笔记：ShellCode 远程线程注入

原创 已于 2023-09-19 16:05:33 修改 · 818 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#开发语言 #汇编

于 2023-09-19 16:04:04 首次发布
本文介绍了ShellCode远程线程注入的概念和原理，包括HOOK、代码特征码、模块注入及其优缺点。通过实践部分讲解了LoadLibrary、CreateRemoteThread等关键函数的使用，阐述了如何在目标进程中创建并执行代码。

理论：

 什么是进程，什么是线程

进程就是4GB的空间，线程就是EIP

想在别的进程中执行自己的代码

  • 进程空间中必须要有我的代码
  • 进程空间中必须有一个线程执行我的代码
  • 方法：（原来的线程JMP到我的代码，或者开辟一个新的线程）

原来的线程Jmp到我的代码，称之为HOOK，改变原来线程的执行轨迹

如何将代码放入目标进程空间：

  1. 代码整理成一个模块，直接插入到目标的进程空间中（容易被发现）
  2. 只把函数体放入对方的进程空间【硬编码】

如果直接使用硬编码的方式，会造成问题：

  1. 使用全局变量的地址会发生改变
  2. 使用API函数会导致IAT的地址找不到

使用ShellCode - 一种可变的硬编码

ShellCode是研究病毒必须要掌握的一种技能：将硬编码ShellCode化 

ShellCode（代码注入）

  1. 不使用全局变量
  2. 需要什么API函数自己去获取

  • 缺点：比较麻烦 - 如果代码量过多

  • 优点：无法被检测到

特征码就是程序核心的硬编码

在程序的核心部分做记号，根据这个记号去找到对应的程序或者基址

无痕HOOK 就是Jmp

Inline HOOK 就是 Call

模块注入

优点：写起来非常方便

缺点：特征明显

实践：

LoadLibrary

将指定的模块加载到调用进程的地址空间中。 指定的模块可能会导致加载其他模块。

HMODULE LoadLibraryA(
  [in] LPCSTR lpLibFileName
);

[in] lpLibFileName

模块的名称。 可以是库模块 (.dll 文件) ，也可以是可执行模块 (.exe 文件) 。 如果指定的模块是可执行模块，则不会加载静态导入;

LoadLibrary 可用于将库模块加载到进程的地址空间中，并返回一个句柄，该句柄可用于 在 GetProcAddress 中 获取 DLL 函数的地址。

如果指定的模块是尚未为调用进程加载的 DLL，则系统会使用DLL_PROCESS_ATTACH值调用 DLL 的 DllMain 函数。 如果 DllMain 返回 TRUE， 则 LoadLibrary 将返回模块的句柄。 如果 DllMain 返回 FALSE，则系统会从进程地址空间中卸载 DLL， 而 LoadLibrary 返回 NULL。 从 DllMain 调用 LoadLibrary 是不安全的。

返回值

如果函数成功，则返回值是模块的句柄。

如果函数失败，则返回值为 NULL。 要获得更多的错误信息，请调用 GetLastError。

CreateRemoteThread 

创建在另一个进程的虚拟地址空间中运行的线程。

HANDLE CreateRemoteThread(
  [in]  HANDLE                 hProcess,
  [in]  LPSECURITY_ATTRIBUTES  lpThreadAttributes,
  [in]  SIZE_T                 dwStackSize,
  [in]  LPTHREAD_START_ROUTINE lpStartAddress,
  [in]  LPVOID                 lpParameter,
  [in]  DWORD                  dwCreationFlags,
  [out] LPDWORD                lpThreadId
);

[in] hProcess

要在其中创建线程的进程句柄。

[in] lpThreadAttributes

指向 SECURITY_ATTRIBUTES 结构的指针，该结构指定新线程的安全描述符，并确定子进程是否可以继承返回的句柄。

[in] dwStackSize

堆栈的初始大小（以字节为单位）。  如果此参数为 0 (零) ，则新线程将使用可执行文件的默认大小。 

[in] lpStartAddress

线程执行的应用程序定义函数的指针，表示远程进程中线程的起始地址。 函数必须存在于远程进程中。 有关详细信息，请参阅 ThreadProc。

[in] lpParameter

指向要传递给线程函数的变量的指针。

[in] dwCreationFlags

控制线程创建的标志。

值含义

0

线程在创建后立即运行。

CREATE_SUSPENDED

0x00000004

线程以挂起状态创建，在调用 ResumeThread 函数之前不会运行。

STACK_SIZE_PARAM_IS_A_RESERVATION

0x00010000

dwStackSize 参数指定堆栈的初始保留大小。 如果未指定此标志， dwStackSize 将指定提交大小。

[out] lpThreadId

指向接收线程标识符的变量的指针。

如果此参数为 NULL，则不返回线程标识符。

返回值

如果函数成功，则返回值是新线程的句柄。

如果函数失败，则返回值为 NULL。 要获得更多的错误信息，请调用 GetLastError。

CreateToolhelp32Snapshot 

获取指定进程以及这些进程使用的堆、模块和线程的快照。

HANDLE CreateToolhelp32Snapshot(
  [in] DWORD dwFlags,
  [in] DWORD th32ProcessID
);

