VC++远程线程注入类x86 + x64 （NtCreateThreadEx + LdrLoadDll）

123456811

Ring3下的DLL注入工具 x86 x64(NtCreateThreadEx + LdrLoadDll方式实现，可以注入系统进程) 使用NtCreateThreadEx + LdrLoadDll方式实现远程线程注入的特色在于比一般的远程线程注入稳定，可以注入系统进程，服务进程等。 核心源代码如下。

1. //OD跟踪，发现最后调用的是NtCreateThreadEx,所以这里手动调用  
   
2. HANDLE Cx64Inject::MyCreateRemoteThread(HANDLE hProcess, LPTHREAD_START_ROUTINE pThreadProc, LPVOID pRemoteBuf)  
   
3. {  
   
4.         HANDLE hThread = NULL;  
   
5.         FARPROC pFunc = NULL;  
   
6.         if( IsVistaOrLater())// Vista, 7, Server2008  
   
7.         {  
   
8.                 pFunc = GetProcAddress(GetModuleHandleW(L"ntdll.dll"), "NtCreateThreadEx");  
   
9.                 if( pFunc == NULL )  
   
10.                 {  
    
11.                         MyOutputDebugStringA("MyCreateRemoteThread() : GetProcAddress("NtCreateThreadEx") 调用失败！错误代码: [%d]", GetLastError());  
    
12.                         return NULL;  
    
13.                 }  
    
14.                 ((_NtCreateThreadEx64)pFunc)(&hThread,0x1FFFFF,NULL,hProcess,pThreadProc,pRemoteBuf,FALSE,NULL,NULL,NULL,NULL);  
    
15.                 if( hThread == NULL )  
    
16.                 {  
    
17.                         MyOutputDebugStringA("MyCreateRemoteThread() : NtCreateThreadEx() 调用失败！错误代码: [%d]", GetLastError());  
    
18.                         return NULL;  
    
19.                 }  
    
20.         }  
    
21.         else// 2000, XP, Server2003  
    
22.         {  
    
23.                 hThread = CreateRemoteThread(hProcess,NULL,0,pThreadProc,pRemoteBuf,0,NULL);  
    
24.                 if( hThread == NULL )  
    
25.                 {  
    
26.                         MyOutputDebugStringA("MyCreateRemoteThread() : CreateRemoteThread() 调用失败！错误代码: [%d]", GetLastError());  
    
27.                         return NULL;  
    
28.                 }  
    
29.         }  
    
30.         if( WAIT_FAILED == WaitForSingleObject(hThread, INFINITE) )  
    
31.         {  
    
32.                 MyOutputDebugStringA("MyCreateRemoteThread() : WaitForSingleObject() 调用失败！错误代码: [%d]", GetLastError());  
    
33.                 return NULL;  
    
34.         }  
    
35.         return hThread;  
    
36. }  
    
37. 
    
38. 
    
39. //在目标进程中创建线程并注入dll  
    
40. BOOL Cx64Inject::InjectDll(DWORD dwProcessId,LPCWSTR lpcwDllPath)  
    
41. {  
    
42.         BOOL bRet = FALSE;  
    
43.         HANDLE hProcess = NULL, hThread = NULL;  
    
44.         LPVOID pCode = NULL;  
    
45.         LPVOID pThreadData = NULL;  
    
46.         __try  
    
47.         {  
    
48.                 if(!EnableDebugPrivilege())  
    
49.                 {  
    
50.                         MyOutputDebugStringA("InjectDll() : EnableDebugPrivilege() 调用失败！错误代码: [%d]", GetLastError());  
    
51.                         return -1;  
    
52.                 }  
    
53.                 //打开目标进程;  
    
54.                 hProcess = OpenProcess(PROCESS_ALL_ACCESS, TRUE, dwProcessId);  
    
55.                 DWORD dwError = GetLastError();  
    
56.                 if (hProcess == NULL)  
    
57.                         __leave;  
    
