c++ 如何实现线程注入

简单编写dll文件:

#include <windows.h>

extern "c" __declspec(dllexport) void msgbox(lpcwstr szmsg, lpcwstr title)
{
	messagebox(null, szmsg, title, mb_ok);
}

bool apientry dllmain(handle hmodule, dword ul_reason_for_call, lpvoid lpreserved)
{
	switch (ul_reason_for_call)
	{
	case dll_process_attach:
		// 进程被加载后执行
		break;
	case dll_thread_attach:
		// 线程被创建后加载
		break;
	case dll_thread_detach:
		// 正常退出执行的代码
		break;
	case dll_process_detach:
		// 进程卸载本dll后执行的代码
		break;
	}
	return true;
}

#include <windows.h>
#include <iostream>

typedef void(*pfunmsg)(lpcwstr szmsg, lpcwstr title);

int main(int argc, char *argv[])
{

	hmodule hmodule = loadlibrary("./hook.dll");

	if (hmodule != null)
	{
		pfunmsg pmsgbox = (pfunmsg)getprocaddress(hmodule, "msgbox");
		pmsgbox(l"hello lyshark", l"msgbox");
	}

	system("pause");
	return 0;
}

x86 实现远程线程注入:

注入原理是利用了windows系统中提供的createremotethread()这个api函数,该函数第四个参数是准备运行的线程,我们将loadlibrary()函数填入其中,这样就可以执行远程进程中的loadlibrary()函数,进而将我们自己准备的dll加载到远程进程空间中执行,dll在被装载后则会自动执行初始化部分,x86注入代码如下.

#include <windows.h>
#include <stdio.h>

// 使用 createremotethread 实现远线程注入
bool createremotethreadinjectdll(dword pid, char *dllname)
{
	handle hprocess = null;
	size_t dwsize = 0;
	lpvoid pdlladdr = null;
	farproc pfuncprocaddr = null;

	// 打开注入进程，获取进程句柄
	hprocess = openprocess(process_all_access, false, pid);
	if (null == hprocess)
	{
		return false;
	}
	// 计算欲注入 dll 文件完整路径的长度
	dwsize = sizeof(char)+lstrlen(dllname);

	//  在目标进程申请一块长度为 ndlllen 大小的内存空间
	pdlladdr = virtualallocex(hprocess, null, dwsize, mem_commit, page_readwrite);
	if (null == pdlladdr)
	{
		return false;
	}
	//  将欲注入 dll 文件的完整路径写入在目标进程中申请的空间内
	if (false == writeprocessmemory(hprocess, pdlladdr, dllname, dwsize, null))
	{
		return false;
	}
	// 获得 loadlibrarya()函数的地址
	pfuncprocaddr = getprocaddress(getmodulehandle("kernel32.dll"), "loadlibrarya");
	if (null == pfuncprocaddr)
	{
		return false;
	}
	// 使用 createremotethread 创建远线程, 实现 dll 注入
	handle hremotethread = createremotethread(hprocess, null, 0, (lpthread_start_routine)pfuncprocaddr, pdlladdr, 0, null);
	if (null == hremotethread)
	{
		return false;
	}
	// 关闭句柄
	closehandle(hprocess);
	return true;
}

int main(int argc, char *argv[])
{
	createremotethreadinjectdll(4668, "./x86.dll");
	system("pause");
	return 0;
}

x64 实现远程线程注入:

如果想要注入x64程序,则需要在编译时指定为64位编译模式,并且使用loadlibraryw()来加载动态链接库,我们只需要在上面代码的基础上稍加改进就可以实现64位进程的注入了.

