CreateProcess注入方法

采用 CreateProcess 的方法，实现起来比较复杂，但没有上面几种方法的局限性。且可以用其他工 具（ VC 等）调试注入的 DLL 。下面进行介绍. 原理如下：

1 ．    用 CreateProcess （ CREATE_SUSPENDED ）启动目标进程。
2 ．    找到目标进程的入口，用 ImageHlp 中的函数可以实现。
3 ．    将目标进程入口的代码保存起来。
4 ．    在目标进程的入口写入 LoadLibrary （ MyDll ）实现 Dll 的注入。
5 ．    用 ResumeThread 运行目标进程。
6 ．    目标进程就运行了 LoadLibrary （ MyDll ），实现 DLL 的注入。
7 ．    目标进程运行完 LoadLibrary(MyDll) 后，将原来的代码写回目标进程的入口。
8 ．    目标进程 Jmp 至原来的入口，继续运行程序。

从原理上可以看出， DLL 的注入在目标进程的开始就运行了，而且不是用 Debug 的方案，这样，就 没有上面方案的局限性了。该方案的关键在 6 ， 7 ， 8 三步，实现方法需要监视进程和 DLL 合作。下 面，结合代码进行分析。

在监视进程中，创建 FileMapping ，用来保存目标进程的入口代码，同时保证 DLL 中可以访问。在 第 7 步实现将原目标代码写回目标进程的入口。

[c-sharp]  view plain copy

1. // 监视程序和DLL共用的结构体  
2. #pragma pack (push ,1) // 保证下面的结构体采用BYTE对齐（必须）  
3. typedef struct   
4. {  
5.        BYTE      int_PUSHAD;         // pushad        0x60         
6.        BYTE      int_PUSH;             // push &szDLL     0x68  
7.        DWORD push_Value;           //            &szDLL = "ApiSpy.dll"的path  
8.        BYTE      int_MOVEAX;              //  move eax &LoadLibrary  0xB8  
9.        DWORD eax_Value;             //     &LoadLibrary  
10.        WORD    call_eax;         //     call eax    0xD0FF(FF D0) (LoadLibrary  
11. ("ApiSpy.dll");  
12.        BYTE      jmp_MOVEAX;             //     move eax &ReplaceOldCode  0xB8         
13.        DWORD jmp_Value;             //     JMP的参数  
14.        WORD    jmp_eax;        //     jmp eax   0xE0FF(FF E0) jmp ReplaceOldCode;  
15.        char szDLL[MAX_PATH]; //  "ApiSpy.dll"的FullPath  
16. }INJECT_LOADLIBRARY_CODE, *LPINJECT_CODE;  
17. #pragma pack (pop , 1)  

上面结构体的代码为汇编代码，对应的汇编为：

[cpp]  view plain copy

1. pushad  
2. push szDll  
3. mov eax, &LoadLibraryA  
4. call eax  // 实现调用LoadLibrary(szDll)的代码  
5. mov eax, oldentry  
6. jmp eax // 实现在LoadLibrary运行完后, 跳至目标进程的入口继续运行  
7. // FileMaping的结构体  
8. typedef struct   
9. {  
10.        LPBYTE  lpEntryPoint;   // 目标进程的入口地址  
11.        BYTE      oldcode[sizeof(INJECT_CODE)];        // 目标进程的代码保存  
12. }SPY_MEM_SHARE, * LPSPY_MEM_SHARE;  

准备工作：

第一步：用 CreateProcess （ CREATE_SUSPENDED ）启动目标进程。

[cpp]  view plain copy

1. // 用CreateProcess启动一个暂停的目标进程  
2. CreateProcessA(0, szRunFile, 0, 0, FALSE, CREATE_SUSPENDED  
3.                             0, NULL, &stInfo,  
4.                             &m_proInfo) ;  