Process32First 

检索有关系统快照中遇到的第一个进程的信息。

BOOL Process32First(
  [in]      HANDLE           hSnapshot,
  [in, out] LPPROCESSENTRY32 lppe
);

Process32Next 

检索有关系统快照中记录的下一个进程的信息。

BOOL Process32Next(
  [in]  HANDLE           hSnapshot,
  [out] LPPROCESSENTRY32 lppe
);

VirtualAllocEx 

在指定进程的虚拟地址空间中保留、提交或更改内存区域的状态。 函数将它分配的内存初始化为零。

LPVOID VirtualAllocEx(
  [in]           HANDLE hProcess,
  [in, optional] LPVOID lpAddress,
  [in]           SIZE_T dwSize,
  [in]           DWORD  flAllocationType,
  [in]           DWORD  flProtect
);

WriteProcessMemory

将数据写入指定进程中的内存区域。要写入的整个区域必须可访问，否则操作将失败。

BOOL WriteProcessMemory(
  [in]  HANDLE  hProcess,
  [in]  LPVOID  lpBaseAddress,
  [in]  LPCVOID lpBuffer,
  [in]  SIZE_T  nSize,
  [out] SIZE_T  *lpNumberOfBytesWritten
);

WaitForSingleObject 

等待指定的对象处于信号状态或超时间隔已过。

DWORD WaitForSingleObject(
  [in] HANDLE hHandle,
  [in] DWORD  dwMilliseconds
);

GetExitCodeThread 

检索指定线程的终止状态。

BOOL GetExitCodeThread(
  [in]  HANDLE  hThread,
  [out] LPDWORD lpExitCode
);

VirtualFreeEx 

释放、取消提交或释放和取消提交指定进程的虚拟地址空间中的内存区域。

BOOL VirtualFreeEx(
  [in] HANDLE hProcess,
  [in] LPVOID lpAddress,
  [in] SIZE_T dwSize,
  [in] DWORD  dwFreeType
);

CloseHandle 

关闭打开的对象句柄。

BOOL CloseHandle(
  [in] HANDLE hObject
);

靶机线程代码：

#include <iostream>
#include <Windows.h>

int main()
{
	int i = 0;

	while (true)
	{
		Sleep(1000);
		i++;
		std::cout << "这是一个不会被关闭的主线程 运行时间：" << i << "秒" << std::endl;
	}

	return 0;
}

创建DLL

// dllmain.cpp : 定义 DLL 应用程序的入口点。
#include "pch.h"

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        MessageBox(0, TEXT("DLL_PROCESS_ATTACH ： dll被加载"), 0, 0);
    case DLL_THREAD_ATTACH:
        MessageBox(0, TEXT("DLL_PROCESS_ATTACH : dll被卸载"), 0, 0);
    case DLL_THREAD_DETACH:
        MessageBox(0, TEXT("DLL_THREAD_ATTACH : 线程附加到 DLL"), 0, 0);
    case DLL_PROCESS_DETACH:
        MessageBox(0, TEXT("DLL_THREAD_ATTACH : 线程从 DLL 分离"), 0, 0);
        break;
    }
    return TRUE;
}

将生成的DLL文件放置在文件目录下：

应用程序 与 DLL文件都准备好后，开始编写注入代码


 

// 6-3 InjectCode.cpp : 此文件包含 "main" 函数。程序执行将在此处开始并结束。
//

#include <Windows.h>
#include <iostream>
#include <Tlhelp32.h>

int main()
{
    // 设置本地化环境为默认的宽字符本地化
    _wsetlocale(LC_ALL, L"");
    std::cout << "注入代码开始运行！！！\n";

    // 定义目标进程
    WCHAR wc_TargetProcessName[] = L"远程线程注入.exe";
    DWORD dw_TargetProcessPid = 0;
    HANDLE h_TargetProcessHandle = NULL;