58.                 //申请空间，把我们的代码和数据写入目标进程空间里;  
    
59.                 //写入数据;  
    
60.                 THREAD_DATA data;  
    
61.                 HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll");  
    
62.                 data.fnRtlInitUnicodeString = (pRtlInitUnicodeString)GetProcAddress(hNtdll,"RtlInitUnicodeString");  
    
63.                 data.fnLdrLoadDll = (pLdrLoadDll)GetProcAddress(hNtdll,"LdrLoadDll");  
    
64.                 memcpy(data.DllName, lpcwDllPath, (wcslen(lpcwDllPath) + 1)*sizeof(WCHAR));  
    
65.                 data.DllPath = NULL;  
    
66.                 data.Flags = 0;  
    
67.                 data.ModuleHandle = INVALID_HANDLE_VALUE;  
    
68.                 pThreadData = VirtualAllocEx(hProcess, NULL, 4096, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);  
    
69.                 if (pThreadData == NULL)  
    
70.                         __leave;  
    
71.                 BOOL bWriteOK = WriteProcessMemory(hProcess, pThreadData,&data,sizeof(data), NULL);  
    
72.                 if (!bWriteOK)  
    
73.                         __leave;  
    
74.                 MyOutputDebugStringA("pThreadData = 0x%p", pThreadData);  
    
75.                 //写入代码;  
    
76.                 DWORD SizeOfCode = (DWORD)ThreadProcEnd - (DWORD)ThreadProc;  
    
77.                 pCode = VirtualAllocEx(hProcess, NULL, SizeOfCode, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);  
    
78.                 if (pCode == NULL)  
    
79.                 {  
    
80.                         MyOutputDebugStringA("InjectDll() : pCode = VirtualAllocEx() 调用失败！错误代码: [%d]", GetLastError());  
    
81.                         __leave;  
    
82.                 }                  
    
83.                 bWriteOK = WriteProcessMemory(hProcess, pCode, (PVOID)ThreadProc, SizeOfCode, NULL);  
    
84.                 if (!bWriteOK)  
    
85.                         __leave;  
    
86.                 MyOutputDebugStringA("pCode = 0x%p", pCode);  
    
87.                 //创建远程线程，把ThreadProc作为线程起始函数，pThreadData作为参数;  
    
88.                 hThread = MyCreateRemoteThread(hProcess, (LPTHREAD_START_ROUTINE)pCode, pThreadData);  
    
89.                 if (hThread == NULL)  
    
90.                         __leave;  
    
91.                 //等待完成;  
    
92.                 WaitForSingleObject(hThread, INFINITE);  
    
93.                 bRet = TRUE;  
    
94.         }  
    
95.         __finally  
    
96.         {  
    
97.                 if (pThreadData != NULL)  
    
98.                         VirtualFreeEx(hProcess, pThreadData, 0, MEM_RELEASE);  
    
99.                 if (pCode != NULL)  
    
100.                         VirtualFreeEx(hProcess, pCode, 0, MEM_RELEASE);  
     
101.                 if (hThread != NULL)  
     
102.                         CloseHandle(hThread);  
     
103.                 if (hProcess != NULL)  
     
104.                         CloseHandle(hProcess);  
     
105.         }  
     
106.    
     
107.         return bRet;  
     
108. }  

复制代码

以上是远程线程注入类的两个核心函数，下面是调用实例：

1. Cx64Inject inject;  
   
2. if (inject.InjectDll(g_dwPID,g_szDllPath))  
   
3. {  
   
4.         ::MessageBox(NULL,L"注入成功",L":)",MB_ICONINFORMATION);  
   
5. }  
   
6. else  
   
7. {  
   
8.         ::MessageBox(NULL,L"注入失败！",L"失败",MB_ICONERROR);  
   
9. }  

复制代码

封装成类了，使用起来很简单的。
有一点需要注意的是x64注入的意思是只能将64位dll注入64位进程。
x86注入的意思是32位dll注入32位进程。