科锐培训剖析六大关键技术远程注入.pdfVIP

概念

•DLL的注入技术是目前Win32广泛使用

的一种技术

•使用这种技术和程序功能通常位于一个DLL中，

在系统启动的时候，一个EXE程序会将这个DLL

加载至某些系统进程（如Explorer.exe）中运行。

这样一来，普通的进程管理器就很难发现这个程

序的功能模块，而且即使发现了也很难清除，因

为只要寄生的进程不终止运行，那么这个DLL就

不会在内存中卸载，用户也就无法在资源管理器

中删除这个DLL文件。

用途

•隐藏进程

•为完成某种只有本进程才方便完成的功能。

比如：屏幕取词，取，扩充或限制目

标进程的功能等

注入体—一个简单的DLL

•BOOLWINAPIDllMain(HINSTANCEhinstDLL,DWORDfdwReason,LPVOIDl

pv)

{

switch(fdwReason)

{

caseDLL_PROCESS_ATTACH:

{

MessageBox(NULL,_T(DLL已进入目标进程。),_T(信息

),MB_ICONINFORMATION);

}

break;

caseDLL_PROCESS_DETACH:

{

MessageBox(NULL,_T(DLL已从目进程卸载。),_T(信息

),MB_ICONINFORMATION);

}

break;

}

returnTRUE;

}

•在DLL被加载和卸载的时候调用了MessageBox，这是用来显示我的注入/卸

载工作是否成功完成。

查找目标进程

•DWORDFindTarget(LPCTSTRlpszProcess)

{

DWORDdwRet0;

HANDLEhSnapshotCreateToolhelp32Snapshot(TH32CS_SN

APPROCESS,0);

PROCESSENTRY32pe32;

pe32.dwSizesizeof(PROCESSENTRY32);

Process32First(hSnapshot,pe32);

do

{

if(lstrcmpi(pe32.szExeFile,lpszProcess)0)

{

dwRetpe32.th32Proce;

break;

}

}while(Process32Next(hSnapshot,pe32));

CloseHandle(hSnapshot);

returndwRet;

}

打开目标进程

•HANDLEhProcessOpenProcess(PROCESS_CREAT

E_THREAD|PROCESS_VM_OPERATION|PROCESS

_VM_WRITE,FALSE,dwProce);

•OpenProcess第一个参数所指定的三种权限。在Win32系

统下，每个进程都拥有自己的4G虚拟地址空间，各个进

程之间都相互独立。如果一个进程需要完成跨进程的工作