//  找到目标进程的入口点，函数如下

第二步：找到目标进程的入口，用 ImageHlp 中的函数可以实现。

[cpp]  view plain copy

1. pEntryPoint = GetExeEntryPoint(szRunFile);  
2. LPBYTE  GetExeEntryPoint(char *filename)  
3. {  
4.        PIMAGE_NT_HEADERS      pNTHeader;  
5.        DWORD pEntryPoint;  
6.        PLOADED_IMAGE       pImage;  
7.        pImage = ImageLoad(filename, NULL);  
8.        if(pImage == NULL)  
9.               return NULL;  
10.        pNTHeader = pImage->FileHeader;  
11.        pEntryPoint = pNTHeader->OptionalHeader.AddressOfEntryPoint + pNTHeader-  
12. >OptionalHeader.ImageBase;  
13.        ImageUnload(pImage);  
14.        return (LPBYTE)pEntryPoint;  
15. }  
16. // 创建FileMapping  
17. hMap = CreateFileMapping((HANDLE)0xFFFFFFFF, NULL,  
18.        PAGE_READWRITE,    0, sizeof(SPY_MEM_SHARE), “MyDllMapView”);  

//  保存目标进程的代码

第三步：将目标进程入口的代码保存起来。

[cpp]  view plain copy

1. LPSPY_MEM_SHARE   lpMap = pMapViewOfFile(hMap, FILE_MAP_ALL_ACCESS, 0, 0, 0);  
2. ReadProcessMemory(m_proInfo.hProcess, pEntryPoint,  
3.                     &lpMap->oldcode, sizeof(INJECT_CODE),  
4.                      &cBytesMoved);  
5.        lpMap->lpEntryPoint = pEntryPoint;  

//  第四步：在目标进程的入口写入 LoadLibrary （ MyDll ）实现 Dll 的注入。

[c-sharp]  view plain copy

1. // 准备注入DLL的代码  
2.        INJECT_CODE     newCode;  
3. // 写入MyDll―――用全路径  
4.        lstrcpy(newCode.szDLL, szMyDll);  
5. // 准备硬代码（汇编代码）  
6.        newCode.int_PUSHAD = 0x60;      
7.        newCode.int_PUSH = 0x68;  
8.        newCode.int_MOVEAX = 0xB8;  
9.        newCode.call_eax = 0xD0FF;  
10.        newCode.jmp_MOVEAX = 0xB8;  
11.        newCode.jmp_eax = 0xE0FF;  
12.        newCode.eax_Value = (DWORD)＆LoadLibrary;  
13.        newCode.push_Value=(pEntryPoint + offsetof(INJECT_CODE,szDLL));  
14. // 将硬代码写入目标进程的入口  
15. // 修改内存属性  
16. DWORD dwNewFlg, dwOldFlg;  
17. dwNewFlg = PAGE_READWRITE;  
18. VirtualProtectEx(m_proInfo.hProcess, (LPVOID)pEntryPoint, sizeof(DWORD), dwNewFlg, &dwOldFlg);  
19. WriteProcessMemory(m_proInfo.hProcess, pEntryPoint, &newCode, sizeof(newCode), NULL);//&dwWrited);  
20. VirtualProtectEx(proInfo.hProcess, (LPVOID)pEntryPoint, sizeof(DWORD), dwOldFlg, &dwNewFlg);  
21. // 释放FileMaping  注意，不是Closehandle(hMap)  
22. UnmapViewOfFile(lpMap);  

//  继续目标进程的运行

第五步：用 ResumeThread 运行目标进程。

[cpp]  view plain copy

1. ResumeThread(m_proInfo.hThread);  

在监视进程中就结束了自己的任务，剩下的第 6 ， 7 ， 8 步就需要在 Dll 的 DllMain 中进行配合。

DLL 中用来保存数据的结构体

[cpp]  view plain copy

1. typedef struct  
2. {  
3.          DWORD    lpEntryPoint;  
4.          DWORD    OldAddr;  
5.          DWORD    OldCode[4];  
6. }JMP_CODE,* LPJMP_CODE;  
7. static JMP_CODE  _lpCode;  

