CreateRemoteThread小记

利用全局钩子可以注入DLL到当前的所有进程,若要注入到特定的进程中可用CreateRemoteThread函数.

#include  < Tlhelp32.h >

/*
*  向指定进程注入DLL
*  dwProcessID: 目标进程ID
*  lpszDll: 待注入的DLL完全路径
* 返回注入成功与否
*/
inline  BOOL  InjectDllIntoProcess( DWORD  dwProcessID, LPCTSTR lpszDll )
{
    BOOL      bRet          =   FALSE;
    HANDLE  hProcess    =   NULL;
    PSTR  pszRemoteDll    =   NULL;

     do  
    {
         // 根据进程ID获取进程句柄
        hProcess   =   ::OpenProcess( PROCESS_ALL_ACCESS, FALSE, dwProcessID );
         if ( hProcess  ==  NULL )
             break ;

         int  nAllocSize   =   ( _tcslen( lpszDll )  +   1  )  *   sizeof (TCHAR);
         // 在远程进程中分配内存
        pszRemoteDll   =   (PSTR)::VirtualAllocEx( hProcess, NULL, nAllocSize, MEM_COMMIT, PAGE_READWRITE );
         if ( pszRemoteDll  ==  NULL )
             break ;
         // 写内存
         if (  ! ::WriteProcessMemory( hProcess, pszRemoteDll, lpszDll, nAllocSize,  NULL ) )
             break ;

        LPTHREAD_START_ROUTINE  pfnThread  =   NULL;
         // Kernel32模块在每个进程中都被映射到相同的地址,故在本进程获取到的LoadLibrary函数地址和远程进程中地址是一样的
#ifdef UNICODE
        pfnThread   =  ( LPTHREAD_START_ROUTINE ) ::GetProcAddress( ::GetModuleHandle( _T( " Kernel32 " ) ),  " LoadLibraryW "  );
#else
        pfnThread   =  ( LPTHREAD_START_ROUTINE ) ::GetProcAddress( ::GetModuleHandle( _T( " Kernel32 " ) ),  " LoadLibraryA "  );
#endif   //  !UNICODE

         if ( pfnThread  ==  NULL )
             break ;

        HANDLE  hThread   =   ::CreateRemoteThread( hProcess, NULL,  0 , pfnThread, pszRemoteDll,  0 , NULL );
         if ( hThread  ==  NULL )
             break ;
         // 等待远程线程结束
        ::WaitForSingleObject( hThread, INFINITE );
        ::CloseHandle( hThread );

        bRet    =   TRUE;
    }  while ( FALSE );

     // 释放资源
     if ( pszRemoteDll  !=  NULL )
        ::VirtualFreeEx( hProcess, pszRemoteDll,  0 , MEM_RELEASE );
     if ( hProcess  !=  NULL )
        ::CloseHandle( hProcess );

     return  bRet;
}

/*
*  从指定进程释放DLL
*  dwProcessID: 目标进程ID
*  lpszDll: 待释放的DLL名称
* 返回释放成功与否
*/
inline  BOOL  FreeDllFromProcess( DWORD  dwProcessID, LPCTSTR lpszDll )
{
     // 首先搜索进程的所有模块,如果没找到lpszDll指定的模块则直接退出
    HANDLE  hthSnapShot   =   ::CreateToolhelp32Snapshot( TH32CS_SNAPMODULE, dwProcessID );
     if ( hthSnapShot   ==  INVALID_HANDLE_VALUE )
         return  FALSE;

    BOOL   bHasMod   =   FALSE;
    MODULEENTRY32  hMod   =   {  sizeof (MODULEENTRY32) };
    BOOL  bMoreMods   =   ::Module32First( hthSnapShot,  & hMod );
     while  ( bMoreMods )
    {
         if ( ( lstrcmpi( hMod.szExePath, lpszDll )  ==   0  )  ||  ( lstrcmpi( hMod.szModule, lpszDll )  ==   0  ) )
        {
            bHasMod   =   TRUE;
             break ;
        }
        bMoreMods   =   ::Module32Next( hthSnapShot,  & hMod );
    }
    ::CloseHandle( hthSnapShot );
    
     if (  ! bHasMod )
         return   FALSE;

    BOOL      bRet          =   FALSE;
    HANDLE  hProcess    =   NULL;

     do  
    {
        hProcess   =   ::OpenProcess( PROCESS_ALL_ACCESS, FALSE, dwProcessID );
         if ( hProcess  ==  NULL )
             break ;

        LPTHREAD_START_ROUTINE  pfnThread  =   ( LPTHREAD_START_ROUTINE ) ::GetProcAddress( ::GetModuleHandle( _T( " Kernel32 " ) ),  " FreeLibrary "  );

         if ( pfnThread  ==  NULL )
             break ;

