Windows x86 x64使用SetThreadContext注入shellcode的方式加载DLL

一、前言

　　注入DLL的方式有很多，在R3就有远程线程CreateRemoteThread、SetWindowsHookEx、QueueUserApc、SetThreadContext

　　在R0可以使用apc或者使用KeUserModeCallBack

　　关于本文是在32位和64位下使用SetThreadContext注入DLL，32位下注入shellcode加载dll参考 创建进程时注入DLL，64位下shellcode通过编写asm汇编文件，使用windbg的attach调试获得。

二、编程思路

　　我们先打开目标进程，枚举目标线程采用的是系统快照的方式，比较线程所属的进程是否是我们的目标进程，SuspendThread挂起线程，GetThreadContext获得eip/rip，在目标进程空间写入Shellcode，SetThreadContext将eip/rip设置为我们shellcode的地址，shellcode执行load dll的工作，最后跳转回之前的eip继续执行。

　　1、32位下shellcode

BYTE ShellCode[]=

{

    0x60,

    0x9c,

    0x68,               //push

    0xaa,0xbb,0xcc,0xdd,//dll path  +3  dll最目标进程中的地址

    0xff,0x15,          //call     这里感觉有点乱，我在64下直接call 相对地址

    0xdd,0xcc,0xbb,0xaa,//+9 LoadLibrary Addr  Addr

    0x9d,

    0x61,

    0xff,0x25,          //jmp

    0xaa,0xbb,0xcc,0xdd,// +17  jmp  eip

    0xaa,0xaa,0xaa,0xaa,// loadlibrary addr

    0xaa,0xaa,0xaa,0xaa//  jmpaddr  +25

    //  +29

};

　　我们在代码中对于shellcode中填充内容，这样避免shellcode重定位的问题

    strcpy((char*)DllPath,"D:\\Dllx86.dll");//这里是要注入的DLL名字

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;

    ////////////////

    *(DWORD*)(ShellCode+)=LoadDllAAddr;   //loadlibrary地址放入shellcode中

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;//修改call 之后的地址 为目标空间存放 loaddlladdr的地址

    //////////////////////////////////

    *(DWORD*)(ShellCode+)=ctx.Eip;

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;//修改jmp 之后为原来eip的地址

　　最后翻译成汇编

/*

{

00973689 >    60                PUSHAD

0097368A      9C                PUSHFD

0097368B      68 50369700       PUSH notepad.00973650

00973690      FF15 70369700     CALL DWORD PTR DS:[973670]

00973696      9D                POPFD

00973697      61                POPAD

00973698    - FF25 30369700     JMP DWORD PTR DS:[973630]

}

*/

　　然后需要注意的是操作之前要挂起，结束后一定要恢复，32位比较简单

　　2.64位下的shellcode

BYTE ShellCode64[]=

{

    0x48,0x83,0xEC,0x28,  // sub rsp ,28h

    0x48,0x8D,0x0d,       // [+4] lea rcx,

    0xaa,0xbb,0xcc,0xdd,  // [+7] dll path offset =  TargetAddress- Current(0x48)[+4] -7 

    0x48, 0xB8,

    0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc,

    0xff, 0xd0,

    0x48,0x83,0xc4,0x28,  // [+16] add rsp,28h

    //0xcc, 调试时断下来的int 3 正常运行的时候非常傻逼的没有请掉...难怪一直死

    0xff,0x25,            // [+20]

    0xaa,0xbb,0xcc,0xdd,  // [+22] jmp rip offset  = TargetAddress - Current(0xff)[+20] - 6

    0xaa,0xbb,0xcc,0xdd,  //+26

    0xaa,0xbb,0xcc,0xdd

    //+34

};

