转:DLL注入大法—之利用特洛伊DLL进行注入

这种方法的原理就是由自己写一个与原有进程调用的DLL具有相同接口函数的DLL，再用我们的DLL替换原有的DLL。在替换的过程中，由我们自己编写感兴趣的函数替换原有函数，而对其它不感兴趣的函数，则以函数转发的形式调用原有DLL中的函数。这里面有个前提，就是你在编写DLL时你必须知道原有DLL中的函数都有哪些，以免导至其它进程调用DLL时找不到相应的API函数，特别是在替换系统DLL文件时更要小心。

下面就来演示一下这种方式。我是这样做的，首先写一个DLL作为被替换的DLL，名为DllLib.dll（最后更名为_DllLib.dll），然后写特洛伊DLL，名为TroyDll.Dll（最后更名为原有DLL名，即DllLib.dll），与DllLib.Dll具有相同的API函数过程，但是对其中的一个API函数做更改，使其完成我们的工作，因为另外还有一个API函数需要对其进行函数转发，转给原来的DLL，即（更名为_DllLib.dll的DllLib.dll）。这时我们的测试程序本来是调用的DllLib.dll的，但由于DllLib.dll已经被TroyDll.dll替换了，所以测试程序实际上调用的是TroyDll.dll，而对于做转发的函数，则是通过TroyDll.Dll调用DllLib.dll（更名后的_DllLib.dll）完成的。此时我们的特洛伊DLL实际上已经注入到我们的测试程序的进程空间中来了。


1、编写本来的DLL。DllLib.dll（更名后为_DllLib.dll）的代码如下：

//===========================================================================

// 文件: UnitLib.cpp

// 说明: 演示用特洛伊DLL进行DLL注入.这个是本身的DLL,另一个特洛伊DLL将

// 对它进行函数转发,并实现另外的功能.

// 作者: 陶冶（无邪）

//===========================================================================


// 函数声明

extern "C" __declspec(dllexport) __stdcall void About();

extern "C" __declspec(dllexport) __stdcall int Add(int a, int b);


int WINAPI DllEntryPoint(HINSTANCE hinst, unsigned long reason, void* lpReserved)

{

return 1;

}

//---------------------------------------------------------------------------


void __declspec(dllexport) __stdcall About()

{

try

{

MessageBox(NULL,"这是本来的DLL文件！","原来的DLL",

MB_ICONINFORMATION + MB_OK);

}catch(Exception &e)

{

MessageBox(NULL,e.Message.c_str(),"DllLib",MB_OK);

}

}


// 两数相加（注意：这里是两数相加）

int __declspec(dllexport) __stdcall Add(int a, int b)

{

return (a + b);

}


2、编写特洛伊DLL。TroyDll.dll的代码如下：


//===========================================================================

// 文件: UnitTroy.cpp

// 说明: 这个是特洛伊DLL,呆会将它的DLL文件更改为要替换的DLL文件名

// 作者: 陶冶

//===========================================================================


extern "C" __declspec(dllexport) __stdcall void About();

extern "C" __declspec(dllexport) __stdcall int Add(int a, int b);

int Multiply(int a, int b);


// DLL中的函数原形声明

typedef void (WINAPI *ABOUT)();

typedef int (WINAPI *ADD)(int a, int b);


static String szDllName;


int WINAPI DllEntryPoint(HINSTANCE hinst, unsigned long reason, void* lpReserved)

{

szDllName = Application->ExeName;

szDllName = szDllName.SubString(0,szDllName.Length()

- String(StrRScan(szDllName.c_str(),'/')).Length());

// 更名后的DllLib.dll文件名

szDllName = szDllName + "/_DllLib.dll";

return 1;

}

//---------------------------------------------------------------------------


void __declspec(dllexport) __stdcall About()

{

// 直接做函数转发

HANDLE hDll = NULL;

hDll = LoadLibrary(szDllName.c_str());

ABOUT about;


try

{

if (hDll != NULL)

{

about = (ABOUT)GetProcAddress(hDll,"About");

if (about != NULL)

about();

