一种隐藏注入DLL的方式，DLL重定位

最新推荐文章于 2024-10-12 08:34:48 发布

immortal_mcl

最新推荐文章于 2024-10-12 08:34:48 发布

阅读量5.2k

点赞数 1

分类专栏：系统技术文章标签： dll patch bt api c

系统技术专栏收录该内容

1 篇文章 0 订阅

订阅专栏

from 老外的一款war3的外挂，呵呵，就是WUtil啦

不得不PF，居然可以把魔法值像血条那样显示，其实这个愿望以前想过，但真的不知道如何去实现。

不知道是war3本身就有这个功能，还是老外确实那么BT地实现了，这个是后话，正在研究中~~~

对Mh.Pdll分析了下，发现他是注入dll实现的，因为有些功能必须是在DLL中完成，不像以前的全图，只是小小地patch下game.dll。而我发现war3运行后不能发现注入的dll模块（比如processExplorer不能发现），难道他用了我的lpk.dll同样的trick？

非也，lpk.dll隐藏技术是基于peb的，仔细分析了MH.pdll后，发现他注入的思路还有点特别。虽然它也是基于远线程的。

一般远线程dll注入都是把dll路径写入目标进程，然后CreateRemoteThread中把LoadLiberaryA/W作为线程起始地址。因为加载dll用的标准的LoadLiberaryA/W，所以用processExplorer之类会在目标进程发现这个dll。

WUtil的伎俩是：Loader本身会加载Mh.pdll，这样mh.pdll里面IAT已经构建完成——这个不好说的，就是所有需要用的系统API都得到了的意思。其次就是重定位，在目标进程VirtualAllocEx一段跟本DLL相同大小的内存空间，得到其内存起始地址，A。在本进程也VirtualAlloc一段跟本dll相同大小的空间,B。对本进程分配的内存进行重定位操作，注意基址是按A计算，差值是本DLL基址和A之差。重定位当然需要读重定位表，也就是dlll中.reloc那段，相关结构可以参考一些资料，我这里没有去查，不过不难，直接张贴IDA中分析的吧。

dwXXX = v10 - v6;                                             // 差值
do
{
    pBlockRVA = *(_DWORD *)pcurReloc;
    dwBlockSize = *(_DWORD *)(pcurReloc + 4);
    dwCurSize = 8;
    pcurReloc += 8;
    if ( dwBlockSize > 8 )
    {
      do
      {
        itemRVA = *(_WORD *)pcurReloc;
        pcurReloc += 2;
        dwCurSize += 2;
        if ( itemRVA >> 12 )
        {
          if ( itemRVA >> 12 != 3 )
            return 4;
          *(_DWORD *)((char *)modBase + pBlockRVA + (itemRVA & 0xFFF)) += dwXXX;
        }
      }
      while ( dwCurSize < dwBlockSize );
    }
}
while ( dwBlockSize );

最后把B全部WriteProcessMemory到目标进程然后CreateRemoteThread调用某个函数地址就OK拉。一般CreateRemoteThread用了就玩完了，可以设置下Wait下远线程的句柄，函数调用实现后马上就释放内存，什么痕迹也没留下。最后，就是dll导出接口的函数需要自己确定下地址。不知道时候是不是可以过某些杀软的反远线程DLL注入。

哎，表达能力太差，大概只有自己看得懂。