远线程DLL注入主要通过使用API CreateRemoteThread创建远程线程来实现,CreateRemoteThread与创建线程用的CreateThread非常相似,除了第一个参数hProcess之外,其他参数都是一样的。hProcess用于指定要在哪个进程中创建远程线程,也就是需要将DLL注入的那个进程。
为了通过将远程线程与DLL加载关联起来,我们可以把LoadLibraryW作为线程函数,把DLL的路径作为线程的参数。对于DLL的路径,因为用户态进程空间是互相独立的,所以我们需要通过VirtualAllocEx在目标进程中分配一块足够大小的内存空间,用于存放DLL的路径字符串,可以通过WriteProcessMemory这个API来实现跨进程写数据。那么又如何获取目标进程空间中LoadLibraryW的地址呢?对于kernel32.dll这样的DLL,操作系统会保证他们在任何进程中加载的基地址都是一样的,这样以来,kernel32.dll中的导出函数的地址也会是固定的,所以我们可以直接通过GetModuleHandle和GetProcAddress这两个API来获取LoadLibraryW的地址。
由于创建远程线程需要进行跨进程内存空间分配、跨进程内存数据读写等操作,所以是需要一定的权限的。我们必须将发起进程提升到一定的权限,否则操作会失败。通常将进程提升到DEBUG权限即可。
示例代码:
// 实际使用时请合理校验中间步骤的操作结果是否成功
BOOL DllInject(DWORD dwPid, TCHAR szDllPath[])
{
BOOL bRet = FALSE;
HANDLE hRemoteProcess = OpenProcess(
PROCESS_CREATE_THREAD | PROCESS_VM_WRITE | PROCESS_VM_OPERATION,
FALSE,
dwPid);
HMODULE hKrl32 = GetModuleHandle(TEXT("kernel32.dll"));
RemoteThreadProc remoteThreadProc = (RemoteThreadProc)GetProcAddress(hKrl32, "LoadLibraryW");
DWORD cbSize = (lstrlen(szDllPath) + 1) * sizeof(szDllPath[0]);
TCHAR *pszRemoteParam = (TCHAR *)VirtualAllocEx(hRemoteProcess,
0, cbSize,
MEM_COMMIT, PAGE_READWRITE);
BOOL bWriteMem = WriteProcessMemory(hRemoteProcess,
(PVOID)pszRemoteParam,
(PVOID)szDllPath,
cbSize,
NULL);
HANDLE hThread = CreateRemoteThread(hRemoteProcess,
NULL,
0,
remoteThreadProc,
(LPVOID)pszRemoteParam,
0,
NULL);
WaitForSingleObject(hThread, INFINITE);
// 判断注入是否成功
DWORD dwExitCode = 0;
bRet = GetExitCodeThread(hThread, &dwExitCode);
if (NULL == dwExitCode)
{
bRet = FALSE;
}
CloseHandle(hThread);
VirtualFreeEx(hRemoteProcess, (LPVOID)pszRemoteParam, cbSize, MEM_RELEASE);
CloseHandle(hRemoteProcess);
return bRet;
}
如何卸载远程DLL呢?同样可以使用这个方法来调用GetModuleHandle和FreeLibrary。