#include <windows.h>
#include <stdio.h>

// 使用 createremotethread 实现远线程注入
bool createremotethreadinjectdll(dword pid, pcwstr dllname)
{
	bool ret = false;
	handle hprocess, hthread = null;
	farproc pfnthreadrtn = null;
	pwstr pwszpara = null;

	// 打开注入进程，获取进程句柄
	hprocess = openprocess(process_all_access, false, pid);
	if (null == hprocess)
	{
		return false;
	}

	// 计算欲注入 dll 文件完整路径的长度
	size_t iproxyfilelen = wcslen(dllname) * sizeof(wchar);

	//  在目标进程申请一块长度为 ndlllen 大小的内存空间
	pwszpara = (pwstr)virtualallocex(hprocess, null, iproxyfilelen, mem_commit, page_readwrite);
	if (null == pwszpara)
	{
		return false;
	}

	//  将欲注入 dll 文件的完整路径写入在目标进程中申请的空间内
	if (false == writeprocessmemory(hprocess, pwszpara, (pvoid)dllname, iproxyfilelen, null))
	{
		return false;
	}

	// 获得 loadlibraryw()函数的地址
	pfnthreadrtn = getprocaddress(getmodulehandle(text("kernel32")), "loadlibraryw");
	if (null == pfnthreadrtn)
	{
		return false;
	}

	// 使用 createremotethread 创建远线程, 实现 dll 注入
	hthread = createremotethread(hprocess, null, 1024, (lpthread_start_routine)pfnthreadrtn, pwszpara, 0, null);
	waitforsingleobject(hthread, infinite);
	if (null != hthread)
	{
		closehandle(hthread);
		closehandle(hprocess);
		virtualfreeex(hprocess, pwszpara, 0, mem_release);
		return true;
	}
	return false;
}

int main(int argc, char *argv[])
{
	createremotethreadinjectdll(8224, l"./x64.dll");
	system("pause");
	return 0;
}

实现普通消息钩子注入:

windows提供的钩子类型非常多,其中一种类型的钩子非常实用,那就是wh_getme ssage钩子,它可以很方便地将dll文件注入到所有的基于消息机制的目标程序中,代码非常简单,这里直接给出dll文件的代码,具体如下:

#include <windows.h>

extern "c" __declspec(dllexport) void sethookon();
extern "c" __declspec(dllexport) void sethookoff();

hhook g_hhook = null;
hinstance g_hinst = null;

void dosomething()
{
	messageboxa(0, "hello lyshark", 0, 0);
}

bool winapi dllmain(hinstance hinstdll,dword fdwreason,lpvoid lpvreserved)
{
	switch (fdwreason)
	{
		case dll_process_attach:
		{
			g_hinst = hinstdll;
			dosomething();
			break;
		}
	}
	return true;
}

lresult callback getmsgproc(int code,wparam wparam,lparam lparam)
{
	return callnexthookex(g_hhook, code, wparam, lparam);
}

void sethookon()
{
	g_hhook = setwindowshookex(wh_getmessage, getmsgproc, g_hinst, 0);
}

void sethookoff()
{
	unhookwindowshookex(g_hhook);
}

实现全局消息钩子注入:

该注入的原理是利用系统中的setwindowhookex()这个api函数,该函数可以拦截目标进程的消息到指定dll中的导出函数上,利用这个特性,我们可以将dll注入到全局进程中,但是在使用setwindowshookex()之前首先需要将hook的dll加载到本身的进程中,以此得到dll的模块句柄,再使用getprocaddress()得到dll中公开的函数地址,最后遍历出待注入进程的线程id,这样setwindowhookex()就可以利用这些参数进行hook了.

我们先来编写dll文件,创建dll工程hook.cpp然后将sethook()函数导出,由于该注入方式是全局注入,所以如果我们想要注入到指定进程中,则需要在dllmain()也就是动态链接库开头位置进行判断,如果是我们需要hook的进程,则加载dll到指定进程中,如果不是则不执行任何操作,这样一来即可实现指定进程注入.

#include <windows.h>
hhook global_hook;

// 设置全局消息回调函数
lresult callback myproc(int ncode, wparam wparam, lparam lparam)
{
	return callnexthookex(global_hook, ncode, wparam, lparam);
}
// 安装全局钩子,此处的hook.dll可以是外部其他的dll
extern "c" __declspec(dllexport) void sethook()
{
	global_hook = setwindowshookex(wh_cbt, myproc, getmodulehandle(text("hook.dll")), 0);
}
// 卸载全局钩子
extern "c" __declspec(dllexport) void unhook()
{
	if(global_hook)
		unhookwindowshookex(global_hook);
}

bool apientry dllmain(hmodule hmodule, dword ul_reason_for_call, lpvoid lpreserved)
{
	hwnd hwnd = findwindoww(l"valve001",null);
	dword pid;
	getwindowthreadprocessid(hwnd, &pid);
	if (getcurrentprocessid() == pid)
	{
		messagebox(hwnd, text("hello lyshark"), 0, 0);
	}
	return true;
}