　　64位下，寻址都是相对寻址，函数调用参数传递是rcx，rdx，r8，r9，超过4参数采用栈传递

　　首先需要sub rsp,28h，为5*8 = 28h ，4个寄存器+返回地址

　　然后将dll名称地址给rcx

　　在调用loadlibrary，最后跳回rip

DllPath=ShellCode64+;

    strcpy((char*)DllPath,"Dllx64.dll");//这里是要注入的DLL名字

    DWORD DllNameOffset = ;// ((BYTE*)LpAddr+34) -((BYTE*)LpAddr+4) -7 这个指令7个字节

    *(DWORD*)(ShellCode64+)=(DWORD)DllNameOffset;

    ////////////////

    DWORD64 LoadDllAddroffset = (DWORD64)LoadDllAAddr;// - ((BYTE*)LpAddr + 11) -5;  //这个指令5个字节e8 + 4addroffset

    *(DWORD64*)(ShellCode64+)=LoadDllAddroffset;

    //////////////////////////////////

    *(DWORD64*)(ShellCode64+)=ctx.Rip; //64下为rip

    *(DWORD*)(ShellCode64+)= (DWORD); //我将地址放在+29的地方，相对offset为0

三、完整代码

#include "stdafx.h"

#include <iostream>

using namespace std;

#include <windows.h>

#include "tlhelp32.h"

BYTE ShellCode[]=

{

    0x60,

    0x9c,

    0x68,               //push

    0xaa,0xbb,0xcc,0xdd,//dll path  +3  dll最目标进程中的地址

    0xff,0x15,          //call     这里感觉有点乱，我在64下直接call 相对地址

    0xdd,0xcc,0xbb,0xaa,//+9 LoadLibrary Addr  Addr

    0x9d,

    0x61,

    0xff,0x25,          //jmp

    0xaa,0xbb,0xcc,0xdd,// +17  jmp  eip

    0xaa,0xaa,0xaa,0xaa,// loadlibrary addr

    0xaa,0xaa,0xaa,0xaa//  jmpaddr  +25

    //  +29

}; 

/*

{

00973689 >    60                PUSHAD

0097368A      9C                PUSHFD

0097368B      68 50369700       PUSH notepad.00973650

00973690      FF15 70369700     CALL DWORD PTR DS:[973670]

00973696      9D                POPFD

00973697      61                POPAD

00973698    - FF25 30369700     JMP DWORD PTR DS:[973630]

}

*/

BYTE ShellCode64[64]=
{
　　0x48,0x83,0xEC,0x28, // sub rsp ,28h

　　0x48,0x8D,0x0d, // [+4] lea rcx,
　　0xaa,0xbb,0xcc,0xdd, // [+7] dll path offset = TargetAddress- Current(0x48)[+4] -7

　　0x48, 0xB8,
　　0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc, 0xcc,
　　0xff, 0xd0,

　　0x48,0x83,0xc4,0x28, // [+16] add rsp,28h
　　//0xcc, 调试时断下来的int 3 正常运行的时候非常傻逼的没有请掉...难怪一直死
　　0xff,0x25, // [+20]
　　0xaa,0xbb,0xcc,0xdd, // [+22] jmp rip offset = TargetAddress - Current(0xff)[+20] - 6

　　0xaa,0xbb,0xcc,0xdd, //+26
　　0xaa,0xbb,0xcc,0xdd
　　//+34
};

BOOL EnableDebugPriv() ;

BOOL StartHook(HANDLE hProcess,HANDLE hThread);

int _tmain(int argc, _TCHAR* argv[])

{

    EnableDebugPriv() ;

    int ProcessId = ;

    cin>>ProcessId;

    HANDLE Process = OpenProcess(PROCESS_ALL_ACCESS,NULL,ProcessId);

    // 定义线程信息结构

    THREADENTRY32 te32 = {sizeof(THREADENTRY32)} ;

    //创建系统线程快照  ss

    HANDLE hThreadSnap = CreateToolhelp32Snapshot ( TH32CS_SNAPTHREAD,  ) ;

    if ( hThreadSnap == INVALID_HANDLE_VALUE )

        return FALSE ;  

