Dll注入技术之驱动注入

Dll注入技术之驱动注入

0x0 技术简介

实现环境

系统：Windows 7 64bit

工具：VS+WDK

驱动注入

我这里驱动注入的技术是：采用驱动向目标进程插入APC执行LdrLoadDll函数加载Dll模块。

可以注入64位Dll到64位进程或注入32位Dll到32位进程。暂时没有实现跨位数。

APC(异步过程调用)是一种内核机制，它提供了一种在特定线程上下文中执行定制例程的方法。一旦被分派，APC将异步转移目标线程的执行流以调用所选的例程。

apc可分为两大类:

1. 内核模式`APCs: APC`例程最终将执行内核模式代码。这些被进一步分为特殊的内核模式的apc和普通的内核模式的apc，但是我们不会详细讨论 [它们之间的细微差别]

2. 用户模式`APCs: APC`例程最终将执行用户模式代码。只有当拥有apc的线程变得可警报时，才会发出用户模式apc。这是我们将在本节其余部分中讨论的APC类型。

apc主要用于系统级组件，用于执行各种任务(例如促进I/O完成)，但也可以用于DLL注入目的。从安全产品的角度来看，内核空间的APC注入提供了一种方便可靠的方法，可以确保特定模块被加载到(几乎)整个系统所需的每个进程中。

0x1 主要思路

R3：加载驱动，打开驱动，控制驱动（发送需要注入的进程Pid和要注入的Dll模块路径给驱动）。

R0：1，通过进程Pid获取EProcess并判断是否为64位进程。

        2，附加到目标进程获取其ntdll.dll模块基址及模块中LdrLoadDll函数地址

        3，初始化ShellCode，赋值其中的参数和函数地址，申请空间拷贝代码

        4，执行ShellCode，查找可用线程插入执行代码APC，插入警醒线程APC

0x2 主要代码

整体流程部分

初始化ShellCode

查找执行线程

插入APC代码部分

0x3 实现效果

注入x64dll到X64进程

注入x86dll到wow64进程