利用C++的HashMap結(jié)構(gòu)實現(xiàn)一個多DLL注入器
作者：suntiger
在C++代碼中, 如果要實現(xiàn)將一個Dll高效的注入到多個進程中, 可以定義一個HashMap結(jié)構(gòu)。
1.技術(shù)實現(xiàn)背景
在C++代碼中, 如果要實現(xiàn)將一個Dll高效的注入到多個進程中, 可以定義一個HashMap結(jié)構(gòu), 在該結(jié)構(gòu)中, 鍵名用來保存多個進程的名稱, 而對應(yīng)的鍵值可以對應(yīng)的保存一個或多個DLL路徑, 這個HashMap結(jié)構(gòu)定義如下:
unordered_map<string, vector<string>> injectionMap;而向其填充的鍵和鍵值參考如下:
injectionMap["taskmgr.exe"] = { "C:\\Users\\Public\\mscde.dll","C:\\Users\\Public\\msc23.dll"};
injectionMap["explorer.exe"] = { "C:\\Users\\Public\\mscde.dll" };
injectionMap["regedit.exe"] = { "C:\\Users\\Public\\mscde.dll" };
injectionMap["notepad.exe"] = { "C:\\Users\\Public\\mscde.dll" };在該結(jié)構(gòu)中, 每個進程可以對應(yīng)注入的一個或多個Dll, 實際上鍵值是一個字符串?dāng)?shù)組。
這里設(shè)計一個多DLL注入器的函數(shù)如下:
int injectDlls(unordered_map <string, vector<string>> injectionMap) {
for (auto& injectRow : injectionMap) {
for (auto& vectorDLL : injectRow.second) {
injectDLL(vectorDLL, getPIDbyProcName(injectRow.first));
}
cout << endl;
}
return 0;
}該函數(shù)實現(xiàn)的功能如下:
- 參數(shù)接收一個HashMap結(jié)構(gòu), 其中鍵保存了要注入的所有進程名稱, 其值保存了要注入到進程的DLL全路徑字符串。
- 循環(huán)遍歷該結(jié)構(gòu), 取出鍵中的進程名傳給getPIDbyProcName()函數(shù)獲取該進程名對應(yīng)的PID; 取出鍵值中的DLL全路徑傳給injectDLL()函數(shù)的第一個參數(shù), 將獲取的PID作為injectDLL()函數(shù)的第二個參數(shù)傳入。
- 最終由injectDLL()函數(shù)完成進程DLL注入。
2.實現(xiàn)通過進程名獲取PID
通過進程名獲取PID的C++參考代碼如下:
int getPIDbyProcName(const string& procName) {
int pid = 0;
HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
PROCESSENTRY32W pe32;
pe32.dwSize = sizeof(PROCESSENTRY32W);
if (Process32FirstW(hSnap, &pe32) != FALSE) {
while (pid == 0 && Process32NextW(hSnap, &pe32) != FALSE) {
wstring wideProcName(procName.begin(), procName.end());
if (wcscmp(pe32.szExeFile, wideProcName.c_str()) == 0) {
pid = pe32.th32ProcessID;
}
}
}
CloseHandle(hSnap);
return pid;
}以上代碼屬于常規(guī)操作, 不再贅述。
3.實現(xiàn)DLL遠程注入
實現(xiàn)遠程DLL注入的injectDLL() 函數(shù)參考代碼如下:
bool injectDLL(string dllPath, int pid) {
char* dllPathChar = new char[dllPath.length() + 1];
strcpy_s(dllPathChar, dllPath.length() + 1, dllPath.c_str());
dllPathChar[dllPath.length()] = '\0';
HANDLE hProc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
if (hProc == NULL) {
cout << "OpenProcess failed" << endl;
return false;
}
LPVOID LoadLibAddr = (LPVOID)GetProcAddress(GetModuleHandleA("kernel32.dll"), "LoadLibraryA");
if (LoadLibAddr == NULL) {
cout << "GetProcAddress failed" << endl;
return false;
}
LPVOID dereercomp = VirtualAllocEx(hProc, NULL, strlen(dllPathChar), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
if (dereercomp == NULL) {
cout << "VirtualAllocEx failed" << endl;
return false;
}
if (WriteProcessMemory(hProc, dereercomp, dllPathChar, strlen(dllPathChar), NULL) == 0) {
cout << "WriteProcessMemory failed" << endl;
return false;
}
HANDLE hThread = CreateRemoteThread(hProc, NULL, NULL, (LPTHREAD_START_ROUTINE)LoadLibAddr, dereercomp, NULL, NULL);
if (hThread == NULL) {
cout << "CreateRemoteThread failed" << endl;
return false;
}
CloseHandle(hProc);
CloseHandle(hThread);
return true;
}遠程DLL注入函數(shù)injectDLL() 主要完成了以下工作:
- 接收兩個參數(shù), dllPath是要注入的DLL全路徑, pid是目標(biāo)進程的ID。
- 在目標(biāo)進程中調(diào)用VirtualAllocEx函數(shù)分配內(nèi)存,需要傳入DLL全路徑。
- 調(diào)用WriteProcessMemory函數(shù)將DLL全路徑寫入到分配的內(nèi)存中。
- 動態(tài)獲取kernel32.dll中的LoadLibraryA函數(shù)地址。
- 在目標(biāo)進程中通過CreateRemoteThread創(chuàng)建一個遠程線程, 將入口點設(shè)置為LoadLibraryA函數(shù), 并將參數(shù)指向目標(biāo)進程中的DLL路徑。
- 關(guān)閉進程和遠程線程句柄。
- 如果注入成功返回true, 否則返回false。
4.注意事項
以上代碼在布滿實時監(jiān)控檢測的機器上已經(jīng)不再適用于各種非法用途, 但DLL注入仍然在很多場景被用到, 例如: 軟件調(diào)試、逆向工程、輔助工具開發(fā)等。上面的代碼實現(xiàn)主要是為了分享對DLL注入的技術(shù)細節(jié)理解和參考。
責(zé)任編輯：趙寧寧
來源：
二進制空間安全
