadLibraryA的地址是相同的(其实,这个DLL里的所有函数都是如此)。至此,DLL注入结束了。
 

WinNT/Win2000/WinXP中的远线程技术------DLL注入

我们知道用CreateThread可以在当前进程里建立一个线程,远线程与此类似,只不过是在其他进程中建立一个线程,用API函数CreateRemoteThread。这个远线程建立后就与建立它的进程无关...
  • beiujm
  • beiujm
  • 2005年06月12日 08:32
  • 316

我为什么喜欢用WIN2000而非WINXP

WINXP的光芒已经几乎被WINDOWS VISTA盖过去了,但到今天我的台式机用的还是WIN2000,原因是什么?其实原因非常简单,就在输入法上。WINXP和OFFICE XP开始引入了高级文字服务...
  • songthin
  • songthin
  • 2006年12月19日 14:16
  • 3436

Win2000/WinXP/Win2003双系统启动

Win98SE/WinME和Win2000/WinXP/Win2003双系统启动        首先简要分析(深入讨论请参阅此帖)因重装Win98SE/WinME导致双启动故障的原因: 那是因为你格式...
  • debren
  • debren
  • 2005年03月05日 16:06
  • 3190

远线程技术之一--DLL注入

WinNT/Win2000/WinXP中的远线程技术之一--DLL注入         什么是远线程?我们知道用CreateThread可以在当前进程里建立一个线程,远线程与此类似,只不过是在其他...
  • spx_tommy
  • spx_tommy
  • 2012年08月03日 16:38
  • 485

共享一下我收藏的精简版系统(WIN2000、WIN2003、WINXP)

http://u.115.com/file/f4d78715d9# 118M_WIN9_FIX.rar http://u.115.com/file/f4cd0efcd4# 118M_Wind...
  • fuzhangpeng
  • fuzhangpeng
  • 2012年08月10日 22:17
  • 3709

图解windows 2000系统安装步骤

1、插入WIN2K+SP4光盘,重启计算机(进入CMOS设置,设置计算机为“光盘第一启动”模式): (说明:如硬盘重新分区,请用DOS引导盘进入进行分区,格式化.最好C盘不小于5G.) 2、电脑重新启...
  • ecrown
  • ecrown
  • 2005年07月04日 09:53
  • 10084

使用MetaSploit在WinXP对Win2000进行攻击

使用MetaSploit在WinXP对Win2000进行攻击学习0day这本书时所做的实验,由于软件版本不好找,给同时学习的人写个借鉴,本人菜鸟一枚,仅仅总结自己的经验 虚拟机环境不作叙述,自己摸索着...
  • u012157549
  • u012157549
  • 2015年08月11日 20:58
  • 217

WinXP Win2000 Ubuntu8.04 =1PC

原先计算机上只有两个系统一个是win2000,另一个是winxp。Ubuntu8.04支持在windows环境下安装.并且可以像应用程序那样安装和卸载.在WinXp下安装成功.Ubuntu最多只占4G...
  • cxy1238
  • cxy1238
  • 2008年05月25日 11:50
  • 443

Win2000 & WinXP CMD下命令

accwiz.exe > 辅助工具向导 acsetups.exe > acs setup dcom server executable actmovie.exe > 直接显示安装工具 append.e...
  • gtr
  • gtr
  • 2005年02月01日 13:19
  • 1653

在win2000、winXP下看 **********

本文将讲述如何在win2000下如何编程实现得到应用程序中的密码框中的密码及网页密码框中的密码记得在win98的时候,只要向一个密码框发一个WM_GETTEXT的消息就可以很容易的得到了其中的密码,微...
  • sunyuzhe114
  • sunyuzhe114
  • 2003年01月12日 14:32
  • 944
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:WinNT/Win2000/WinXP中的远线程技术之一
举报原因:
原因补充:

(最多只允许输入30个字)