微信电脑版 HOOK（WeChat PC Hook）- 远程线程注入dll原理

Windows加载dll的特性 1.Windows系统中,每个exe软件运行的时候,会加载系统模块kernel32.dll 2.所有加载进exe软件的系统模块kernel32.dll,内存地址都是一样 3.kernel32.dll中的LoadLibrary()函数用于加别载的dll 4.dll内的函数相对dll模块的地址不变(偏移不变) 注入dll工具的原理 1.获取目标进程的句柄 2.通过句柄,在目标进程的内存里开辟空间 3.把dll的路径写入到目标进程开辟的内存空间 4.创建一个远程线程,让…

详细解读：远程线程注入DLL到PC版微信

一.远程线程注入的原理 1.其基础是在 Windows 系统中,每个 .exe 文件在双击打开时都会加载 kernel32.dll 这个系统模块,该模块中有一个 LoadLibrary() 函数,可以将DLL文件加载到自身进程中. 2.这样,就可以用 CreateRemoteThread() 函数创建一个远程线程,让目标进程调用LoadLibrary() 来加载我们自己写的DLL .CreateRemoteThread() 有这几个参数比较关键:A:想要注入的进程的句柄,这里可以通过OpenPr…

远程线程注入DLL突破session 0 隔离

远程线程注入DLL突破session 0 隔离 0x00 前言补充上篇的远程线程注入,突破系统SESSION 0 隔离,向系统服务进程中注入DLL. 0x01 介绍通过CreateRemoteThread实现的远程线程注入,流程大致就是: 通过OpenProcess获取目标进程句柄. 通过VirtualAllocEx在目标进程空间中申请内存,通过WriteProcessMemory放入需要载入的dll的路径. 通过GetModuleHandleA获取诸如kernel32.dll这类系统dll…

远程线程注入DLL

远程线程注入 0x00 前言远程线程注入是一种经典的DLL注入技术.其实就是指一个新进程中另一个进程中创建线程的技术. 0x01 介绍 1.远程线程注入原理画了一个图大致理解了下远程线程注入dll的原理. 如果是实现注入dll的话,流程大致就是: 通过OpenProcess获取目标进程句柄. 通过VirtualAllocEx在目标进程空间中申请内存,通过WriteProcessMemory放入需要载入的dll的路径. 通过GetModuleHandleA获取诸如kernel32.dll这类系…

远程线程注入dll,突破session 0

前言之前已经提到过,远线程注入和内存写入隐藏模块,今天介绍突破session 0的dll注入其实今天写这个的主要原因就是看到倾旋大佬有篇文章提到:有些反病毒引擎限制从lsass中dump出缓存,可以通过注入lsass 看大佬的博客真的可以学到很多哈哈编译环境 win10 vs2019 什么是session 0 在Windows XP,Windows Server 2003以及更早的版本中,第一个登录的用户以及Windows的所有服务都运行在Session 0上.这样做危险的地方是,用户使用…

CreateRemoteThread远程线程注入Dll与Hook

CreateRemoteThread虽然很容易被检测到,但是在有些场合还是挺有用的.每次想用的时候总想着去找以前的代码,现在在这里记录一下. CreateRemoteThread远程注入 DWORD dwOffect,dwArgu; BOOL CreateRemoteDll(const char *DllFullPath, const DWORD dwRemoteProcessId ,DWORD dwOffect,DWORD dwArgu) { HANDLE hToken; if ( OpenP…

【windows核心编程】使用远程线程注入DLL

前言该技术是指通过在[目标进程]中创建一个[远程线程]来达到注入的目的. 创建的[远程线程]函数为LoadLibrary, 线程函数的参数为DLL名字, 想要做的工作在DLL中编写. 示意图如下: 相关API 1.创建远程线程 //该函数除了第一个参数为目标进程句柄外 //其他参数均和CreateThread一样 HANDLE hThread = CreateRemoteThread( __in HANDLE hProcess, //目标进程句柄 __in_opt LPSECURITY_A…