    // 枚举所有进程 找到要注入的进程
    PROCESSENTRY32 pe32;
    pe32.dwSize = sizeof(PROCESSENTRY32);
    HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

    if (hSnapshot != INVALID_HANDLE_VALUE) {
        if (Process32First(hSnapshot, &pe32)) {
            do {
                if (!wcscmp(pe32.szExeFile, wc_TargetProcessName))
                {
                    printf("成功：进程ID - %d ,进程名称 - %ws \n", pe32.th32ProcessID, pe32.szExeFile);
                    dw_TargetProcessPid = pe32.th32ProcessID;
                    break;
                }
                
            } while (Process32Next(hSnapshot, &pe32));
        }
        CloseHandle(hSnapshot);
    }

    if (!dw_TargetProcessPid)
    {
        printf("ERROR : 未找到对应的进程\n");
        return -1;
    }

    h_TargetProcessHandle = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dw_TargetProcessPid);

    if (!h_TargetProcessHandle)
    {
        printf("ERROR : 未能成功获取进程句柄\n");
        return -1;
    }
    else {
        printf("成功：进程句柄 %x \n", h_TargetProcessHandle);
    }

    

    //- - - - - 找到LoadLibrary的地址
    HMODULE hModule = LoadLibrary(L"kernel32.dll");
    FARPROC LoadLibraryAddress = 0;
    LoadLibraryAddress = GetProcAddress(hModule, "LoadLibraryW"); // 请将"MyFunction"替换为要获取地址的函数名称
    if (!LoadLibraryAddress)
    {
        printf("ERROR : 未能成功获取 LoadLibraryA 的函数地址\n");
    }
    else {
        printf("成功：LoadLibraryA 的函数地址 0x%x \n", LoadLibraryAddress);
    }

    //- - - - - 在目标进程的空间内开辟内存，存放LoadLibrary的参数
    WCHAR wc_DllName[] = L"Inject.dll";
    LPVOID MemoryBase = VirtualAllocEx(h_TargetProcessHandle, NULL, sizeof(wc_DllName), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    if (!MemoryBase)
    {
        printf("ERROR : 开辟内存空间失败\n");
    }
    else {
        printf("成功：在目标进程开辟的内存空间基址 0x%x \n", MemoryBase);
    }

    SIZE_T WriteByte = 0;
    BOOL ReturnWritebool = WriteProcessMemory(h_TargetProcessHandle, MemoryBase, wc_DllName, sizeof(wc_DllName), &WriteByte);
    if (!ReturnWritebool)
    {
        printf("ERROR : 往进程写入数据失败\n");
    }
    else {
        printf("成功：往进程中写入数据成功 写入字节数%d \n", WriteByte);
    }

    //- - - - - 创建远程线程，执行LoadLibrary加载我们的Inject.dll
    HANDLE InJectThread = CreateRemoteThread(h_TargetProcessHandle, NULL, 0, (LPTHREAD_START_ROUTINE)LoadLibraryAddress, MemoryBase, 0, NULL);
    WaitForSingleObject(InJectThread, 1000);

    //- - - - - 释放远程线程
    DWORD ExitCode = NULL;  //获取目标进程的模块句柄
    GetExitCodeThread(InJectThread, &ExitCode);
    if (!ReturnWritebool)
    {
        printf("ERROR : 获取目标进程模块失败\n");
    }
    else {
        printf("成功：目标进程模块地址 %x \n", ExitCode);
    }


    //- - - - - 释放远程进程中写入的空间
    if (!VirtualFreeEx(h_TargetProcessHandle, MemoryBase, sizeof(wc_DllName), MEM_DECOMMIT)) {
        printf("ERROR : 释放空间失败\n");
    }
    else {
        printf("成功：进程空间已释放\n");
    }

    //CloseHandle(InJectThread);
    //CloseHandle(h_TargetProcessHandle);

