十大进程注入（一） DLL远程线程被劫持注入技术性分析

访客4年前 (2021-02-25)黑客文章363

进程注入是一种广泛运用于恶意程序或无文档进攻中的避开检验的技术性。其必须在另一个进程的详细地址室内空间内运作特别 *** 编码，进程注入改进了不可见性、另外一些技术性也完成了持久化。

而说白了的DLL注入是众多进程注入方式中最常见的技术性。恶意程序将故意的动态链接库的途径载入另一个进程的虚拟注册地址室内空间内，根据在总体目标进程中建立远程线程来保证远程进程加载它。而由于DLL自身是由感柒后的进程加载的另外PE文档也并沒有系统对开展太多的比较敏感实际操作，因此这类技术性具备非常强的一种防御性。

注入基本原理

重要函数：CreateRemoteThread（）

运用Windows远程线程体制，必须在当地进程中根据CreateRemoteThread函数在别的进程中打开并运作一个线程。因而，把LoadLibrary 函数做为 CreateRemoteThread打开的线程函数，把要加载的DLL途径做为线程函数的主要参数就可以。

为了更好地使远程进程实行LoadLibrary函数加载DLL文件，却遭遇着2个繁杂的难题：

怎样向远程进程传送必须加载的DLL途径？? ------①

如何获得远程进程中LoadLibrary函数的详细地址？----②

为了更好地处理这种难题，我们在后边会一一得出解决 ***

注入全过程

为了更好地解决困难①，我们可以根据Windows API函数把途径载入远程进程中，关键包含：OpenProcess（）,VirtualAllowEx（），WriteProcessMemory（）,VirtualFreeEx（）等把DLL途径加载到远程进程中。实际步骤以下

1、获得总体目标进程句柄

应用OpenProcess（）函数开启远程进程的句柄。

2、在总体目标进程分配内存室内空间

应用VirtualAllowEx（）函数在总体目标进程中分派充足的存储空间，用以储存要加载DLL的途径。

3、载入DLL途径至总体目标进程

应用WriteProcessMemory（）函数把必须加载的DLL途径载入到远程进程分派的存储空间。

4、获得LoadLibraryW详细地址

为了更好地解决困难②，大家必须确立Kernel32.dll是系统软件基础库，且Windows系统软件中，全部进程加载Kernel32.dll控制模块基址是固定不动且一致的，因此只需获得当地进程中LoadLibrary详细地址。同样LoadLibraryW函数坐落于kernel32.dll中，而且系统核心DLL会加载到固定不动详细地址，因此系统软件中全部进程的LoadLibraryW函数详细地址是互通的。用GetProcAddress函数获得当地进程LoadLibraryW详细地址就可以。

5、在总体目标进程中运作远程线程

用 CreateRemoteThread 函数在远程进程中建立一个线程，让新线程启用恰当的LoadLibrary函数并在主要参数中传到第二步分派的内存地址。这时候，DLL早已被注入到远程进程的详细地址室内空间中，DLL的DllMain函数会接到DLL_PROCESS_ATTACH 通告而且能够实行大家要想实行的编码。当DllMain回到的情况下，远程线程会从LoadLibraryW/A启用回到到BaseThreadStart函数。BaseThreadStart函数随后启用ExitThread，使远程线程停止。