调用代码:注意必须将上方编译好的hook.dll与下方工程放到同一个目录下,通过loadlibrary()函数获取到模块句柄,然后通过getprocaddress()获取到导出函数地址,并通过函数指针调用,由于全局注入依赖于父进程,所以下面的代码必须一直运行.

#include <windows.h>

int main(int argc, char *argv[])
{
	hmodule hmod = loadlibrary(text("hook.dll"));

	typedef void(*psethook)(void);
	psethook sethook = (psethook)getprocaddress(hmod, "sethook");
	sethook();
	while (1)
	{
		sleep(1000);
	}
	return 0;
}

apc应用层异步注入:

apc 是异步过程调用,在windows下每个线程在可被唤醒时在其apc链中的函数将有机会执行被执行,每一个线程都具有一个apc链,那么只要在可以在apc链中添加一个apc,就可以完成我们所需要的dll注入的功能.

1.将需要加载的dll的完整路径写入目标进程空间.
2.获得loadlibrarya()函数的地址,当然也可以是loadlibraryw()函数的地址.
3.枚举目标进程中的所有线程,为每个线程添加一个apc函数,这样增加了注入成功的机会.

该注入的原理是利用当线程被唤醒时apc中的注册函数会被执行的机制,并以此去执行我们的dll加载代码,进而完成dll注入的

目的,通过apc注入的流程步骤大致如下

1.当exe里某个线程执行到sleepex()或者waitforsingleobjectex()时,系统就会产生一个软中断.
2.当线程再次被唤醒时,此线程会首先执行apc队列中的被注册的函数.
3.利用queueuserapc()这个api可以在软中断时向线程的apc队列插入一个函数指针,如果我们插入的是loadlibrary()执行函数的话,就能达到注入dll的目的,不论如何目标程序必须有执行sleepex()或者waitforsingleobjectex()否则dll不会加载.

#include <windows.h>
#include <tlhelp32.h>
#include <stdio.h>

// apc注入
bool apcinjectdll(dword dwpid, char * szdllname)
{
	// 计算欲注入 dll 文件完整路径的长度
	int ndlllen = lstrlen(szdllname) + sizeof(char);

	// 打开目标进程
	handle hprocess = openprocess(process_all_access,false, dwpid);
	if (hprocess == null)
	{
		return false;
	}
	// 在目标进程申请一块长度为 ndlllen 大小的内存空间
	pvoid pdlladdr = virtualallocex(hprocess,null, ndlllen,mem_commit,page_readwrite);
	if (pdlladdr == null)
	{
		closehandle(hprocess);
		return false;
	}
	dword dwwritenum = 0;
	// 将欲注入 dll 文件的完整路径写入在目标进程中申请的空间内
	writeprocessmemory(hprocess, pdlladdr, szdllname,ndlllen, &dwwritenum);
	closehandle(hprocess);

	threadentry32 te = { 0 };
	te.dwsize = sizeof(threadentry32);
	//得到线程快照
	handle handlesnap = createtoolhelp32snapshot(th32cs_snapthread, 0);
	if (invalid_handle_value == handlesnap)
	{
		closehandle(hprocess);
		return false;
	}
	// 获得 loadlibrarya()函数的地址
	farproc pfunaddr = getprocaddress(getmodulehandle("kernel32.dll"), "loadlibrarya");
	dword dwret = 0;
	//得到第一个线程
	if (thread32first(handlesnap, &te))
	{
		do
		{
			//进行进程 id 对比
			if (te.th32ownerprocessid == dwpid)
			{
				//得到线程句柄
				handle hthread = openthread(thread_all_access,false,te.th32threadid);
				if (hthread)
				{
					//向线程插入 apc
					dwret = queueuserapc((papcfunc)pfunaddr,hthread,(ulong_ptr)pdlladdr);
					//关闭句柄
					closehandle(hthread);
				}
			}
			//循环下一个线程
		} while (thread32next(handlesnap, &te));
	}
	closehandle(handlesnap);
	return true;
}

int main(int argc, char *argv[])
{
	apcinjectdll(9608, "c:/x86.dll");
	system("pause");
	return 0;
}

zwcreatethreadex强力注入:

在前面的注入方式中,我们使用了createremotethread()这个函数来完成线程注入,此方式可以注入普通的进程,但却无法注入到系统进程中,因为系统进程是处在session0高权限级别的会话层.