    return 0;
}

江山指点
关注
[VT虚拟化驱动]利用EPT实现无痕HOOK
吾无法无天的博客
12-06 1万+
本章利用讲EPT无痕HOOK
[网络安全自学篇] 八十五.《Windows黑客编程技术详解》之注入技术详解（全局钩子、远线程钩子、突破Session 0注入、APC注入）
杨秀璋的专栏
06-25 2万+
从这篇文章开始，作者将带着大家来学习《Windows黑客编程技术详解》，其作者是甘迪文老师，推荐大家购买来学习。作者将采用实际编程和图文结合的方式进行分享，并且会进一步补充知识点，希望对您有所帮助。第二篇文章主要介绍4种常见的注入技术，包括全局钩子、远线程钩子、突破SESSION 0隔离的远线程注入、APC注入，案例包括键盘钩子、计算器远线程注入实现、APC注入等，希望对您有所帮助。
免杀简述2(二次编译shellcode\远程加载shellcode\shellcode远程线程注入\内存申请优化\管道技术)
热门推荐
Shanfenglan's blog
08-09 33万+
二次编译 也可以理解成shellcode混淆，将shellcode执行前进行各种加密，然后执行的时候进行解密。Xor就是一个例子。原理是先将加密后的shellcode写入程序中，然后再在程序里面写入shellcode解密程序，这样子将shellcode混淆后，特征码等各种数值就会改变，可以绕过大部分的静态查杀，加密方法不限制，自己写也是可以的。Exp：xor加密shellcode代码： #include stdio.h #define KEY 0x97 //进行异或的字符unsigned char
SimpleShellcode:利用图片隐写术来远程动态加载shellcode
05-27
0x01 前言 将Shellcode隐写到正常BMP图片中，把字符串拆成字节，写入每个像素的alpha通道中，然后上传到可信任的网站下偏移拼接shellcode进行远程动态加载，能有效地增加了免杀性和隐匿性。 0x02 参考链接
无痕HOOK 检测及对抗
最新发布
2503_90751938的博客
08-29 607
无痕HOOK的检测,没看到有人写,那我就抛砖引玉,写几个思路大家也知道,攻防这个东西就是打个信息差,这些东西一旦被发出来..也就没啥用了,就让我来当这个恶人吧,哈哈哈下面我将详解若干检测,并附上对抗思路无痕hook:基于硬件虚拟化VT-x或者AMD-v的扩展页表(EPT或NPT)功能使读写和执行访问分离进行inline hook操作,表现为执行指令与读取指令不一致(应用层驱动层hook并无区别,以下的思路不做此区分,代码在最后)首先了解几个概念:单步，分支单步， 硬断，页面重映射，接管IDT，接管CR3，指
Win32下ShellCode的远程加载
CSDN
05-28 5912
如下Python代码是一个基本的键盘记录器，它使用了一些Windows API函数和第三方库来监视键盘活动，并记录按键、窗口切换和剪贴板操作。然后，它检测按键是否为常规按键，如果是，则输出按键字符。如果按下的是Ctrl+V，它会尝试获取剪贴板的内容并输出。函数是一个回调函数，用于处理键盘事件。它首先检测是否切换了窗口，如果切换了窗口，就调用。最后，它输出进程相关的信息。接下来，代码定义了一些全局变量和函数，包括。函数用于获取当前前台窗口的进程信息，以及。首先，代码导入了一些必要的库，包括。
加载shellcode到32位Windows程序远程进程中
微码信息
11-16 320
BOOL WINAPI LoadDll(HANDLE hProcess,LPVOID lpBuf,int cbBuf) { BOOL br = FALSE; LPVOID m_lpData = VirtualAllocEx(hProcess, NULL,cbBuf,MEM_COMMIT|MEM_RESERVE, PAGE_EXECUTE_READWRITE); if (m_lpData==NULL) { goto cleanup0; } if(!WriteProcessMemory(hProcess,
免杀0到1之ShellCode与加载器
qq_37107430的博客
12-26 1065
Shellcode 是一段用于利用软件漏洞的机器码。它的名字来源于它通常的用途 —— 启动一个命令行 shell（如在 Unix 系统中的 /bin/sh 或 Windows 系统中的 cmd.exe），不过现在其功能已经扩展到执行各种恶意操作，比如文件读写、进程注入、权限提升等。
逆向学习笔记（2）——注入技术
谈成(C/C++)
04-12 276
1.windows消息钩子 使用API SetWindowsHookEx()进行dll注入，在dll中可以截获GUI界面消息。 函数定义： HHOOK SetWindowsHookEx( int idHook, // hook type HOOKPROC lpfn, // hook procedure HINSTANCE hMod, // hook procedure所属的DLL句柄(Handle) DOWORD d
滴水逆向三期15611 进程通信 项目练习
四位的博客