微信电脑版真的要来了微信Windows版客户端1.0 Alpha推出

微信电脑版的搜索量一直很大,但只有网页版,之前也写了微信网页版APP - 网页微信客户端电脑版体验,在键盘上打字的感觉就是快.现在微信Windows版客户端1.0 Alpha推出了,来一睹芳容吧(2015.1.25微信电脑版-微信for windows客户端发布) 和网页版微信一样,Windows版PC同样需要在手机端扫一扫才能登陆,成功之后,手机端会有提示,点击确认即可. UI设计较为简单,左侧栏提供了聊天.通讯录两项,左下角为设置,功能上要比网页版稍稍丰富,比如可以备份聊天记录. 聊天窗口堪…

微信电脑版也能用公众号自定义菜单微信1.2 for Windows发布

昨日,微信电脑版发布更新,版本为微信1.2 for Windows,最大的特色就是加入了保存聊天记录功能,可以使用公账号菜单,手机上收藏的表情也能在电脑版上发送,可以接收转账消息. 本次微信pc版更新说明如下: 可以在设置中选择保留聊天记录. 手机上收藏的表情也能在电脑版上发送. 收到的语音可以转成文字. 可以使用公众号菜单. 可以接收转账消息.…

微信电脑版DAT文件转图片工具

一键批量将微信聊天接受到的加密存储DAT图片文件转化为普通图片. 通过查看转化后的图片,您可以: (1)清理无用的历史图片,节省电脑硬盘存储空间. (2)恢复寻找重要照片资料. 下载地址:点此下载微信电脑版的图片文件存储位置一般为:微信文件管理目录\微信号\FileStorage\Image\年月在这个目录下会根据年月建立子文件夹,分别存储对应月份接受到的图片文件. 微信文件管理目录可通过打开微信后如下截图步骤查看: 比如上图所示微信的文件管理目录是:D:\Users\admin\Docum…

微信电脑版-微信for windows客户端发布

12月份微信Windows版客户端1.0 Alpha推出,昨天微信for windows 1.0客户端(测试版)发布更新,超过三亿人使用的聊天应用,现在登录Windows桌面.你可以在Windows上使用微信,快速高效地收发消息,轻松愉快地和朋友畅谈,让沟通更方便.(2015.05.07新版更新微信电脑版微信1.1 for Windows更新可@人/转发撤回消息/可播小视频) Windows版微信客户端具有三大特色功能: 1.一键登录. 用户首次扫码登录后,后续再登录时仅需在打开电脑上的客户端…

微信电脑版即将到来了安装QQ浏览器微信版体验吧

之前说过在手机上微信打字慢,tx最终还是想开了,最近TX邀请测试微信电脑版,想要尝鲜的朋友可以去exp.qq.com申请QQ浏览器微信版体验,不过体验将要结束了,相信正式版很快就要出来了.[微信网页版:wx.qq.com] 先放一些截图看下吧安装完“QQ浏览器微信版”之后,首次启动浏览器时,会在右上角工具栏按钮上出现微信按钮,以及“微信马上聊”的小气泡登录还是要用手机扫一扫,如果是手机不支持微信的话就比较悲催了,就像ytkah,为了用微信特地去换部新手机展开聊天点击联系人面板右上角的新建…

微信电脑版微信1.1 for Windows更新可@人/转发撤回消息/可播小视频

微信电脑版微信1.1 for Windows发布更新了,版本号为1.1.0.18,群聊可@人/可转发撤回消息/可播小视频,功能越来越接近微信手机版了. 本次更新的一些新特点: 群聊中可以@人. 消息可以转发. 2分钟内发出的消息可以撤回. 可播放收到的小视频. 微信电脑版微信1.1 for Windows这次更新幅度不小,可以更愉快地在电脑上聊天了查看之前版本有什么特性:微信电脑版-微信for windows客户端发布…