由于createremotethread()底层会调用zwcreatethreadex()这个未公开的内核函数,所以我们必须手动调用zwcreatethread()这一内核函数,将第七个参数设置为0即可,zwcreatethreadex函数在ntdll.dll中并未声明,所以必须手动使用getprocaddress函数将其地址导出.

#include <windows.h>
#include <stdio.h>

// 使用 zwcreatethreadex 实现远线程注入
bool zwcreatethreadexinjectdll(dword dwprocessid, char * pdllname)
{
	handle hprocess = null;
	size_t dwsize = 0;
	lpvoid pdlladdr = null;
	farproc pfuncprocaddr = null;
	handle hremotethread = null;
	dword dwstatus = 0;

	// 打开注入进程，获取进程句柄
	hprocess = openprocess(process_all_access, false, dwprocessid);
	if (null == hprocess)
	{
		return false;
	}
	// 在注入进程中申请内存
	dwsize = sizeof(char)+lstrlen(pdllname);
	pdlladdr = ::virtualallocex(hprocess, null, dwsize, mem_commit, page_readwrite);
	if (null == pdlladdr)
	{
		return false;
	}
	// 向申请的内存中写入数据
	if (false == ::writeprocessmemory(hprocess, pdlladdr, pdllname, dwsize, null))
	{
		return false;
	}
	// 加载 ntdll.dll
	hmodule hntdlldll = ::loadlibrary("ntdll.dll");
	if (null == hntdlldll)
	{
		return false;
	}
	// 获取loadlibrarya函数地址
	pfuncprocaddr = ::getprocaddress(::getmodulehandle("kernel32.dll"), "loadlibrarya");
	if (null == pfuncprocaddr)
	{
		return false;
	}
	// 获取zwcreatethread函数地址
#ifdef _win64
	typedef dword(winapi *typedef_zwcreatethreadex)(
		phandle threadhandle,
		access_mask desiredaccess,
		lpvoid objectattributes,
		handle processhandle,
		lpthread_start_routine lpstartaddress,
		lpvoid lpparameter,
		ulong createthreadflags,
		size_t zerobits,
		size_t stacksize,
		size_t maximumstacksize,
		lpvoid punkown);
#else
	typedef dword(winapi *typedef_zwcreatethreadex)(
		phandle threadhandle,
		access_mask desiredaccess,
		lpvoid objectattributes,
		handle processhandle,
		lpthread_start_routine lpstartaddress,
		lpvoid lpparameter,
		bool createsuspended,
		dword dwstacksize,
		dword dw1,
		dword dw2,
		lpvoid punkown);
#endif
	typedef_zwcreatethreadex zwcreatethreadex = (typedef_zwcreatethreadex)::getprocaddress(hntdlldll, "zwcreatethreadex");
	if (null == zwcreatethreadex)
	{
		return false;
	}
	// 使用 zwcreatethreadex 创建远线程, 实现 dll 注入
	dwstatus = zwcreatethreadex(&hremotethread, process_all_access, null, hprocess, 
		(lpthread_start_routine)pfuncprocaddr, pdlladdr, 0, 0, 0, 0, null);
	if (null == hremotethread)
	{
		return false;
	}
	// 关闭句柄
	::closehandle(hprocess);
	::freelibrary(hntdlldll);
	return true;
}

int main(int argc, char *argv[])
{
	bool bret = zwcreatethreadexinjectdll(2940, "hook.dll");

	system("pause");
	return 0;
}

强制卸载进程中的dll:

