Dll注入技术之输入法注入
输入法注入原理是利用Windows系统中在切换输入法需要输入字符时,系统就会把这个输入法需要的ime文件装载到当前进程中,而由于这个Ime文件本质上只是个存放在C:\WINDOWS\system32目录下的特殊的DLL文件,因此我们可以利用这个特性,在Ime文件中使用LoadLibrary()函数待注入的DLL文件。
1.编写Ime文件
输入法的Ime文件其实就是个显式导出19个特殊函数的DLL文件。如下图所示:
- ImeConversionList //将字符串或字符转换成目标字串
- ImeConfigure //配置当前ime参数函数
- ImeDestroy //退出当前使用的IME
- ImeEscape //应用软件访问输入法的接口函数
- ImeInquire //启动并初始化当前ime输入法
- ImeProcessKey //ime输入键盘事件管理函数
- ImeSelect //启动当前的ime输入法
- ImeSetActiveContext //设置当前的输入处于活动状态
- ImeSetCompositionString //由应用程序设置输入法编码
- ImeToAsciiEx //将输入的键盘事件转换为汉字编码事件
- NotifyIME //ime事件管理函数
- ImeRegisterWord //向输入法字典注册字符串
- ImeUnregisterWord //删除被注册的字符串
- ImeGetRegisterWordStyle
- ImeEnumRegisterWord
- UIWndProc //用户界面接口函数
- StatusWndProc //状态窗口注册函数
- CompWndProc //输入编码窗口注册函数
- CandWndProc //选择汉字窗口注册函数
如果想编写输入法程序,那么这19个导出函数都需要仔细的研究,但是对于只想实现注入的我们,现在只需要对ImeInquire()有比较深的认识就可以了。ImeInquire()是启动并初始化当前Ime输入法函数,他的声明如下:
- BOOL WINAPI ImeInquire(LPIMEINFO lpIMEInfo,LPTSTR lpszUIClass,LPCTSTR lpszOption)
第一个参数lpIMEInfo比较重要,用于输入对Ime输入法初始化的内容结构,如果这个结构填写错误,就会导致输入法不能正常运行。第二个参数是输入一个class类名,我们需要先使用RegisterClassEx()注册出一个窗口类。初始化ImeInquire()主要代码如下所示:
- //启动并初始化当前ime输入法
- BOOL WINAPI ImeInquire(LPIMEINFO lpIMEInfo,LPTSTR lpszUIClass,LPCTSTR lpszOption)
- {
- //输入法初始化过程
- //系统根据它为INPUTCONTEXT.hPrivate分配空间
- lpIMEInfo->dwPrivateDataSize = 0;
- lpIMEInfo->fdwProperty = IME_PROP_KBD_CHAR_FIRST |
- IME_PROP_IGNORE_UPKEYS |
- IME_PROP_END_UNLOAD;
- lpIMEInfo->fdwConversionCaps = IME_CMODE_FULLSHAPE |
- IME_CMODE_NATIVE;
- lpIMEInfo->fdwSentenceCaps = IME_SMODE_NONE;
- lpIMEInfo->fdwUICaps = UI_CAP_2700;
- lpIMEInfo->fdwSCSCaps = 0;
- lpIMEInfo->fdwSelectCaps = SELECT_CAP_CONVERSION;
- // 注意该输入法基本窗口类必须注册,否则输入法不能正常运行
- _tcscpy(lpszUIClass,CLSNAME_UI);
- return TRUE;
- }
注册出一个窗口类的主要代码如下:
- BOOL ImeClass_Register(HINSTANCE hInstance)
- {
- WNDCLASSEX wc;
- wc.cbSize = sizeof(WNDCLASSEX);
- wc.style = CS_VREDRAW | CS_HREDRAW | CS_DBLCLKS | CS_IME;
- wc.lpfnWndProc = UIWndProc;
- wc.cbClsExtra = 0;
- wc.cbWndExtra = 2 * sizeof(LONG);
- wc.hInstance = hInstance;
- wc.hCursor = LoadCursor( NULL, IDC_ARROW );
- wc.hIcon = NULL;
- wc.lpszMenuName = (LPTSTR)NULL;