微信电脑版（Mac和Windows）安装

内容简介 1.微信Windows版 2.微信Mac版 3.总结优势微信电脑版众所周知,腾讯公司(马化腾先生执掌的巨头公司)开发的超成功App:微信.一经推出便引发业界轰动,使用人数更是直逼QQ. 微信一开始只有手机版的,比如iOS版,Android版,WinPhone版.在电脑上要连上微信,只能使用微信网页版,挺不方便的. 不过前段时间(也有好几个月了,小编你是来炒冷饭吗...)微信陆续推出了Mac版和Windows版,也算是电脑用户的福音了吧. 目前微信的电脑版日趋成熟. 大概在2014年…

远程线程注入方法CreateRemoteThread

最近在整理学习Windows注入方面的知识,这个远程注入前面早写过,现在看看人家博客的理解整理,整理, 需要源码的可以到我的github上下载. 链接是 https://github.com/Arsense/WindowsCode 首先先来说说什么是注入,为什么要注入 0x00 Baise 注入就是把自己的Dll注入到人家的代码中,被注入的DLL拥有目标进程内存的访问权限,所以我们可以通过该向某个进程注入DLL时的方法主要有以下三种: 创建远程线程(CreateRemoteThread()…

Dll注入技术之远程线程注入

DLL注入技术之远线程注入 DLL注入技术指的是将一个DLL文件强行加载到EXE文件中,并成为EXE文件中的一部分,这样做的目的在于方便我们通过这个DLL读写EXE文件内存数据,(例如 HOOK EXE文件中的API),或以被注入EXE的身份去执行一些操作等等. 远线程注入原理是利用Windows 系统中CreateRemoteThread()这个API,其中第4个参数是准备运行的线程,我们可以将LoadLibrary()填入其中,这样就可以执行远程进程中的LoadLibrary()函数…

安全之路 —— 借助DLL进行远程线程注入实现穿墙与隐藏进程

简介大多数后门或病毒要想初步实现隐藏进程,即不被像任务管理器这样典型的RING3级进程管理器找到过于明显的不明进程,其中比较著名的方法就是通过远程线程注入的方法注入将恶意进程的DLL文件注入系统认可的正常进程,你会发现任务管理器以及找不到独立出现的恶意进程项了.反向连接型后门采用这种技术,注入防火墙认可的进程(例如大部分系统进程,像explorer.exe就很常见)还能够获得一定的穿墙效果. 进程注入虽然已经是将近10年前的技术了,但是今天出现的很多新型黑客技术大…

安全之路 —— 无DLL文件实现远程线程注入

简介在之前的章节中,笔者曾介绍过有关于远程线程注入的知识,将后门.dll文件注入explorer.exe中实现绕过防火墙反弹后门.但一个.exe文件总要在注入时捎上一个.dll文件着实是怪麻烦的,那么有没有什么方法能够不适用.dll文件实现注入呢? 答案是有的,我们可以直接将功能写在线程函数中,然后直接将整个函数注入,这个方法相较之于DLL注入会稍微复杂一些,适用于对一些体积比较小的程序进行注入.但是要注意动态链接库的地址重定位问题,因为正常的文件一般会默认载入…

windows-CODE注入（远程线程注入）

远程线程注入(先简单说,下面会详细说)今天整理下代码注入(远程线程注入),所谓代码注入,可以简单的理解为是在指定内进程里申请一块内存,然后把我们自己的执行代码和一些变量拷贝进去(通常是以启线程的方式),然后直接调用对方内存里我们拷贝进去的那部分代码(创建一个线程).这样就行了,此时我们的这个线程就是目标进程的子线程了.但是要注意一点,代码注入之所以能成功重点是:有些系统常用的dll里的某些函数,在不同的进程里面获取到的地址是一样的(此处注意,一样的概念是指数值一样,但是这个数值存的地方不一样.也…

mfc HackerTools远程线程注入

在一个进程中,调用CreateThread或CreateRemoteThreadEx函数,在另一个进程内创建一个线程(因为不在同一个进程中,所以叫做远程线程).创建的线程一般为Windows API函数LoadLibrary,来加载一个动态链接库(DLL),从而达到在另一个进程中运行自己所希望运行的代码的目的. 步骤: 打开目标进程在目标进程中申请空间将要注入的Dll路径写入刚申请的空间中获取LoadLibrary函数地址在目标进程中创建线程,线程回调函数就是LoadLibrary函数,…