#include <windows.h>
#include <stdio.h>
#include <tlhelp32.h>

bool unload_module(dword dwpid, lpctstr szdllname)
{
	bool bmore = false, bfound = false;
	handle hsnapshot, hprocess, hthread;
	hmodule hmodule = null;
	moduleentry32 me = { sizeof(me) };
	lpthread_start_routine pthreadproc;

	hsnapshot = createtoolhelp32snapshot(th32cs_snapmodule, dwpid);
	bmore = module32first(hsnapshot, &me);
	for (; bmore; bmore = module32next(hsnapshot, &me))
	{
		if (!_tcsicmp((lpctstr)me.szmodule, szdllname) || !_tcsicmp((lpctstr)me.szexepath, szdllname))
		{
			bfound = true;
			break;
		}
	}
	if (!(hprocess = openprocess(process_all_access, false, dwpid)))
		return false;

	hmodule = getmodulehandle(l"kernel32.dll");
	pthreadproc = (lpthread_start_routine)getprocaddress(hmodule, "freelibrary");
	hthread = createremotethread(hprocess, null, 0, pthreadproc, me.modbaseaddr, 0, null);
	waitforsingleobject(hthread, infinite);
	if (hthread != 0)
	{
		closehandle(hthread);
		closehandle(hprocess);
		closehandle(hsnapshot);
		return true;
	}
	return false;
}

int main(int argc, char *argv[])
{
	unload_module(2012, "lyshark.dll");

	system("pause");
	return 0;
}

纯汇编实现远程dll注入:

.data
	szmydll        db "\lyshark.dll",0h       ; 要注入的dll
	szdllkernel    db "kernel32.dll",0h
	szloadlibrary  db "loadlibrarya",0h
	lpfilename     db "tutorial-i386",0h      ; 指定要注入进程
	lpdllname      dd ?
.data?
	szmydllfull    db max_path dup (?)
	lploadlibrary  dd ?
	dwprocessid    dd ?     
	dwthreadid     dd ?
	hprocess       dd ?
.code
	main proc
; 准备工作：获取dll的全路径文件名、获取loadlibrary函数地址等
		invoke getcurrentdirectory,max_path,addr szmydllfull
		invoke lstrcat,addr szmydllfull,addr szmydll
		invoke getmodulehandle,addr szdllkernel
		invoke getprocaddress,eax,offset szloadlibrary
		mov lploadlibrary,eax

; 查找文件管理器窗口并获取进程id，然后打开进程
		invoke findwindow,null,addr lpfilename
		invoke getwindowthreadprocessid,eax,offset dwprocessid
  		mov dwthreadid,eax
  		invoke openprocess,process_all_access,false,dwprocessid
		mov hprocess,eax

; 在进程中分配空间并将dll文件名拷贝过去，然后创建一个loadlibrary线程
		invoke virtualallocex,hprocess,null,max_path,mem_commit,page_readwrite
		mov lpdllname,eax
		invoke writeprocessmemory,hprocess,eax,offset szmydllfull,max_path,null
		invoke createremotethread,hprocess,null,0,lploadlibrary,lpdllname,0,null
		ret
	main endp
end main

纯汇编实现远程代码注入:

1.首先使用汇编编写一个代码注入器,其命名为main.asm

.data
	lploadlibrary      dd ?
	lpgetprocaddress   dd ?
	lpgetmodulehandle  dd ?
	dwprocessid        dd ?
	dwthreadid         dd ?
	hprocess           dd ?
	lpremotecode       dd ?
.const
	prochandle        db "lyshark.exe",0h
	kernelbase        db "kernel32.dll",0h
	szloadlibrary     db "loadlibrarya",0h
	szgetprocaddress  db "getprocaddress",0h
	szgetmodulehandle db "getmodulehandlea",0h
.code
include macro.inc
include shellcode.asm
	main proc
		invoke getmodulehandle,addr kernelbase
		mov ebx,eax
		invoke getprocaddress,ebx,offset szloadlibrary
		mov lploadlibrary,eax
		invoke getprocaddress,ebx,offset szgetprocaddress
		mov lpgetprocaddress,eax
		invoke getprocaddress,ebx,offset szgetmodulehandle
		mov lpgetmodulehandle,eax