    // 循环枚举线程信息

    if ( Thread32First ( hThreadSnap, &te32 ) )

    {

        do{  

            if(te32.th32OwnerProcessID == ProcessId)

            {

                HANDLE Thread = OpenThread(THREAD_ALL_ACCESS,NULL,te32.th32ThreadID);

                SuspendThread(Thread);

                if (!StartHook(Process,Thread))

                {

                    TerminateProcess(Process,);

                    printf("失败\n");

                    getchar();

                    return ;

                }

                CloseHandle(Process);

                CloseHandle(Thread);

            }

        }while ( Thread32Next ( hThreadSnap, &te32 ) ) ;

    }  

    CloseHandle ( hThreadSnap ) ;

}

BYTE *DllPath;

BOOL StartHook(HANDLE hProcess,HANDLE hThread)

{

#ifdef _WIN64 

    CONTEXT ctx;

    ctx.ContextFlags=CONTEXT_ALL;

    if (!GetThreadContext(hThread,&ctx))

    {

        printf("GetThreadContext Error\n");

        return FALSE;

    }

    LPVOID LpAddr=VirtualAllocEx(hProcess,NULL,,MEM_COMMIT,PAGE_EXECUTE_READWRITE);

    if (LpAddr==NULL)

    {

        printf("VirtualAlloc Error\n");

        return FALSE;

    }

    DWORD64 LoadDllAAddr=(DWORD64)GetProcAddress(GetModuleHandle(L"kernel32.dll"),"LoadLibraryA");

    if (LoadDllAAddr==NULL)

    {

        printf("LoadDllAddr error\n");

        return FALSE;

    }

    /*

    0x48,0x83,0xEC,0x28,  //sub rsp ,28h

    0x48,0x8D,0x0d,       // [+4] lea rcx,

    0xaa,0xbb,0xcc,0xdd,  // [+7] dll path offset =  TargetAddress- Current(0x48)[+4] -7 

    0xe8,                 // [+11]

    0xdd,0xcc,0xbb,0xaa,  // [+12] call LoadLibrary offset = TargetAddress - Current(0xe8)[+11] -5

    0x48,0x83,0xc4,0x28,  // [+16] add rsp,28h

    0xff,0x25,            // [+20]

    0xaa,0xbb,0xcc,0xdd,  // [+22] jmp rip offset  = TargetAddress - Current(0xff)[+20] - 6

    0xaa,0xbb,0xcc,0xdd,  //+26

    0xaa,0xbb,0xcc,0xdd

    //+34

    */

　　DllPath=ShellCode64+41;
　　strcpy((char*)DllPath,"Dllx64.dll");//这里是要注入的DLL名字
　　DWORD DllNameOffset = 30;// ((BYTE*)LpAddr+34) -((BYTE*)LpAddr+4) -7 这个指令7个字节
　　*(DWORD*)(ShellCode64+7)=(DWORD)DllNameOffset;
　　////////////////
　　DWORD64 LoadDllAddroffset = (DWORD64)LoadDllAAddr;// - ((BYTE*)LpAddr + 11) -5; //这个指令5个字节e8 + 4addroffset
　　*(DWORD64*)(ShellCode64+13)=LoadDllAddroffset;
　　//////////////////////////////////

　　*(DWORD64*)(ShellCode64+33)=ctx.Rip; //64下为rip
　　*(DWORD*)(ShellCode64+29)= (DWORD)0; //我将地址放在+29的地方，相对offset为0

//  这里因为这样写跳转不到目标地址，故x64 应该要中转一次  相对寻址

//     DWORD Ds = (DWORD)ctx.SegDs;

//     DWORD RipOffset = (BYTE*)ctx.Rip - ((BYTE*)LpAddr+20) -6;

//     *(DWORD*)(ShellCode64+22)=(DWORD)ctx.Rip;

    ////////////////////////////////////

    if (!WriteProcessMemory(hProcess,LpAddr,ShellCode64,,NULL))