//  在 DllMain 的 DLL_PROCESS_ATTACH 中调用 InitApiSpy 函数

//  在该函数中实现第 6 ， 7 ， 8 步



第六步：目标进程就运行了 LoadLibrary （ MyDll ），实现 DLL 的注入。

[c-sharp]  view plain copy

1. int    WINAPI DllMain(HINSTANCE hInst, DWORD dwReason, LPVOID lpReserved)  
2. {  
3.        switch(dwReason)  
4.        {  
5.        case DLL_PROCESS_ATTACH:  
6.               return InitApiSpy();  
7. ……  
8. // InitApiSpy函数的实现  
9. BOOL WINAPI InitApiSpy()  
10. {  
11.        HANDLE hMap;  
12.        LPSPY_MEM_SHARE   lpMem;  
13.        DWORD dwSize;  
14.        BOOL     rc;  
15.        BYTE*    lpByte;  
16.        // 取得FileMapping的句柄  
17.        hMap = OpenFileMapping(FILE_MAP_ALL_ACCESS, 0, “MyDllMapView”);  
18.        if(hMap)  
19.        {  
20.               lpMem = (LPSPY_MEM_SHARE)MapViewOfFile(hMap,  
21.                                                                         
22. FILE_MAP_ALL_ACCESS,  
23.                                                                       0, 0, 0);  
24.               if(lpMem)  
25.               {  

第七步：目标进程运行完 LoadLibrary(MyDll) 后，将原来的代码写回目标进程的入口。

[cpp]  view plain copy

1.                      // 恢复目标进程的入口代码  
2. // 得到mov eax, value代码的地址  
3.                      _lpCode.OldAddr = (DWORD)((BYTE*)lpMem->lpEntryPoint + offsetof(INJECT_CODE, jmp_MOVEAX));  
4.                      _lpCode.lpEntryPoint = (DWORD)lpMem->lpEntryPoint;  
5.                      // 保存LoadLibrary()后面的代码  
6.                      memcpy(&_lpCode.OldCode, (BYTE*)lpMem->oldcode + offsetof(INJECT_CODE, jmp_MOVEAX), 2*sizeof(DWORD));  
7.                      // 恢复目标进程的入口代码  
8.                      rc = WriteProcessMemory(GetCurrentProcess(), lpMem->lpEntryPoint, lpMem->oldcode, sizeof(INJECT_CODE), &dwSize);  
9.                      lpByte = (BYTE*)lpMem->lpEntryPoint + offsetof(INJECT_CODE, jmp_MOVEAX);  
10.                      UnmapViewOfFile(lpMem);  
11.               }  
12.               CloseHandle(hMap);  
13.        }  
14. // 实现自己Dll的其他功能，如导入表的替换  
15. //     ……  
16. // 将LoadLibrary后面的代码写为转入处理程序中  
17. // 指令为：mov eax, objAddress  
18. //         jmp eax  
19.        {  
20.               BYTE*    lpMovEax;  
21.               DWORD*      lpMovEaxValu;  
22.               WORD*  lpJmp;  
23.               DWORD fNew, fOld;  
24.               fNew = PAGE_READWRITE;  
25.               lpMovEax = lpByte;  
26.               VirtualProtect(lpMovEax, 2*sizeof(DWORD), fNew, &fOld);  
27.               *lpMovEax = 0xB8;  
28.               lpMovEaxValu = (DWORD*)(lpMovEax + 1);  
29.               *lpMovEaxValu = (DWORD)&DoJmpEntryPoint;  
30.               lpJmp = (WORD*)(lpMovEax + 5);  
31.               *lpJmp = 0xE0FF;  // (FF E0)  
32.               VirtualProtect(lpMovEax, 2*sizeof(DWORD), fOld, &fNew);  
33.        }  
34.        return TRUE;  
35. }  
36. // 转入处理程序  
37. DWORD*      lpMovEax;  
38. DWORD fNew, fOld;  
39. void __declspec(naked) DoJmpEntryPoint ()  
40. {  
41.   // 恢复LoadLibrary后面的代码  
42.        _gfNew = PAGE_READWRITE;  
43.        _glpMovEax = (DWORD*)_lpCode.OldAddr;  
44.        VirtualProtect(_glpMovEax, 2*sizeof(DWORD), _gfNew, &_gfOld);  
45.        *_glpMovEax = _lpCode.OldCode[0];  
46.        *(_glpMovEax + 1) = _lpCode.OldCode[1];  
47.        VirtualProtect(_glpMovEax, 2*sizeof(DWORD), _gfOld, &_gfNew);  

第八步：目标进程 Jmp 至原来的入口，继续运行程序。

[cpp]  view plain copy

1. // 跳至目标代码的入口  
2.        _asm       popad  
3.        _asm       jmp _lpCode.lpEntryPoint  
4. }  

这样就实现了原来的目标，将 DLL 的注入放在目标进程的入口运行，实现了目标进程运行之前运行 我们的注入 Dll 的功能。