process inject

Windows環境でのプロセスインジェクション方法

1。プロセスインジェクションについて

要するに、プロセスプロセスメモリスペースにコードを注入することも、PCソフトウェア開発によって習得する必要がある基本的な知識ポイントです。

Windowsは各プロセスに4Gメモリスペースを割り当て、この4Gスペースのコードにアクセスしてこのプロセスで実行できます。 ソフトウェアの「パッチング」は、実際にはプロセスインジェクションです。
また、プロセスインジェクションを使用して、攻撃のターゲットプロセスに悪意のあるコードを注入するハッカーも多くあります。

Windows環境で一般的に使用されるプロセス注入方法には、CreatereMotethread、Apcinject、SuspendThread、SetWindowHookexなどがあります。
さらに、比較的ユニークな注入方法である反射注入を学びました。反射注入は、主にPEファイルの操作を通じて注入を実装するために使用され、注入成功率が高く、最も価値のある学習があります。

2。いくつかのプロセス注入方法の原則

1。リモートスレッドインジェクション

• ターゲットプロセス（ OpneProcess ）を開きます。
• パス内にスペース（VirtualAllocex）を適用して、ターゲットプロセススペース（ VirtualAllocEX ）を取得します。
• ターゲットプロセススペース（ WriteProcessMemory ）にDLLの道路力を書き込みます。
• リモートスレッド（ CreateRemoteThread ）を作成します。 Kenerl32からLoadLibrary（ GetProcAddress ）の関数アドレスを取得し、ターゲットプロセスに書き込まれた動的ライブラリパスをパラメーターとしてLoadLibraryに渡します。
• リモートスレッドが終了するのを待ち（ WaitForSingleObejct ）、メモリを解放し、ハンドルを閉じます。

2。作成プロセスがハングします

• CreateProcess 、6番目のパラメーターを設定して吊り下げます。
• プロセスアドレス空間のDLLパスとシェルコードのメモリを申請します
• メインスレッドの背景テキストを取得し、スレッドのEIPに基づいてシェルコードを作成します。
• dllパスとシェルコードをターゲットプロセスに書き込みます。中断されたスレッドを起こします。

3.Apcinject

• ターゲットプロセススペースにメモリを適用し、ダイナミックライブラリパスをに書き込みます
• スナップショットを作成して、ターゲットプロセスのスレッドをトラバースします
• ターゲットプロセスを開くスレッドは、 QueueUserAPC関数を使用して、 LoadLibrary関数をAPCオブジェクトとしてスレッドのAPCキューに追加し、パラメーターとしてDLLのパスを渡します。解放ハンドルとメモリに注意してください。

4。反射注入

全体的なアイデアは、DLLに動的ライブラリをロードし、ターゲットプロセスにロードするloadlibrary関数を実装することです。

• DLLファイルを開き、サイズを取得します。
• 自分のプログラムでメモリを申請し、DLLのデータを書きます。独自の許可を改善します。
• ターゲットプロセスを開き、動的ライブラリをロードします。

Loadibrary関数は、PEファイルを変更することにより実装されます。
1.ターゲットプロセスアドレス空間のアプリケーションスペースにDLLを書き込みます。
2. DLLに実装されたファイルに独自のロードをロードする関数のアドレスを取得し、リモートスレッドを作成し、関数のアドレスを渡します。 DLLにロードする関数も巧妙に実装されます。

5.SetWindoWHOOKEX

• まず、動的ライブラリのエクスポートアドレスを取得します。
• ターゲットプロセスのスレッドIDを取得します
• setWindowsHookEX関数を使用した注入。

6。保留中の糸注入

7。レジストリ注入

3。開発環境

Windowsオペレーティングシステム、VS2015。
両方のテストは、32ビットWindowsシステムと64ビットWindowsシステムで渡されます。

4。プロジェクトカタログ

 .
|-- APCInject(Ring0)                 // 驱动层的APC注入
|-- APCInject                        // Ring3层的APC注入
|-- CreateSuspend                    // 挂起线程注入
|-- InjectByRegister                 // 注册表注入（未测试）
|-- ReflectDll                       // 反射注入的Dll
|-- ReflectiveInject                 // 反射注入
|-- RemoteThread                     // 远程线程注入
|-- Src                              // 驱动层的APC注入源码
|-- Dll.dll                          // 32位测试Dll
|-- Dll64.dll                        // 64位测试Dll
|-- Process-Inject.sln               // 项目启动文件
|-- README.md                        // 项目说明文件
.

V.その他

Pullリクエストへようこそ。問題を求めてください。

ライセンス

この作品を解釈するときは、同じように署名して共有してください。