    {

        printf("write Process Error\n");

        return FALSE;

    }

    ctx.Rip=(DWORD64)LpAddr;

    if (!SetThreadContext(hThread,&ctx))

    {

        printf("set thread context error\n");

        return FALSE;

    }

    ResumeThread(hThread);

    return TRUE;

#else

    CONTEXT ctx = {};

    ctx.ContextFlags=CONTEXT_ALL;

    if (!GetThreadContext(hThread,&ctx))

    {

        int a = GetLastError();

        printf("GetThreadContext Error\n");

        return FALSE;

    }

    LPVOID LpAddr=VirtualAllocEx(hProcess,NULL,,MEM_COMMIT,PAGE_EXECUTE_READWRITE);

    if (LpAddr==NULL)

    {

        printf("VirtualAlloc Error\n");

        return FALSE;

    }

    DWORD LoadDllAAddr=(DWORD)GetProcAddress(GetModuleHandle(L"kernel32.dll"),"LoadLibraryA");

    if (LoadDllAAddr==NULL)

    {

        printf("LoadDllAddr error\n");

        return FALSE;

    }

    /////////////

    /*

    0x60,              PUSHAD

    0x9c,              PUSHFD

    0x68,              PUSH

    0xaa,0xbb,0xcc,0xdd,//dll path  address

    0xff,0x15,            CALL

    0xdd,0xcc,0xbb,0xaa,  offset

    0x9d,                  POPFD

    0x61,                  POPAD

    0xff,0x25,             JMP

    0xaa,0xbb,0xcc,0xdd,//  [xxxxx]

    0xaa,0xaa,0xaa,0xaa,// LoadLibrary Address

    0xaa,0xaa,0xaa,0xaa//  恢复的EIP  Address

                         // +29  Dll名字

    */

    _asm mov esp,esp

    DllPath=ShellCode+;

    strcpy((char*)DllPath,"D:\\Dllx86.dll");//这里是要注入的DLL名字

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;

    ////////////////

    *(DWORD*)(ShellCode+)=LoadDllAAddr;   //loadlibrary地址放入shellcode中

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;//修改call 之后的地址 为目标空间存放 loaddlladdr的地址

    //////////////////////////////////

    *(DWORD*)(ShellCode+)=ctx.Eip;

    *(DWORD*)(ShellCode+)=(DWORD)LpAddr+;//修改jmp 之后为原来eip的地址

    ////////////////////////////////////

    if (!WriteProcessMemory(hProcess,LpAddr,ShellCode,,NULL))

    {

        printf("write Process Error\n");

        return FALSE;

    }

    ctx.Eip=(DWORD)LpAddr;

    if (!SetThreadContext(hThread,&ctx))

    {

        printf("set thread context error\n");

        return FALSE;

    }

    ResumeThread(hThread);

    return TRUE;

#endif

};

BOOL EnableDebugPriv()

{

    HANDLE   hToken;

    LUID   sedebugnameValue;

    TOKEN_PRIVILEGES   tkp;

    if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY,&hToken))

    {

        return   FALSE;

    } 

    if(!LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&sedebugnameValue))

    {

        CloseHandle(hToken);

        return   FALSE;

    }

    tkp.PrivilegeCount   =   ;

    tkp.Privileges[].Luid   =   sedebugnameValue;

    tkp.Privileges[].Attributes   =   SE_PRIVILEGE_ENABLED; 

    if(!AdjustTokenPrivileges(hToken,FALSE,&tkp,sizeof(tkp),NULL,NULL))

    {

        return   FALSE;

    }

    CloseHandle(hToken);

    return TRUE;

