[轉]怎樣將自己的DLL載入到Explorer.exe
阿新 • • 發佈：2018-12-27
我們知道將動態連線庫注入到其他程序中有很多種方法。最常見的方法是使用鉤子函式(Hook)，但是這種方法主要有兩個缺點：第一如果某個程序沒有載入User32.dll，那麼Hook DLL將永遠也不會被載入。第二Hook DLL載入的時機問題，只有在程序發出User32呼叫的時候, Hook DLL才有可能被載入。也就是說假設程序正在進行復雜的數值計算而沒有時間進行訊息呼叫的時候，Hook DLL是不會被載入。理論上我們沒有精確的辦法來確定我們的Hook DLL是否已經注入到我們想要的程序中。另外一種最常見的方法是使用函式CreateRemoteThread,在其他程序中開啟一個執行緒來裝載DLL。應該說這是一種比較完美的解決放案，這種方法避免了上述使用鉤子函式的所有缺點，但是遺憾的是這個函式只能使用在WinNT/2000下。
本文將討論一種將動態連線庫注入到其他程序中的一種新方法。它的思路與使用函式CreateRemoteThread的方法相類似，只不過可以使用在Win9x,Win2k,WinXP等作業系統下。在這裡我們將向讀者演示我們是如何將DLL(InjectDll.dll)注入到Explorer.exe程序中！
程式的思路如下
1：得到Explorer.exe程序中任意一個執行緒的ID.
2：根據這個執行緒的ID，得到這個執行緒的控制代碼Handle
3：掛起這個執行緒，並儲存執行緒當前的“上下文”
4：改變這個執行緒的EIP指標，使它指向我們裝載DLL的函式（InjectCodeFun），然後恢復這個執行緒。
5：我們的裝載DLL的函式執行完成後，再次掛起這個執行緒，使用我們以前儲存的“上下文”，恢復這個執行緒到它被改變前的狀態，並繼續執行。
經過上述幾個步驟，Explorer.exe程序中就會替我們裝載我們的DLL(InjectDll.dll)了，有趣的是Explorer.exe對此絲毫沒有察覺任何異常 ！
下面我們將詳細解釋一下如何程式設計實現上述過程。
步驟1的實現是很容易的，我們只需要呼叫ToolHelp的函式就可以得到我們所要得，這裡我們就不詳細說明了，請參考原始碼中GetProcessID, GetThreadID 兩個函式。
步驟2就比較麻煩了，在Win9x中沒有提供一個函式可以由Thread ID得到Thread Handle（幸運的是Win2K提供這種功能）。好在我們在國外一些BBS上可以找到這個函式，它使用了一些未公開的結構，本文的目的不是討論這個問題，讀者如果有興趣的話，可以參考我們的原始碼OpenThread2函式。這個函式的作用就是傳入一個Thread ID引數返回相應的 Thread Handle。
步驟3 的實現也是很容易和規範的，我們可以用SuspendThread，GetThreadContext等SDK函式輕鬆完成。
步驟4 這個步驟是最重要的步驟了。為了說明方便，我們將引用我們原始碼中的語句，請讀者參考原始碼中InjectCodeIntoThread 函式。
首先改變執行緒的EIP指標，我們可以用下列程式碼完成
ThreadContext.Eip = (DWORD)m_lpCodeBase;
SetThreadContext(m_hInjectThread,&ThreadContext)；
變數m_lpCodeBase指向我們的裝載DLL的函式（InjectCodeFun）的首地址。
