远程线程注入

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
DWORD GetProcId()
{
	char *TargetProcessName="notepad.exe"; //先要打开记事本
	                                    //或者一个非授信的事件将程序进程阻塞不让进程结束
	BOOL IsOk;
	PROCESSENTRY32 ProcInfo;           //这个结构体的内容包含进程的信息，在下边解释
	//获取当前运行进程快照
	HANDLE hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,NULL);
	//填充该结构体的大小
	ProcInfo.dwSize = sizeof(ProcInfo);
	//得到第一个进程
	IsOk = Process32First(hSnapShot,&ProcInfo);
	
	while (IsOk)
	{

	if (_tcscmp(TargetProcessName, ProcInfo.szExeFile)==0)    //比较是否是目标进程名称
		{
			return ProcInfo.th32ProcessID;            //返回目标进程ID
		}
	//继续获得下一个进程快照
		IsOk = Process32Next(hSnapShot,&ProcInfo);
	}
  return 0;
}

1
2
3
4
5
6
7
8
9
10
11
12
13
typedef struct tagPROCESSENTRY32
{
    DWORD   dwSize;                //结构体大小
    DWORD   cntUsage;              //此进程的引用计数
    DWORD   th32ProcessID;          // 此进程ID
    ULONG_PTR th32DefaultHeapID;     //进程默认堆ID
    DWORD   th32ModuleID;           // 进程模块ID
    DWORD   cntThreads;               //进程开启的线程数
    DWORD   th32ParentProcessID;    // 父进程ID
    LONG    pcPriClassBase;         // 线程优先权
    DWORD   dwFlags;                //保留参数
    CHAR    szExeFile[MAX_PATH];    // 进程名称
} PROCESSENTRY32;

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
VOID InjectDll(DWORD TargetProcId,char *DllName)
{

        //如果自己的程序时ANSCII就用LoadLibraryA,如果是UNICODE版本就获得LoadLibraryW函数
	char *pFunName = "LoadLibraryA";  //LoadLibrary  是一个宏 而不是一个真正的函数  所以这里要确切的函数地址
	                                                               //指定获取LoadLibraryA的地址还是LoadLibraryW的地址
	
		   //打开目标进程
	HANDLE hTargetProc = OpenProcess(PROCESS_ALL_ACCESS,FALSE,TargetProcId);
	if (hTargetProc == NULL)
	{
		return;
	}
	//获得 完整的 DLL文件路径长度
	int DllLength = strlen(DllName)+sizeof(char);    //‘’

	//在目标进程中申请DllLength大小的内存空间
	         //返回值是申请的地址  第二个参数是要申请的位置一般NULL   最后一个参数是内存属性 可读可写
	PVOID pDllAddress = VirtualAllocEx(hTargetProc,NULL,DllLength,MEM_COMMIT,PAGE_READWRITE);

	if (pDllAddress == NULL)
	{
		CloseHandle(hTargetProc);
		return;
	}

	//DWORD ActWriteNum = 0;

	SIZE_T ActWriteNum = 0;

	//将完整的 DLL文件路径写入  目标进程中申请的内存 空间
	WriteProcessMemory(hTargetProc,pDllAddress,DllName,DllLength,&ActWriteNum);

	//获得LoadLibraryA的函数地址

	FARPROC pFunAddress = GetProcAddress(GetModuleHandle("kernel32.dll"),pFunName);

	//创建远程线程
	//等价于 在 目标进程执行 LoadLibraryA("F:\NewDemo\Debug\DLL.dll")  加载该DLL
	HANDLE hRemoteThread = CreateRemoteThread(hTargetProc,NULL,NULL,
		(LPTHREAD_START_ROUTINE)pFunAddress,	pDllAddress,0,0);


	WaitForSingleObject(hRemoteThread,INFINITE);

	CloseHandle(hRemoteThread);
	CloseHandle(hTargetProc);
}

1
2
	char *DllName = "F:\NewDemo\Debug\DLL.dll";
	InjectDll(GetProcId(),DllName);