process inject

طريقة حقن العملية في بيئة Windows

1. حول حقن العملية

حقن العملية باختصار هو حقن الكود في مساحة ذاكرة العملية.

يخصص Windows مساحة ذاكرة 4G لكل عملية ، ويمكن الوصول إلى الرمز في مساحة 4G هذه وتنفيذها بواسطة هذه العملية. "ترقيع" البرنامج هو في الواقع حقن العملية.
هناك أيضًا العديد من المتسللين الذين يستخدمون حقن العملية لحقن التعليمات البرمجية الضارة في العملية المستهدفة للهجمات.

تشمل طرق حقن العملية الشائعة الاستخدام في بيئة Windows: createremotethread ، apcinject ، supendthread ، setwindowhookex ، إلخ.
بالإضافة إلى ذلك ، لقد تعلمت طريقة حقن فريدة نسبيًا: حقن الانعكاس. يستخدم حقن الانعكاس بشكل أساسي لتنفيذ الحقن من خلال العمليات على ملفات PE ، مع ارتفاع معدل نجاح الحقن والتعلم الأكثر قيمة.

2. مبادئ طرق حقن العملية عدة

1. حقن الخيط البعيد

• افتح العملية المستهدفة ( OpneProcess ).
• تطبيق المساحة (VirtualAllocex) داخل المسار للحصول على مساحة العملية المستهدفة ( VirtualAllocEX ).
• اكتب قوة طريق DLL في مساحة العملية المستهدفة ( WriteProcessMemory ).
• إنشاء موضوع بعيد ( CreateRemoteThread ). احصل على عنوان وظيفة المكتبة ( GetProcAddress ) من KenerL32 ، وقم بتمرير مسار المكتبة الديناميكي المكتوب إلى العملية المستهدفة في مكتبة التحميل كمعلمة.
• انتظر حتى ينتهي الخيط البعيد ( WaitForSingleObejct ) ، وحرر الذاكرة ، وأغلق المقبض.

2. عملية الخلق معلقة

• CreateProcess تعيين المعلمة السادسة للتعليق.
• تقدم بطلب للحصول على ذاكرة لمسار DLL و shellcode في مساحة عنوان العملية
• احصل على نص خلفية الموضوع الرئيسي وقم بإنشاء رمز shellcode استنادًا إلى EIP للمعلومات.
• اكتب مسار DLL و shellcode في العملية المستهدفة. استيقظ الخيط المعلق.

3. apcinject

• قم بتطبيق الذاكرة في مساحة العملية المستهدفة واكتب مسار المكتبة الديناميكية إليه
• قم بإنشاء لقطة لاجتياز مؤشر ترابط العملية المستهدفة
• يستخدم مؤشر الترابط الذي يفتح عملية الهدف وظيفة QueueUserAPC لإضافة وظيفة LoadLibrary ككائن APC إلى قائمة انتظار APC الخاصة بخيط ، ويمرر مسار DLL كمعلمة. انتبه إلى مقابض التحرر والذاكرة.

4. حقن الانعكاس

الفكرة الكلية هي تنفيذ وظيفة loadlibrary التي تقوم بتحميل المكتبة الديناميكية في DLL وتحميل نفسها في العملية المستهدفة.

• افتح ملف DLL واحصل على الحجم.
• تقدم بطلب للذاكرة في برنامجك الخاص واكتب بيانات DLL. تحسين أذوناتك الخاصة.
• افتح العملية المستهدفة وتحميل المكتبة الديناميكية.

يتم تنفيذ وظيفة Loadibrary عن طريق تعديل ملف PE:
1. اكتب DLL في مساحة تطبيق مساحة عنوان العملية الهدف.
2. احصل على عنوان الوظيفة التي تقوم بتحميلها في الملف الذي تم تنفيذه في DLL ، وإنشاء مؤشر ترابط عن بُعد ، وتمرير عنوان الوظيفة في. يتم تنفيذ وظيفة تحميل نفسها في DLL أيضًا.

5.SetWindowhookex

• أولاً ، احصل على عنوان وظيفة التصدير في المكتبة الديناميكية.
• احصل على معرف موضوع للعملية المستهدفة
• الحقن باستخدام وظيفة setWindowsHookEX .

6. حقن الخيط المعلق

7. حقن التسجيل

3. بيئة التنمية

نظام التشغيل Windows ، VS2015.
يتم تمرير كلا الاختبارين في نظام Windows 32 بت ونظام Windows 64 بت.

4. كتالوج المشروع

 .
|-- APCInject(Ring0)                 // 驱动层的APC注入
|-- APCInject                        // Ring3层的APC注入
|-- CreateSuspend                    // 挂起线程注入
|-- InjectByRegister                 // 注册表注入（未测试）
|-- ReflectDll                       // 反射注入的Dll
|-- ReflectiveInject                 // 反射注入
|-- RemoteThread                     // 远程线程注入
|-- Src                              // 驱动层的APC注入源码
|-- Dll.dll                          // 32位测试Dll
|-- Dll64.dll                        // 64位测试Dll
|-- Process-Inject.sln               // 项目启动文件
|-- README.md                        // 项目说明文件
.

خامسا الآخرين

مرحبًا بك في سحب الطلب ومرحبا بكم في طلب مشكلة.

رخصة

عند تفسير هذا العمل ، يرجى توقيعه ومشاركته بنفس الطريقة.