這裡最關鍵的部分是我們如何產生我們的裝載DLL的函式（InjectCodeFun）。注意我們不能簡單地在我們的程式裡寫一個函式，然後將它的首地址賦值給EIP。這是因為裝載DLL的函式是要執行在Explorer.exe地址空間中的，如果我們使用自己地址空間中的函式的話，那麼必然會導致系統崩潰。解決的辦法是將我們寫的裝載DLL函式（InjectCodeFun）放在所有程式共享的地址空間中去，在Win9x中0x80000000 ~ 0xFFFFFFFF這段地址就是我們想要的共享地址空間，那麼如何將我們寫的裝載DLL函式放在這段地址空間呢 ？方法有很多，我們使用一種規範的方法“記憶體映像檔案”來解決這個問題。我們通過函式CreateFileMapping來分配一段共享地址空間，然後將我們寫的裝載DLL函式拷貝到這段地址空間中去。具體程式碼請參原始碼中InitInject函式。
在我們寫的裝載DLL函式（InjectCodeFun）中還有兩個問題我們需要解釋一下，第一 在這個函式中我們不能使用任何我們自己程式中定義的變數，道理跟上面講的一樣，因為地址空間不同。還有我們不能直接呼叫函式，例如在InjectCodeFun中直接使用LoadLibray。這是因為如果直接使用LoadLibray那麼就需要經過程式的Import表，跳轉一下才能到達真正的Windows的LoadLibray函式。但是不同的程序有不同的Import，所以我們不能直接呼叫函式。我們可以使用一種叫做“動態建構函式”的技術來建立我們的函式。首先用GetProcAddress得到函式LoadLibray的直接地址，然後在呼叫LoadLibray的地方，使用一個特殊的數字來代替它如 0x11111111，最後在將我們的函式拷貝到共享地址空間之後，搜尋共享記憶體找到這個特殊數字，用我們先前得到的正確地址替換它既可。第二個有趣的現象是我們所寫的裝載DLL函式（InjectCodeFun）是不應該返回的。這是因為這個函式是在Explorer的執行緒中執行的，我們不知道堆疊的正確內容，不知道ESP所指向的地址是什麼，如果函式返回的話，我們將失去對程式的控制。我們的辦法是，當呼叫完LoadLibray之後，向我們的主程式傳送一個自定義訊息，通告我們的程式已經完成裝載任務，然後讓執行緒進入死迴圈狀態。
步驟5當我們的程式接受到了自定義訊息後，就會再次掛起這個執行緒，把我們以前儲存的執行緒的“上下文”用函式SetThreadContext恢復，然後恢復執行這個執行緒。結果是Explorer.exe絲毫沒有感覺到自己被中斷過。
以上就是我們所介紹的方法，讀者可以參考我們的原始碼來具體瞭解上述方法。原始碼的功能是將我們的DLL(InjectDll.dll)注入到Explorer.exe 中，在InjectDll.dll中我們建立了一個新的執行緒，然後在螢幕的左上角顯示當前的時間。原始碼分為Win9x版本和Win2k版本，這兩個版本的主要差別是分配共享記憶體的方法不同而已。原始碼已經在PWn98,PwinMe,Win2k,WinXP等作業系統下，使用VC6編譯通過。
本文將討論一種將動態連線庫注入到其他程序中的一種新方法。它的思路與使用函式CreateRemoteThread的方法相類似，只不過可以使用在Win9x,Win2k,WinXP等作業系統下。在這裡我們將向讀者演示我們是如何將DLL(InjectDll.dll)注入到Explorer.exe程序中！
程式的思路如下
1：得到Explorer.exe程序中任意一個執行緒的ID.
