注入专题二:远线程注入CreateRemoteThread--论注入的多种方式

微尘网络安全 · 发表于 2021-11-10 10:47:21

01远线程注入

今天咱们来聊聊远线程注入，这种注入方式也是最常见最方便的一种方式，他的原理是通过使用 API CreateRemoteThread 这个函数来实现往某个程序里面注入一个线程。成功后咱们就可以把被注入程序当成自己家了。但是也是有缺点的，有可能检测你代码段的地址位置，你是自己独立启动的线程，和正常走的流程肯定是不一样的。

02实现代码

HANDLE

WINAPI

CreateRemoteThread(

_In_ HANDLE hProcess,

_In_opt_ LPSECURITY_ATTRIBUTES lpThreadAttributes,

_In_ SIZE_T dwStackSize,

_In_ LPTHREAD_START_ROUTINE lpStartAddress,

_In_opt_ LPVOID lpParameter,

_In_ DWORD dwCreationFlags,

_Out_opt_ LPDWORD lpThreadId

);

上面是API原型

第一个参数传入进程句柄

第二个参数可以传入安全描述符的结构体的，所有内核对象的通性，当然也可以NULL

第三个参数栈空间大小，可以默认0

第四个参数填写要注入的函数地址

第五个参数函数的参数

第六个参数标志位相关

第七个参数线程ID

说到底注入其实就是这个API 调用一下就实现了，但是大家可以先去思考一个问题：我们是在A程序里面写CreateRemoteThread函数的，那我们填写的函数地址和参数都是A程序里面的。但是创建线程之后呢？

这个线程是要在B程序里面执行的。B程序怎么能够获取到A空间地址里面的函数地址和内容呢？

解决了这个问题远线程注入这个事情就算是搞定了！！！

1 进程句柄没啥好说的把。。。可以用OpenProcess获取窗口类目标题句柄啥的各种方式都可以获取到

2.VirtualAllocEx 这个函数是在目标程序里面申请一段内存空间，然后用WriteProcessMemory写入目的是为了存放咱们远线程的参数的也就是为了存放我们要注入的是哪个DLL呀

3.我们启动的这个线程的函数地址就是Loadlibrary ，这个函数就是加载DLL 并且运行他，他是在kernel32.dll里面的，所以所有的程序都是有他的函数地址的

4 用完记得还原释放

这也是最轻松的方式了

一指温柔 · 发表于 2024-3-29 09:07:25

谢谢分享！

Mouth · 发表于 2023-5-6 12:06:33

6666666666666666666666666

1060631438 · 发表于 2021-11-19 00:36:03

谢谢分享！

Mouth · 发表于 2021-11-14 19:51:36

666666666666

llddww · 发表于 2021-11-12 17:51:42

666666666666

Mouth · 发表于 2021-11-12 17:50:55

6666666666666

微尘网络安全 · 发表于 2021-11-12 10:55:50

待一季花开发表于 2021-11-10 14:30
不懂就问！小白想向楼主请教一下，是不是任何注入都不能完美的卸载dll？

不是，不能完美卸载原因一般是你注入进去的线程没安全退出

待一季花开 · 发表于 2021-11-10 14:30:23

不懂就问！小白想向楼主请教一下，是不是任何注入都不能完美的卸载dll？

		自动登录	找回密码
密码			注册

[Windows逆向] 注入专题二:远线程注入CreateRemoteThread--论注入的多种方式