远程线程注入突破SESSION 0

远程线程注入突破SESSION 0 SESSION 0 隔离在Windows XP.Windows Server 2003,以及更老版本的Windows操作系统中,服务和应用程序使用相同的会话(Session)运行,而这个会话是由第一个登录到控制台的用户启动的.该会话就叫做Session 0,如下图所示,在Windows Vista之前,Session 0不仅包含服务,也包含标准用户应用程序. 将服务和用户应用程序一起在Session 0中运行会导致安全风险,因为服务会使用提升后的权限运行,而…

ReflectiveLoader分析（远程线程注入 PE修正）

从github上下载了ReflectiverLoader认真学习了一下在代码中得到一些心得和自己的想法,都按步骤写到了代码中,现在分享给大家,如有错,望大家指正其中需要注入的dll和解析, 内存RVA与文件RVA的转换代码(汇编与c++的都有)和解析,shellcode的汇编附到链接一.这是用到的shellocode 作用:经调试得出他是为了解决x86下运行x64 的问题(windbg可以看到是通过远跳转到x64下执行) static BYTE __ExecutexX64[] = "\x…

系统权限远程线程注入到Explorer.exe

目录提升为系统权限,注入到explorer中一丶简介二丶注入效果图提升为系统权限,注入到explorer中一丶简介我们上一面说了系统服务拥有系统权限.并且拥有system权限.还尝试启动了一个进程. 那么我们是不是可以做点坏事了. 我们有一个系统权限进程.而调用 CreateRemoteThread可以创建远程线程,是否可以注入到我们桌面资源管理器当中那. 答案是可以的.我也试过提权的方式注入.可惜都是拒绝访问.所以我提升为system权限(系统服务,创建的我们进程就是system权…

微信电脑版 HOOK（WeChat PC Hook）- 技能点

CE 扫描内存数据OD 动态分析代码IDA 静态分析代码汇编阅读OD和IDA的代码编写inline hookC/C++ 编写dll 编写主程序逻辑MFC 编写主程序界面源码: https://github.com/KongKong20/WeChatPCHook…

微信电脑版 HOOK（WeChat PC Hook）- 定位dll获取数据和调用功能的地址

方案一:CE搜索内存数据,OD断点查看堆栈方案二:使用旧版本的特征码,在新版本搜索方案三:借鉴WeTool的dll,用ida分析获取地址方案四:ida静态分析微信,看字符串和输出日志源码: https://github.com/KongKong20/WeChatPCHook…

微信电脑版 HOOK（WeChat PC Hook）- 框架

软件构成:一个主进程exe和一个注入的dll主进程exe:把dll注入到微信,发送指令给dll,接受dll的信息注入的dll:被注入到微信内部,拦截微信的数据,调用微信的功能接收主进程的指令,执行指令对应的操作.发信息给主进程 exe和dll通讯: exe 接收消息创建一个可见的主界面设置接受消息的回调函数发送信息 LRESULT SendMessage(HWND hWnd,UINT Msg,WPARAM wParam,LPARAM IParam) dll 接收消息创建一个不可见的界面…

windows平台上用python 远程线程注入,执行shellcode

// 转自: https://blog.csdn.net/Jailman/article/details/77573990import sys import psutil import ctypes from ctypes import * PAGE_EXECUTE_READWRITE = 0x00000040 PROCESS_ALL_ACCESS = ( 0x000F0000 | 0x00100000 | 0xFFF ) VIRTUAL_MEM = ( 0x1000 | 0x2000 ) ke…