如何注入DLL 以DNF举列

jimmy肖明

如何注入DLL 这个方法 很多 很多  多到 乱七八糟 千变万化 ......（以下省略上千字）  
         
今天 要分享的就是 HOOK CreateProcessA 获取进程ID 注入   
         
以DNF 举列 （特别说明 只是研究）  
         
DNF 直接HOOK CreateProcessA  是无效的 我们通过调式发现 他通过加载DLL 自己实现了 CreateProcessA  

这个API 的代码 并且有处 地方 （年前的数据）  
         
那么 这个样子下 基本是 HOOK 不到的 他自己的实现代码的（动态模块+随即调用 当然水品好的人不算 请直接无视它）  

         
        解决方案如下           

调式发现 API  ntdll.memmove 没有被模拟 那结果出来了 HOOK ntdll.memmove  
         
        流程如下 HOOK ntdll.memmove 判断是否 CreateProcessA 调用 如果是直接计算便宜 HOOK Creat  
         
        eProcessA  RET 位置  如果不是放行   
         
        RET 处理 读取偏移可以获取 创建的PID 远线程注入  重复HOOK  （完）