添加链接
link之家
链接快照平台
  • 输入网页链接,自动生成快照
  • 标签化管理网页链接

一:背景

前段时间在训练营上课的时候就有朋友提到一个问题,为什么 Windbg 附加到 C# 程序后,程序就处于中断状态了?它到底是如何实现的? 其实简而言之就是线程的远程注入,这一篇就展开说一下。

二:实现原理

1. 基本思路

WinDbg 在附加进程的时候,会注入一个线程到 ​ ​C# 进程​ ​​ 中,注入成功后,会执行一个 ​ ​DbgBreakPoint()​ ​​ 函数,其实就是 ​ ​int 3​ ​ ,这时候 CPU 就会执行 3 号中断函数,将当前进程的所有线程进行暂停,文字不好理解的话,画一个图大概就是这样。

如何在 C# 程序中注入恶意 DLL?_c#

口说无凭,接下来用上一个简单案例演示一下。

2. 案例演示

首先写一个简单的 C# 程序,不断的输出时间和标号,代码如下:

internal class Program
{
static void Main(string[] args)
{
for (int i = 0; i < 10000; i++)
{
Console.WriteLine($"{DateTime.Now},i={i}");
Thread.Sleep(1000);
}
}
}

把程序跑起来后,使用 WinDbg 附加,你可以发现 Command 自动切换到了 ​ ​8​ ​ 号线程,通过 k 命令可以看到最上面是一个 int 3 中断,截图如下:

如何在 C# 程序中注入恶意 DLL?_加载_02

这里就有一个想法了,既然 WinDbg 可以注入,为何我的程序就注入不得呢? 既然我的程序可以注入,那就可以做一些我想做的事情。

3. 自定义注入

有了自定义注入的想法,接下来的实现步骤大概是这样的。

  1. 注入一个线程到 C# 程序中。
  2. 让程序加载一个 dll 文件。
  3. 在 dll 中做一些我想做的业务逻辑。

接下来新建一个 C++ 的动态链接库,在 DLLMain 入口函数的 ​ ​DLL_PROCESS_ATTACH​ ​ 事件中写一个 printf 函数,如果在 C# 程序中输出来了,就算成功注入了,参考代码如下:

#include <Windows.h>
#include <stdio.h>

BOOL APIENTRY DllMain(HMODULE hModule,
DWORD ul_reason_for_call,
LPVOID lpReserved
)
{
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH:
printf(" 总部,总部,我已经成功打入内部! ul_reason_for_call=%d\n ", ul_reason_for_call);
break;
}
return TRUE;
}

要被加载的 ​ ​MyInject.dll​ ​​ 已经构建完毕,接下来就用 Win32 API 的 ​ ​CreateRemoteThread()​ ​ 实现远程注入,但注入之前需要做三件事情。

  1. 获取 C# 程序的 进程句柄。
  2. 在 C# 进程中申请一块内存空间,存放加载的 path 路径。
  3. 调用 LoadLibraryW 函数在 C# 进程中实现 dll 加载。

过程有了,新建一个 C++ 控制台程序 ​ ​ConsoleApplication1.exe​ ​, 整体的参考代码如下:

#include <iostream>
#include <Windows.h>
#include <stdio.h>
#include <stdlib.h>
#include <Tlhelp32.h>

DWORD GetPid(const WCHAR* szName)
{
HANDLE hprocessSnap = NULL;

PROCESSENTRY32 pe32 = { 0 };

hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

pe32.dwSize = sizeof(PROCESSENTRY32);

if (Process32First(hprocessSnap, &pe32))
{
do {
if (!wcscmp(szName, pe32.szExeFile)) {
return (int)pe32.th32ProcessID;
}
} while (Process32Next(hprocessSnap, &pe32));
}
else
{
CloseHandle(hprocessSnap);
}
return 0;
}

int main()
{
const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll文件地址

//1. 获取进程ID
DWORD procID = GetPid(L"ConsoleApp4.exe");

//2. 获取进程句柄
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);

//3. 在目标进程中开辟一块空间
LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);

//4. 将 path 写入到这块空间中
BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);

//5. 让目标线程调用 LoadLibraryW 加载我们注入的 dll
HMODULE hModule = GetModuleHandle(L"kernel32.dll");
LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
HANDLE hThread = CreateRemoteThread(
hProcess,
NULL,
0,
(LPTHREAD_START_ROUTINE)dwLoadAddr,
pRemoteAdress,
NULL,
NULL
);

//6. 函数执行完后,释放这块空间。
WaitForSingleObject(hThread, -1);
VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);

system("pause");
return 0;
}

万事具备,接下来我们将 ​ ​ConsoleApplication1.exe​ ​ 启动,可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出,截图如下:

如何在 C# 程序中注入恶意 DLL?_#include_03

三:总结

这就是对 WinDbg 实现注入拦截的一个衍生知识,整体思路还是很明朗的,当然有注入,就有反注入,比如下面两条策略。

  1. 设置进程的保护属性。
  2. 屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。

等等各种反注入策略,当然这不是我所关心的,毕竟我只专注 .NET高级调试 !😄😄😄



Android 控制IO口 android ioc

1. IOC思想先看一个简单的例子:如果在 Class A 中,有 Class B 的实例,则称 Class A 对 Class B 有一个依赖。例如下面类 Human 中用到一个 Father 对象,我们就说类 Human 对类 Father 有一个依赖。public class Human { Father father; public Huma

字符串实现大数相加 给定两个数字字符串,求出相加的和 思路:需要将两个字符串相对应的位进行相加,注意不能将整个字符串转化为数字,进行直接相加,这样会出现溢出的问题。 public String bigNumverAdd(String number1, String number2) { StringBuffer resu