        HANDLE  hThread   =   ::CreateRemoteThread( hProcess, NULL,  0 , pfnThread, hMod.modBaseAddr,  0 , NULL );
         if ( hThread  ==  NULL )
             break ;

        ::WaitForSingleObject( hThread, INFINITE );
        ::CloseHandle( hThread );

        bRet    =   TRUE;

    }  while ( FALSE );

     if ( hProcess  !=  NULL )
        ::CloseHandle( hProcess );

     return   bRet;
}


/ //CreateRemoteThread注入线程函数 /// /
/*
* 在Debug下编译须去除/GZ编译开关
*/
typedef  struct  _SMsgBoxParam
{
    DWORD_PTR  m_pfnMsgBox;    // MessageBox的函数地址
    TCHAR  m_szCaption[ 128 ];    // 标题
    TCHAR  m_szText[ 256 ];        // 文本
    UINT     m_uType;                     // MessageBox显示类型
}SMsgBoxParam,  * PSMsgBoxParam;

DWORD  WINAPI  _InjectThreadProc( PSMsgBoxParam pMsgParam )
{
    ATLASSERT( pMsgParam  !=  NULL );

    typedef   int   (WINAPI  * PMessageBox)( HWND hWnd,  LPCTSTR lpText,  LPCTSTR lpCaption,  UINT uType ); 

    PMessageBox  pfnMsgBox  =  (PMessageBox)pMsgParam -> m_pfnMsgBox;

     if ( pfnMsgBox  !=  NULL )
    {
        pfnMsgBox( NULL, pMsgParam -> m_szText, pMsgParam -> m_szCaption, pMsgParam -> m_uType );
    }

     return   0 ;
}

const   DWORD  THREADSIZE   =    4096 ;

inline  BOOL  InjectTaskIntoProcess(  DWORD  dwProcessID )
{
    BOOL  bRet   =   FALSE;
    HANDLE  hProcess    =   NULL;
    LPVOID    pRemoteProc   =   NULL;   
    PSMsgBoxParam   pMsgParam    =   NULL;

     do  
    {
         // 根据进程ID获取进程句柄
        hProcess   =   ::OpenProcess( PROCESS_ALL_ACCESS, FALSE, dwProcessID );
         if ( hProcess  ==  NULL )
             break ;

         // 在远程进程中注入函数地址
        pRemoteProc   =   ::VirtualAllocEx( hProcess, NULL, THREADSIZE, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE );
         if ( pRemoteProc  ==  NULL )
             break ;
         // 写内存
         if (  ! ::WriteProcessMemory( hProcess, pRemoteProc,  & _InjectThreadProc, THREADSIZE,  NULL ) )
             break ;

         // 在远程进程中注入参数地址
        SMsgBoxParam msgboxParam;
        wsprintf( msgboxParam.m_szCaption, _T( " 提示 " ) );
        wsprintf( msgboxParam.m_szText, _T( " 来自注入进程的对话框 " ) );
        msgboxParam.m_uType    =   MB_OK;

        #ifdef UNICODE
            msgboxParam.m_pfnMsgBox   =  ( DWORD_PTR ) ::GetProcAddress( ::GetModuleHandle( _T( " User32 " ) ),  " MessageBoxW "  );
         #else
            msgboxParam.m_pfnMsgBox   =  ( DWORD_PTR ) ::GetProcAddress( ::GetModuleHandle( _T( " User32 " ) ),  " MessageBoxA "  );
         #endif   //  !UNICODE

        pMsgParam   =   (PSMsgBoxParam)::VirtualAllocEx( hProcess, NULL,  sizeof (msgboxParam), MEM_COMMIT, PAGE_READWRITE );
         if ( pMsgParam  ==  NULL )
             break ;
         // 写内存
         if (  ! ::WriteProcessMemory( hProcess, pMsgParam,  & msgboxParam,  sizeof (msgboxParam),  NULL ) )
             break ;

        
        HANDLE  hThread   =   ::CreateRemoteThread( hProcess, NULL,  0 , (LPTHREAD_START_ROUTINE)pRemoteProc, pMsgParam,  0 , NULL );
         if ( hThread  ==  NULL )
             break ;
         // 等待远程线程结束
        ::WaitForSingleObject( hThread, INFINITE );
        ::CloseHandle( hThread );

        bRet    =   TRUE;
    }  while ( FALSE );


     // 释放资源
     if ( pMsgParam  !=  NULL )
        ::VirtualFreeEx( hProcess, pMsgParam,  0 , MEM_RELEASE );
     if ( pRemoteProc  !=  NULL )
        ::VirtualFreeEx( hProcess, pRemoteProc,  0 , MEM_RELEASE );
     if ( hProcess  !=  NULL )
        ::CloseHandle( hProcess );

     return   bRet;
}

转载于:https://www.cnblogs.com/fangkm/archive/2009/08/19/1550053.html