- wc.lpszClassName = CLSNAME_UI;
- wc.hbrBackground = NULL;
- wc.hIconSm = NULL;
- if( !RegisterClassEx( (LPWNDCLASSEX)&wc ) )
- return FALSE;
- return TRUE;
- }
CLSNAME_UI是一个宏定义,如下:
- #define CLSNAME_UI _T("DLLCLASSNAME")
在DllMain进程加载的过程中注册窗口类,主要代码如下:
- case DLL_PROCESS_ATTACH:
- if(!ImeClass_Register(hinstDLL)) return FALSE;
- //这里填写要load的DLL的路径
- g_hModule = LoadLibrary(_T("D:\\MyDll\\ImeInject\\Debug\\MfcImeInjectDll.dll"));
- if (!g_hModule)
- {
- MessageBox(NULL,_T("模块没有load成功"),_T("提示"),MB_OK);
- }
- break;
PS: 编写DLL时需要注意,当作IME文件的Dll需要有版本信息,Version资源中FILETYPE为VFT_DRV, FILESUBTYPE为VFT2_DRV_INPUTMETHOD,否则调用ImmInstallIME安装时会失败
2.编写装载输入法程序:
装载输入法的基本逻辑就是将他们编写的输入法设置为默认输入法,这样只要系统中所有进程都会默认加载他们的恶意输入法程序。
黑客们首先需要得到系统当前的默认的输入法,以便恢复时使用。然后需要将ime文件拷贝到C:\WINDOWS\system32目录下,最后将装载成功后将我们的输入法设置成为默认输入法,主要代码如下:
- void CMfcImeInjectDlg::OnBnClickedAttach()
- {
- // TODO: 在此添加控件通知处理程序代码
- //得到默认的输入法句柄并保存
- ::SystemParametersInfo(
- SPI_GETDEFAULTINPUTLANG,
- 0,
- &m_retV,
- 0);
- //拷贝到system目录,只有ime文件在system32下才能装载成功
- CopyFile(
- _T("D:\\MyDll\\ImeInject\\Debug\\MyImeDll.ime"),
- _T("C:\\WINDOWS\\system32\\MyImeDll.ime"),
- FALSE);
- //装载输入法
- m_hImeFile = ImmInstallIME(
- _T("MyImeDll.ime"),
- _T("我的输入法"));
- if( ImmIsIME(m_hImeFile) )
- {
- //设置为默认输入法
- SystemParametersInfo(
- SPI_SETDEFAULTINPUTLANG,
- 0,
- &m_hImeFile,
- SPIF_SENDWININICHANGE);
- MessageBox(_T("安装输入法成功"));
- }
- }
3.编写卸载输入法:
当新建进程不再需要注入时,我们就需要卸载输入法。卸载输入法时需要先判定系统当前的输入法不是其原有默认输入法,确认无误后将系统的默认输入法恢复后,再将恶意输入法卸载即可,主要代码如下:
- void CMfcImeInjectDlg::OnBnClickedDettach()
- {
- // TODO: 在此添加控件通知处理程序代码
- ::SystemParametersInfo(
- SPI_SETDEFAULTINPUTLANG,
- 0,
- &m_retV,
- SPIF_SENDWININICHANGE);
- if (UnloadKeyboardLayout(m_hImeFile))
- {
- MessageBox(_T("输入法卸载成功"));
- }
- }
输入法注入的实现需要对输入法IME文件的生成有所了解,API使用较多,所以实现起来比较难,但是由于系统存在多个输入法,被注入进程很难判别当前是可信赖输入法还是用于注入的恶意输入法,所以难以阻止,大大提高了注入的几率。
Dll注入技术之输入法注入的更多相关文章
- DLL注入技术(输入法注入)
输入法注入原理 IME输入法实际就是一个dll文件(后缀为ime),此dll文件需要导出必要的接口供系统加载输入法时调用.我们可以在此ime文件的DllMain函数的入口通过调用LoadLibrary ...
- Dll注入技术之ComRes注入
DLL注入技术之ComRes注入 ComRes注入的原理是利用Windows 系统中C:\WINDOWS\system32目录下的ComRes.dll这个文件,当待注入EXE如果使用CoCreateI ...