}

else

MessageBox(NULL,"载入原来的DLL错误！", "特洛伊DLL",

MB_ICONINFORMATION + MB_OK);

}catch(Exception &e)

{

MessageBox(NULL,e.Message.c_str(),"DllTroy",MB_OK);

}

}


int __declspec(dllexport) __stdcall Add(int a, int b)

{

int nRet;

HANDLE hDll = NULL;

ADD add;


hDll = LoadLibrary(szDllName.c_str());

if (hDll != NULL)

{

// 为了方便演示，这里再做一次函数转发，以便看到本来应该返回的值。

add = (ADD)GetProcAddress(hDll,"Add");

if (add != NULL)

nRet = add(a, b);

ShowMessage("这是本来DLL中的调用结果：" + IntToStr(nRet));

}

else

MessageBox(NULL, "载入本来的DLL错误！", "特洛伊DLL", MB_OK);

// 将原来完成两数相加的更改为两数相乘，返回两数的积。

nRet = Multiply(a, b);

return nRet;

}


int Multiply(int a, int b)

{

return (a * b);

}


3、编写测试工程。在窗体中添加两个按钮，分别调用DllLib.dll中的两个API函数。代码如下：

typedef (WINAPI *ABOUT)();

typedef int (WINAPI *ADD)(int a, int b);


//---------------------------------------------------------------------------

__fastcall TfrmMain::TfrmMain(TComponent* Owner)

: TForm(Owner)

{

}

//---------------------------------------------------------------------------

void __fastcall TfrmMain::FormCreate(TObject *Sender)

{

m_szDllName = Application->ExeName;

m_szDllName = m_szDllName.SubString(0,m_szDllName.Length()

- String(StrRScan(m_szDllName.c_str(),'/')).Length());

m_szDllName = m_szDllName + "/DllLib.dll";

}

//---------------------------------------------------------------------------

// 调用About()函数

void __fastcall TfrmMain::Button1Click(TObject *Sender)

{

HANDLE hDll;

ABOUT about;


try

{

hDll = LoadLibrary(m_szDllName.c_str());

if (hDll != NULL)

{

about = (ABOUT)GetProcAddress(hDll,"About");

if (about != NULL)

about();

}

}catch(Exception &e)

{

MessageBox(Handle, e.Message.c_str(), "ERROR",MB_OK);

}

}

//---------------------------------------------------------------------------

// 调用Add()函数

void __fastcall TfrmMain::Button2Click(TObject *Sender)

{

HANDLE hDll;

ADD add;

int nRet;


hDll = LoadLibrary(m_szDllName.c_str());

if (hDll != NULL)

{

add = (ADD)GetProcAddress(hDll,"Add");

if (add != NULL)

nRet = add(10, 2);

ShowMessage("从特洛伊DLL中返回的结果 : " + IntToStr(nRet));

}

}


4、测试。将DllLib.dll更名为_DllLib.dll，将TroyDll.dll更名为DllLib.dll，即完成了DLL的替换。下面运行我们的测试工程，单击调用About()函数的按钮，因为About()是通过DllLib.dll（即TroyDll.dll）做的函数转发（转以给原DLL，即_DllLib.dll），所以看到的是原DLL（即_DllLib.dll）中弹出的信息框。此时用查看进程模块的工具来查看进程空间，你会发现，你的特洛伊DLL（更名后的DllLib.dll）已经成功以注入到了测试程序的进程空间中了。

单击调用Add()函数的按钮，你会看到本来是完成两数相加的，返回的结果却是两数的积，因为我们已经在特洛伊DLL中对它做了手脚。这下是利用它的关键了。WINDOWS登录时的GINA，知道吧，想得到别人登录的密码吗？那么就是用这种方法了，把MSGINA.dll这个东西给它替换成自己的DLL，再复杂的密码也照样得到啊，一点也不费精神，呵呵~。（想自己写吗？看看《WinLogon登录管理和GINA简介》吧）

环境：

WIN2000 Server + BCB 6.0

附：本文相关程序代码

参考：《WINDOWS核心编程》