		invoke findwindow,null,addr prochandle
		invoke getwindowthreadprocessid,eax,offset dwprocessid
		mov dwthreadid,eax
		invoke openprocess,process_all_access,false,dwprocessid
		mov hprocess,eax

		invoke virtualallocex,hprocess,null,2048,mem_commit,page_execute_readwrite
			.if eax
				mov lpremotecode,eax
				invoke writeprocessmemory,hprocess,lpremotecode,offset remote_code_start,1024,null
				invoke writeprocessmemory,hprocess,lpremotecode,offset lploadlibrary,sizeof dword * 3,null
				mov eax,lpremotecode
				add eax,offset _remotethread - offset remote_code_start
				invoke createremotethread,hprocess,null,0,eax,0,0,null
				invoke closehandle,eax
			.endif
			invoke closehandle,hprocess	
	invoke exitprocess,null
	ret
	main endp
end main

为了后期编程方便,编写一个反转宏macro.inc用来翻转参数,使用定义_invoke调用更方便

; --------------------------------------------
; 翻转参数字节序
reverseargs macro arglist:vararg
	local txt,count
	txt textequ <>
	count=0
	for i,<arglist>
		count = count+1
		txt textequ @catstr(i,<!,>,<%txt>)
	endm
	if count gt 0
		txt substr txt,1,@sizestr(%txt)-1
	endif
	exitm txt
endm
; --------------------------------------------
; 创建类似于invoke的宏代码
_invoke macro _proc,args:vararg
	local count
	count = 0
%	for i,< reverseargs( args ) >
		count = count+1
		push i
	endm
	call dword ptr _proc    
endm

最后编写注入代码,此处命名为shellcode.asm该代码包括了子定位功能.

remote_code_start equ this byte
_lploadlibrary      dd ?
_lpgetprocaddress   dd ?
_lpgetmodulehandle  dd ?

; --------------------------------------------
; 存放静态资源,比如常量,字符串等.
_hinstance          dd ?
_szshowtitle        db "hello lyshark",0h

; --------------------------------------------
; 存放获取到的指针
_lpdlluser          dd ?
_lpmessagebox       dd ?
; --------------------------------------------
; 放入导入函数的字符串
_szdlluser		db	"user32.dll",0h
_szmessagebox           db      "messageboxa",0h,0
; --------------------------------------------
_remotethread proc uses ebx esi edi
		local @hmodule
; --------------------------------------------
; 计算指令的偏移地址,用ebx作为基址指针
		call @f
		@@:
		pop ebx
		sub ebx,offset @b
; --------------------------------------------
		_invoke [ebx + _lpgetmodulehandle],null         ; 取当前模块句柄
		mov [ebx + _hinstance],eax
		lea eax,[ebx + offset _szdlluser]           
		_invoke [ebx + _lpgetmodulehandle],eax          ; 取user32.dll模块句柄
		mov @hmodule,eax
; --------------------------------------------
; 循环获取每个导入函数的地址,并放入指针变量保存
		lea esi,[ebx + offset _szmessagebox]            ; 循环获取,从该函数起始地址处
		lea edi,[ebx + offset _lpmessagebox]
		.while true
			_invoke	[ebx + _lpgetprocaddress],@hmodule,esi
			mov [edi],eax       ; 获取到函数地址后,放入导入函数字符串中
			add edi,4           ; 每次递增4字节,指向下一个函数,遇到0则停止
			@@:
			lodsb
			or al,al
			jnz @b
			.break .if !byte ptr [esi]
		.endw
; --------------------------------------------
		;lea esi,[ebx+ offset _szmessagebox]            ; 取msgbox模块地址
		;_invoke [ebx+_lpgetprocaddress],@hmodule,esi   ; 获取地址
		;mov [ebx+_lpmessagebox],eax                    ; 存入变量中
		lea esi,[ebx + offset _szshowtitle]             ; 获取弹窗资源
		_invoke [ebx + _lpmessagebox],0,esi,eax,0       ; 调用信息框
		ret
_remotethread endp

文章出处：

以上就是c++ 如何实现线程注入的详细内容，更多关于c++ 实现线程注入的资料请关注其它相关文章！