}

四、64位Shellcode的编写过程

　　1.编写内联汇编

IncludeLib User32.Lib

;导入定义

EXTERN LoadLibraryA:PROC

;初始化数据定义

.DATA

szPath     BYTE  "D:\\Dll.dll",

.CODE

  FUNC PROC

  sub rsp,28H     ;分配堆栈,四个参数+返回值,十进制40(*)为16进制28H

  lea rcx,szPath  ;消息文本

  call LoadLibraryA ;调用消息函数

  add rsp,28H      ;平衡堆栈,四个参数+返回值,十进制40为16进制28H

  ret

  FUNC ENDP

 END

// HelloPE.cpp : 定义控制台应用程序的入口点。

//

#include "stdafx.h"

#include<windows.h>

extern "C" int _cdecl FUNC();

int _tmain(int argc, _TCHAR* argv[])

{

    //LoadLibraryA("D:\\Dll.dll");

    int a  = ;

    int b  = ;

    int c = FUNC();

    printf("%d",c);

    return ;

}

　　2.使用Windbg中Attach到程序，查看对应的机器码

HelloPE!FUNC:

`3f5a1090 4883ec28        sub     rsp,28h

`3f5a1094 488d0d877f0000  lea     rcx,[HelloPE!szPath (`3f5a9022)]

`3f5a109b e80a000000      call    HelloPE!LoadLibraryA (`3f5a10aa)

`3f5a10a0 4883c428        add     rsp,28h

`3f5a10a4 c3              ret

`3f5a10a5 cc              int

`3f5a10a6 cc              int

`3f5a10a7 cc              int

`3f5a10a8 cc              int

`3f5a10a9 cc              int     

HelloPE!LoadLibraryA:

`3f5a10aa ff25d8a20000    jmp     qword ptr [HelloPE!_imp_LoadLibraryA (`3f5ab388)]

　　3.根据字节码，编写shellcode

BYTE ShellCode64[]=

{

    0x48,0x83,0xEC,0x28,  // sub rsp ,28h

    0x48,0x8D,0x0d,       // [+4] lea rcx,

    0xaa,0xbb,0xcc,0xdd,  // [+7] dll path offset =  TargetAddress- Current(0x48)[+4] -7 

    0xe8,                 // [+11]

    0xdd,0xcc,0xbb,0xaa,  // [+12] call LoadLibrary offset = TargetAddress - Current(0xe8)[+11] -5

    0x48,0x83,0xc4,0x28,  // [+16] add rsp,28h

    //0xcc, 调试时断下来的int 3 正常运行的时候非常傻逼的没有清掉...难怪一直死

    0xff,0x25,            // [+20]

    0xaa,0xbb,0xcc,0xdd,  // [+22] jmp rip offset  = TargetAddress - Current(0xff)[+20] - 6

    0xaa,0xbb,0xcc,0xdd,  //+26

    0xaa,0xbb,0xcc,0xdd

    //+34

};