01-10 2061
进程通信联系概要步骤进程通信为什么要进程通信命名管道dll 无模块注入为什么必须是dllshellcode 注入模块注入shellcode 部分Extract代码 概要 最终效果 创建进程通信 通信测试 IATHOOK 剪切板内容 inlineHook 创建进程 文章分如下几部分 步骤 进程通信 dll注入 问题总结 本篇文章不是一个实现过程, 而是一个关于这个项目的一个总结, 包含了比较多外链, 帮助更好的理解. 步骤 实现进程通信 无模块注入dll hook 进程通信
【安全技术】关于几种dll注入方式的学习
HBohan的博客
10-11 1306
何为dll注入 DLL注入技术，一般来讲是向一个正在运行的进程插入/注入代码的过程。我们注入的代码以动态链接库（DLL）的形式存在。DLL文件在运行时将按需加载（类似于UNIX系统中的共享库(share object，扩展名为.so)）。然而实际上，我们可以以其他的多种形式注入代码（正如恶意软件中所常见的，任意PE文件，shellcode代码/程序集等）。 全局钩子注入 在Windows大部分应用都是基于消息机制，他们都拥有一个消息过程函数，根据不同消息完成不同功能，windows通过钩子机制来截获和监视.
inject:将 shellcode 注入 x86 上的 ELF3264 二进制文件，并将入口点重定向到新代码
07-03
注入 将 shellcode 注入 x86 上的 ELF32/64 二进制文件，并将入口点重定向到新代码。
【免杀对抗】远程加载AES+XOR异或加密的ShellCode加载器 过国内杀软
qq_35942869的博客
03-28 2523
纯萌新，尝试一下免杀，最近也是查了很多资料，面向Github编程借鉴了很多大佬的代码。通过XOR异或加密后再进行AES加密，然后通过修改shellcode加载方式进行简单的免杀。
【Windows系统编程】03.远线程注入ShellCode
WdIg-2023的博客
08-15 919
shellcode：本质上也是一段普通的代码，只不过特殊的编程手法，可以在任意环境下，不依赖于原有的依赖库执行。 本篇文章以最简单的方式为大家讲解远线程注入ShellCode
探秘安全领域：图片隐写式远程Shellcode加载器
gitblog_00043的博客
06-03 432
探秘安全领域：图片隐写式远程Shellcode加载器 去发现同类优质开源项目:https://gitcode.com/ 在这个数字化的时代，网络安全的重要性不言而喻。今天，我们要向您推荐一款独特的开源工具——一个基于图片隐写的远程Shellcode加载器，无需文件落地，确保隐蔽性的同时，提供了一种新的攻击防御挑战。 项目介绍 该项目是一个创新的安全研究实践，它利用图片隐藏数据的能力，将加密后的Sh...
C/C++ 远程ShellCode执行工具
CSDN
07-21 1万+
通过开发一组远程代码执行盒，可以动态实现对ShellCode代码的动态载入，由于ShellCode不存放在本地客户端常量区，所以在一定程度上可以减少被杀概率，客户端只保留之基本的Socket通信功能，当需要时才会加载恶意代码运行。此工具分为服务端与客户端，客户端可以将其加入到开机自启动列表，并传入响应的参数即可，目前支持TCP/UDP/HTTP三种协议传输，后期可能会增加ICMP等来实现后门的传输工作。
ShellCode注入
南宫封清的博客
05-03 1590
注意点： 1. 不能有全局变量 2. 不能使用常量字符串 ，可以使用这种形式 szTitle = {'a', 'b', 'c', 0}; 3. 不能使用系统调用，比如不能直接使用MessageBox,因为生成的汇编是 Call [0xxxxxx]，这个0xxxxx是导入表的地址，注入的程序导入表地址不同而且导入表中不一定有这个函数，可以使用LoadLibrary配合GetProcAddres...
注入shellcode
H888001的博客
11-08 1390
shellcode是能够放在任何地方都能够执行的机器码 2.编写shellcode原则 一：不能有全局变量 二：不能调用系统函数 三：不能嵌套调用函数 3.编写shellcode实战 一：shellcode分为基本模块和功能模块，结构如下图： FS:[0]是TEB 从FS:[0X30]对应peb,偏移找到当前线程的dll模块链表，找到模块基地址, 利用pe导出表知识...
ShellCode的另外一种玩法(远程线程注入ShellCode)[by Anskya]
04-06 2297
 [原创]ShellCode的另外一种玩法(远程线程注入ShellCode)介于小弟技术菜,请各位大哥不要"奸笑"希望可以指点一二转载请保留版权:by Anskya这里是说将ShellCode代码直接注射到远程进程内部使她运行！以下代码全部使用TASM为原型编写(MASM不太适合,不能自定义PE结构,为了某某人说我抄袭和盗版pkXX大哥的FASM大作,我这里就使用国内很少用的TASM为原型
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值