2：根據這個執行緒的ID，得到這個執行緒的控制代碼Handle
3：掛起這個執行緒，並儲存執行緒當前的“上下文”
4：改變這個執行緒的EIP指標，使它指向我們裝載DLL的函式（InjectCodeFun），然後恢復這個執行緒。
5：我們的裝載DLL的函式執行完成後，再次掛起這個執行緒，使用我們以前儲存的“上下文”，恢復這個執行緒到它被改變前的狀態，並繼續執行。
經過上述幾個步驟，Explorer.exe程序中就會替我們裝載我們的DLL(InjectDll.dll)了，有趣的是Explorer.exe對此絲毫沒有察覺任何異常 ！
下面我們將詳細解釋一下如何程式設計實現上述過程。
步驟1的實現是很容易的，我們只需要呼叫ToolHelp的函式就可以得到我們所要得，這裡我們就不詳細說明了，請參考原始碼中GetProcessID, GetThreadID 兩個函式。
步驟2就比較麻煩了，在Win9x中沒有提供一個函式可以由Thread ID得到Thread Handle（幸運的是Win2K提供這種功能）。好在我們在國外一些BBS上可以找到這個函式，它使用了一些未公開的結構，本文的目的不是討論這個問題，讀者如果有興趣的話，可以參考我們的原始碼OpenThread2函式。這個函式的作用就是傳入一個Thread ID引數返回相應的 Thread Handle。
步驟3 的實現也是很容易和規範的，我們可以用SuspendThread，GetThreadContext等SDK函式輕鬆完成。
步驟4 這個步驟是最重要的步驟了。為了說明方便，我們將引用我們原始碼中的語句，請讀者參考原始碼中InjectCodeIntoThread 函式。
首先改變執行緒的EIP指標，我們可以用下列程式碼完成
ThreadContext.Eip = (DWORD)m_lpCodeBase;
SetThreadContext(m_hInjectThread,&ThreadContext)；
變數m_lpCodeBase指向我們的裝載DLL的函式（InjectCodeFun）的首地址。
這裡最關鍵的部分是我們如何產生我們的裝載DLL的函式（InjectCodeFun）。注意我們不能簡單地在我們的程式裡寫一個函式，然後將它的首地址賦值給EIP。這是因為裝載DLL的函式是要執行在Explorer.exe地址空間中的，如果我們使用自己地址空間中的函式的話，那麼必然會導致系統崩潰。解決的辦法是將我們寫的裝載DLL函式（InjectCodeFun）放在所有程式共享的地址空間中去，在Win9x中0x80000000 ~ 0xFFFFFFFF這段地址就是我們想要的共享地址空間，那麼如何將我們寫的裝載DLL函式放在這段地址空間呢 ？方法有很多，我們使用一種規範的方法“記憶體映像檔案”來解決這個問題。我們通過函式CreateFileMapping來分配一段共享地址空間，然後將我們寫的裝載DLL函式拷貝到這段地址空間中去。具體程式碼請參原始碼中InitInject函式。
在我們寫的裝載DLL函式（InjectCodeFun）中還有兩個問題我們需要解釋一下，第一 在這個函式中我們不能使用任何我們自己程式中定義的變數，道理跟上面講的一樣，因為地址空間不同。還有我們不能直接呼叫函式，例如在InjectCodeFun中直接使用LoadLibray。這是因為如果直接使用LoadLibray那麼就需要經過程式的Import表，跳轉一下才能到達真正的Windows的LoadLibray函式。但是不同的程序有不同的Import，所以我們不能直接呼叫函式。我們可以使用一種叫做“動態建構函式”的技術來建立我們的函式。首先用GetProcAddress得到函式LoadLibray的直接地址，然後在呼叫LoadLibray的地方，使用一個特殊的數字來代替它如 0x11111111，最後在將我們的函式拷貝到共享地址空間之後，搜尋共享記憶體找到這個特殊數字，用我們先前得到的正確地址替換它既可。第二個有趣的現象是我們所寫的裝載DLL函式（InjectCodeFun）是不應該返回的。這是因為這個函式是在Explorer的執行緒中執行的，我們不知道堆疊的正確內容，不知道ESP所指向的地址是什麼，如果函式返回的話，我們將失去對程式的控制。我們的辦法是，當呼叫完LoadLibray之後，向我們的主程式傳送一個自定義訊息，通告我們的程式已經完成裝載任務，然後讓執行緒進入死迴圈狀態。
步驟5當我們的程式接受到了自定義訊息後，就會再次掛起這個執行緒，把我們以前儲存的執行緒的“上下文”用函式SetThreadContext恢復，然後恢復執行這個執行緒。結果是Explorer.exe絲毫沒有感覺到自己被中斷過。
以上就是我們所介紹的方法，讀者可以參考我們的原始碼來具體瞭解上述方法。原始碼的功能是將我們的DLL(InjectDll.dll)注入到Explorer.exe 中，在InjectDll.dll中我們建立了一個新的執行緒，然後在螢幕的左上角顯示當前的時間。原始碼分為Win9x版本和Win2k版本，這兩個版本的主要差別是分配共享記憶體的方法不同而已。原始碼已經在PWn98,PwinMe,Win2k,WinXP等作業系統下，使用VC6編譯通過。
posted on 2008-09-28 11:34 大海 閱讀(1650) 評論(0) 編輯 收藏 引用 所屬分類: VC++