Ring3注入总结及编程实现

刘冠华

Ring3注入总结

导入表注入

静态注入的方法。修改PE文件，添加一个新节，修改导入表添加一个新的DLL实现注入。

挂起线程注入

OpenThread-->SuspendThread-->GetThreadContext-->获取EIP-->修改EIP-->SetThreadContext-->ResumeThread

挂起进程注入

CreateProcess注入方法之一，CREATE_SUSPENDED以挂起的方式打开进程，写入ShellCode注入。

1. 调试器注入
   
2. 
   
3. CreateProcess注入方法之二，DEBUG_ONLY_THIS_PROCESS以调试的方法打开进程，利用CREATE_PROCESS_DEBUG_EVENT，向目标程序中写入我们的ShellCode完成相应功能，并且我们的ShellCode中写入以CC断点，代码执行指令时触发EXCEPTION_DEBUG_EVENT事件，在EXCEPTION_DEBUG_EVENT的处理函数中回到原来的执行流程。
   
4. 
   
5. 注册表注入
   
6. 
   
7. 全局的注入方式：
   
8. 
   
9. 修改：
   
10. 
    
11. HKEY_LOCAL_MACHINE/Software/Microsoft/WindowsNT/CurrentVersion/Windows/AppInit_DLLs的键值为我们DLL的路径，只要使用了user32.dll的程序都会加载这个目录下的DLL。
    
12. 
    
13. 钩子注入
    
14. 
    
15. 利用SetWindowsHookEx拦截消息进行注入。
    
16. 
    
17. APC注入
    
18. 
    
19. APC注入的原理是利用当线程被唤醒时APC中的注册函数会被执行的机制，并以此去执行我们的DLL加载代码，进而完成DLL注入的目的。利用QueueUserAPC()可以向APC队列投入Loadlibrary函数指针完成注入，其实这种方法配合CreateProcess使用注入最为简单，先挂起打开线程，再QueueUserAPC()，再恢复线程，完成注入。
    
20. 
    
21. 远程线程注入
    
22. 
    
23. 老的套路，主要是用到CreateRemoteThread这个API，通过它可以打开目标进程中的远程线程，然后跑我们的代码完成注入。
    
24. 
    
25. 输入法注入
    
26. 
    
27. 利用输入法在工作时需要向进程中加载Ime文件（其实就是个Dll）,我们构造自己的Ime文件，在Ime文件注入对方进程的时候加载我们自己的DLL完成注入
    
28. 
    
29. DLL劫持
    
30. 
    
31. 简单来说就是自己实现应用程序的某些DLL，完成导出函数，替换DLL实现注入。
    
32. 
    
33. 关于Ring3下的反注入思路
    
34. 反注入的方法大牛应该都是在Ring0下面玩，我只了解一些三环下的反注入思路，这里只聊3环下的反注入思路。
    
35. 
    
36. 导入表注入
    
37. 
    
38. 毕竟是静态修改文件的方法注入DLL，可以对自身PE文件求校验值判断是否被修改。
    
39. 
    
40. 钩子注入
    
41. 
    
42. (1)HOOK自身进程的LoadLibraryExW这个函数，判断调用是否来自user32.dll,因为钩子注入时LoadLibraryExW的调用者为user32.dll，HOOK关键代码如下
    
43. 
    
44. HMODULE WINAPI newLoadLibraryExW(LPCWSTR  lpLibFileName,HANDLE hFile,DWORD dwFlags)
    
45. {
    
46. //get the return address
    
47. DWORD dwCaller;
    
48.         //ebp+4返回上层调用者的地址
    
49. __asm push dword ptr [ebp+4]
    
50. __asm pop  dword ptr [dwCaller]
    
51. if(dwCaller > m_dwUser32Start && dwCaller < m_dwUser32End)
    
52. {
    
53.        return FALSE;
    
54. }   
    
55. return rawLoadLibraryExW(lpLibFileName,hFile,dwFlags);
    
56. }
    
57. 
    