　　代码下载：InjectDllBySetThreadContextx64.zip

Windows x86 x64使用SetThreadContext注入shellcode的方式加载DLL的更多相关文章

Windows x86/ x64 Ring3层注入Dll总结
欢迎转载,转载请注明出处:http://www.cnblogs.com/uAreKongqi/p/6012353.html 0x00.前言提到Dll的注入,立马能够想到的方法就有很多,比如利用远程线 ...
关于Windows平台下应用程序加载DLL模块的问题.
本文将讨论以下问题: (1)Windows可执行程序会从哪些目录下加载DLL. (2)如何将可执行使用的DLL放置到统一的目录下,而不是与EXE同一目录. (3)可执行程序加载了不该加载的DLL. ( ...
传统远程注入线程，加载DLL
代码根据<windows黑客编程技术详解>来的远程DLL注入:把我们的恶意DLL强制注入到正常的进程中每个程序执行时都会调用kernal32.dll,加载DLL时,通过Load ...
动态加载dll的实现+远线程注入
1.在目标进程中申请内存 2.向目标进程内存中写入shellcode(没有特征,编码比较麻烦) 3.创建远线程执行shellcode 之前可以看到shellcode很难编写还要去依赖库,去字符串区等等 ...
重新想象 Windows 8 Store Apps (54) - 绑定: 增量方式加载数据
[源码下载] 重新想象 Windows 8 Store Apps (54) - 绑定: 增量方式加载数据作者:webabcd 介绍重新想象 Windows 8 Store Apps 之绑定通过实 ...
重新想象 Windows 8.1 Store Apps (81) - 控件增强: 加载本地 html, 智能替换 html 中的 url 引用, 通过 Share Contract 分享 WebView 中的内容, 为 WebView 截图
原文:重新想象 Windows 8.1 Store Apps (81) - 控件增强: 加载本地 html, 智能替换 html 中的 url 引用, 通过 Share Contract 分享 Web ...
[WP8.1UI控件编程]Windows Phone大数据量网络图片列表的异步加载和内存优化
11.2.4 大数据量网络图片列表的异步加载和内存优化虚拟化技术可以让Windows Phone上的大数据量列表不必担心会一次性加载所有的数据,保证了UI的流程性.对于虚拟化的技术,我们不仅仅只是依 ...
windows/tomcat 修改java虚拟机JVM以utf-8字符集加载class文件的两种方式
1.情景展示做了这么长时间的java开发,但是,你知道JVM是以怎样的编码加载.解析class文件的吗? 我们知道,通常情况下,我们会将java文件的字符集修改成utf-8,这样,理所当然地就认 ...
用 LoadLibraryExW 函数测试加载 dll （CSharp、Windows）
效果如下: $ llbtest "E:\Developer\emgucv-windesktop 3.3.0.2824\libs\x64" LoadLibraryExW PATH: ...

随机推荐

php数组排序函数
下边提到的几个数组函数的排序有一些共性: 1 数组被作为排序函数的参数,排序以后,数组本身就发生了改变,函数的返回值为bool类型.2 函数名中出现单a表示association,含义为,在按值排序的 ...
20160122.CCPP详解体系(0001天)
程序片段(01):Hello.c 内容概要:HelloWorld //01.#include表示包含的作用: // (1).<>:表示只在系统目录之下进行查找 // (2)."& ...
【C#学习笔记】图片像素操作
using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; usin ...
MVC2.0前置
.NET MVC执行过程: 1.网址路由比对 2.执行Controller与Action 3.执行View并返回结果在使用MVC中是由IgnoreRoute()辅助方法对比成功的,会导致程序直接跳离 ...
嵌入式 uboot引导kernel，kernel引导fs
1.uboot引导kernel: u-boot中有个bootm命令,它可以引导内存中的应用程序映像(Kernel),bootm命令对应 common/cmd_bootm.c中的do_bootm()函数 ...
【LR】OSGI性能测试实例
其实我们就两点Ø 确定测试登录最大并发用户数:Ø 事务平均响应时间 (两个查询) 得到这个任务如何展开测试工作呢? 一.WindowsResources 设置(其实不监控设不设都行我感觉) ...
开源堡垒机GateOne的安装、配置笔记
因为内部临时需要这么一套系统,所以搜搜查查,搞定了系统部署,使用pam认证的配置. 系统初始化是使用CentOS 6.5 Mini x64版本. 首先exports http_proxy和http ...
js 判断输入是否为正整数
javascript代码如下: var re = new RegExp("^[1-9][0-9]*$"); if (re.test("11k")) { cons ...
C语言实现strlen
strlen: #ifndef STRLEN_H #define STRLEN_H #include <stdio.h> // 参考微软的写法 int cat_strlen(const c ...
说说Python 中的文件操作和目录操作
我们知道,文件名.目录名和链接名都是用一个字符串作为其标识符的,但是给我们一个标识符,我们该如何确定它所指的到底是常规文件文件名.目录名还是链接名呢?这时,我们可以使用os.path模块提供的isfi ...

Windows x86 x64使用SetThreadContext注入shellcode的方式加载DLL

Windows x86 x64使用SetThreadContext注入shellcode的方式加载DLL的更多相关文章

随机推荐

热门专题