远程线程注入技术（2）之数据的注入

最新推荐文章于 2023-03-08 23:41:35 发布

bobopeng

最新推荐文章于 2023-03-08 23:41:35 发布

阅读量1.3k

点赞数 1

分类专栏： windows系统编程

本文链接：https://blog.csdn.net/junbopengpeng/article/details/28150515

版权

本文详细介绍了远程线程注入技术，包括如何在目标进程中写入代码和数据，利用CreateRemoteThread函数创建远程线程，以及对比远程线程注入代码与注入DLL的区别，并分析了两种技术的优缺点。

摘要由CSDN通过智能技术生成

首先我们需要知道对于“远程线程”以及“远程线程注入代码”的定义。实际上，远程线程就是进程A在进程B中创建了一个线程，这个线程的代码将会做出我们已经在程序中描述的内容。说到这里，可能小伙伴们会有疑问了，在windows 9x之后虚拟存储器使每个进程都具有自己的地址空间，保证了每个进程之间互不干扰。但是在这里又说进程A可以在进程B中创建一个线程，你是在逗我吗？实际上我没有逗你。虽然每个进程在32位机上拥有独立的4G地址空间，但是进程之间还是可以共享数据的，例如通过DLL，还有我们现在正在讨论的在其他进程写入我们自己的代码。那到底是怎么回事呢？实际上微软为编译器提供了很多访问其他进程的API，例如在其他进程创建远程线程的API是CreateRemoteThread，但是我们也可以使用这个API，所以我们可以在其他进程的地址空间中写入我们自己所需要功能的线程。实际上我们还可以把代码直接写入到其他进程的地址空间。那么“远程线程注入代码”是怎么定义的呢？顾名思义，那应该是在进程A中把我们自己的代码和数据写入到进程B的地址空间。的确是这样，那为什么需要把我们的代码写入到其他地址空间呢？这是因为完成我们制定功能的代码是运行在其他进程的，所以必须写入到其他进程。而且在写入后需要在我们自己创建的进程中返回函数和数据的地址，这样在我们自己创建的进程中可以使用API CreateRemoteThread调用这些返回来的数据，就可以在其他进程创建我们自己的线程了。实际上CreateRemoteThread函数的两个重要的参数（远程线程函数和其对应的参数都应该是其他进程地址空间中地址而非本地进程）。