58. (2)安装WH_DEBUG消息钩子，在WH_DEBUG钩子的消息回到中屏蔽消息钩子，回调
    
59. 
    
60. LRESULT CALLBACK DebugProc(  
    
61.    int nCode,  
    
62.      WPARAM wParam,  
    
63.      LPARAM lParam  
    
64. )  
    
65. 
    
66. 其中第三个参数 lParam  指向DEBUGHOOKINFO结构体如下:
    
67. 
    
68. typedef struct  
    
69. {  
    
70.      DWORD idThread;  //安装WH_DEBUG钩子的线程ID。
    
71.      DWORD idThreadInstaller;  //当前即将被调用的钩子所在的线程ID。
    
72.      LPARAM lParam;  
    
73.      WPARAM wParam;  
    
74.      int code;  
    
75. } DEBUGHOOKINFO, *PDEBUGHOOKINFO;  
    
76. 判断这两个idThread与idThreadInstaller是否相等即可判断是自己进程的钩子
    
77. 
    
78. 远程线程注入
    
79. 
    
80. 当程序被远程线程被注入时候，线程的入口点一定为LoadLibraryA或者LoadLibraryW，我们用判断线程的入口点是不是LoadLibraryA或者LoadLibraryW，是就干掉。拿到线程入口点的方法是通过为公开的API --GetThreadStartAddress
    
81. 
    
82. 关键代码如下:
    
83. typedef enum _THREADINFOCLASS {
    
84.     ThreadBasicInformation,
    
85.     ThreadTimes,
    
86.     ThreadPriority,
    
87.     ThreadBasePriority,
    
88.     ThreadAffinityMask,
    
89.     ThreadImpersonationToken,
    
90.     ThreadDescriptorTableEntry,
    
91.     ThreadEnableAlignmentFaultFixup,
    
92.     ThreadEventPair_Reusable,
    
93.     ThreadQuerySetWin32StartAddress,
    
94.     ThreadZeroTlsCell,
    
95.     ThreadPerformanceCount,
    
96.     ThreadAmILastThread,
    
97.     ThreadIdealProcessor,
    
98.     ThreadPriorityBoost,
    
99.     ThreadSetTlsArrayAddress,
    
100.     ThreadIsIoPending,
     
101.     ThreadHideFromDebugger,
     
102.     ThreadBreakOnTermination,
     
103.     MaxThreadInfoClass
     
104. } THREADINFOCLASS;
     
105.   
     
106. typedef LONG (WINAPI *NtQueryInformationThreadProc)(
     
107.     _In_       HANDLE ThreadHandle,
     
108.     _In_       THREADINFOCLASS ThreadInformationClass,
     
109.     _Inout_    PVOID ThreadInformation,
     
110.     _In_       ULONG ThreadInformationLength,
     
111.     _Out_opt_  PULONG ReturnLength
     
112.     );
     
113.   
     
114. NtQueryInformationThreadProc   NtQueryInformationThread = NULL;
     
115. hNtdll                      = GetModuleHandleW(L"ntdll.dll");
     
116. NtQueryInformationThread    = (NtQueryInformationThreadProc)GetProcAddress(hNtdll, "NtQueryInformationThread");
     
117.   
     
118. HANDLE  hThread = NULL;
     
119. PVOID   pvStart = NULL;
     
120. hThread = OpenThread(THREAD_QUERY_INFORMATION | THREAD_TERMINATE, FALSE, te32.th32ThreadID);
     
121. NtQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress, &pvStart, sizeof(pvStart), NULL);
     
122. 
     
123. ④DLL劫持
     
124. 
     
125. DLL的防御姿势我能想到就是对自己进程每个要加载的DLL求一个校验值，程序运行过程中进行校验
     
126. 
     
127. 其他的防御姿势坐等各位指教。。。。。
     

复制代码