- Dll注入技术之APC注入
APC注入的原理是利用当线程被唤醒时APC中的注册函数会被执行的机制,并以此去执行我们的DLL加载代码,进而完成DLL注入的目的,其具体流程如下: 1)当EXE里某个线程执行到SleepEx( ...
- 注入技术--LSP劫持注入
1.原理 简单来说,LSP就是一个dll程序. 应用程序通过winsock2进行网络通信时,会调用ws2_32.dll的导出函数,如connect,accept等. 而后端通过LSP实现这些函数的底层 ...
- Dll注入技术之注册表注入
DLL注入技术之REG注入 DLL注入技术指的是将一个DLL文件强行加载到EXE文件中,并成为EXE文件中的一部分,这样做的目的在于方便我们通过这个DLL读写EXE文件内存数据,(例如 HOOK EX ...
- <ReversingEngineering>关于windows32位系统下的dll注入技术经验汇
上个学期把自己闷在图书馆一直在看关于逆向工程技术方面的书,从入门到初级,现在也敢说自己一条腿已经迈进了这片知识的大门里,因为该博客刚开通先将一些经验记录下来,也是留给自己一方面做个参照. <逆向 ...
- HOOK -- DLL的远程注入技术详解(1)
DLL的远程注入技术是目前Win32病毒广泛使用的一种技术.使用这种技术的病毒体通常位于一个DLL中,在系统启动的时候,一个EXE程序会将这个DLL加载至某些系统进程(如Explorer.exe)中运 ...
- DLL的远程注入技术
DLL的远程注入技术是目前Win32病毒广泛使用的一种技术.使用这种技术的病毒体通常位于一个DLL中,在系统启动的时候,一个EXE程序会将这个DLL加载至某些系统进程(如Explorer.exe)中运 ...
- Dll注入技术之消息钩子
转自:黑客反病毒 DLL注入技术之消息钩子注入 消息钩子注入原理是利用Windows 系统中SetWindowsHookEx()这个API,他可以拦截目标进程的消息到指定的DLL中导出的函数,利用这个 ...
随机推荐
- Yii2 Composer
首先你必须得在本机配置token账号,里边涉及到一些git的用法,git的托管等等,具体方法如下: http://www.cnblogs.com/fnng/archive/2011/08/25/215 ...
- thinkphp IP获取和定位
系统内置了get_client_ip方法用于获取客户端的IP地址,使用示例: $ip = get_client_ip(); 如果要支持IP定位功能,需要使用扩展类库Org\Net\IpLocation ...
- 线性基思想+贪心——cf1249C
/*1+3+9+...+3^n<3^(n+1),按这个思路贪心一下就好*/#include<bits/stdc++.h> using namespace std; #define l ...
- Delphi 异常处理
Delphi错误:Stack overflow的解决方法 在编译Delphi程序时,执行一个内存记忆体的时候,提示:Project.exe raised exception class EStackO ...
- C#txt文本分割器
using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; usin ...
- 解决spring boot中普通类中使用service为null 的方法
我使用的是springboot+mybatisplus +mysql1.创建一个SpringUtil工具类 import org.springframework.beans.BeansExceptio ...
- HTML5自定义属性的设置与获取
<div id="box" aaa="bbb" data-info="hello"></div> <body& ...
- 自己写Linux module来收集buddy info
1 编写代码pslist.c 1: #include<linux/init.h> 2: #include<linux/module.h> 3: #include<linu ...
- Xen的半虚拟化(Paravirtualization)
三个特权级 IA-32体系提供了4个特权级别,正常情况下只用了2个, 操作系统运行在Ring 0,而应用程序运行在Ring 3. Xen让自己运行在Ring 0, 而操作系统运行在Ring 1, 应用 ...
- Bootstrap入门及其常用内置实现
BootStrap是一个专门做页面的 1.BS是基于HTML CSS JS 的一个前端框架(半成品) 2.预定义了一套CSS样式与JQurey实现 3.BS和Validation类似,都是JQ的插件, ...