在C#程序中註入惡意DLL的方法詳解
一、背景
前段時間在訓練營上課的時候就有朋友提到一個問題,為什麼 Windbg 附加到 C# 程序後,程序就處於中斷狀態瞭?它到底是如何實現的?其實簡而言之就是線程的遠程註入,這一篇就展開說一下。
二、實現原理
1. 基本思路
WinDbg 在附加進程的時候,會註入一個線程到 C# 進程 中,註入成功後,會執行一個 DbgBreakPoint()
函數,其實就是 int 3
,這時候 CPU 就會執行 3 號中斷函數,將當前進程的所有線程進行暫停,文字不好理解的話,畫一個圖大概就是這樣。
口說無憑,接下來用上一個簡單案例演示一下。
2. 案例演示
首先寫一個簡單的 C# 程序,不斷的輸出時間和標號,代碼如下:
internal class Program { static void Main(string[] args) { for (int i = 0; i < 10000; i++) { Console.WriteLine($"{DateTime.Now},i={i}"); Thread.Sleep(1000); } } }
把程序跑起來後,使用 WinDbg 附加,你可以發現 Command 自動切換到瞭 8
號線程,通過 k 命令可以看到最上面是一個 int 3 中斷,截圖如下:
這裡就有一個想法瞭,既然 WinDbg 可以註入,為何我的程序就註入不得呢?既然我的程序可以註入,那就可以做一些我想做的事情。
3. 自定義註入
有瞭自定義註入的想法,接下來的實現步驟大概是這樣的。
- 註入一個線程到 C# 程序中。
- 讓程序加載一個 dll 文件。
- 在 dll 中做一些我想做的業務邏輯。
接下來新建一個 C++ 的動態鏈接庫,在 DLLMain 入口函數的 DLL_PROCESS_ATTACH
事件中寫一個 printf 函數,如果在 C# 程序中輸出來瞭,就算成功註入瞭,參考代碼如下:
#include <Windows.h> #include <stdio.h> BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved ) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: printf(" 總部,總部,我已經成功打入內部!ul_reason_for_call=%d\n ", ul_reason_for_call); break; } return TRUE; }
要被加載的 MyInject.dll
已經構建完畢,接下來就用 Win32 API 的 CreateRemoteThread()
實現遠程註入,但註入之前需要做三件事情。
- 獲取 C# 程序的 進程句柄。
- 在 C# 進程中申請一塊內存空間,存放加載的 path 路徑。
- 調用 LoadLibraryW 函數在 C# 進程中實現 dll 加載。
過程有瞭,新建一個 C++ 控制臺程序 ConsoleApplication1.exe
, 整體的參考代碼如下:
#include <iostream> #include <Windows.h> #include <stdio.h> #include <stdlib.h> #include <Tlhelp32.h> DWORD GetPid(const WCHAR* szName) { HANDLE hprocessSnap = NULL; PROCESSENTRY32 pe32 = { 0 }; hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0); pe32.dwSize = sizeof(PROCESSENTRY32); if (Process32First(hprocessSnap, &pe32)) { do { if (!wcscmp(szName, pe32.szExeFile)) { return (int)pe32.th32ProcessID; } } while (Process32Next(hprocessSnap, &pe32)); } else { CloseHandle(hprocessSnap); } return 0; } int main() { const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要註入的dll文件地址 //1. 獲取進程ID DWORD procID = GetPid(L"ConsoleApp4.exe"); //2. 獲取進程句柄 HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID); //3. 在目標進程中開辟一塊空間 LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE); //4. 將 path 寫入到這塊空間中 BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL); //5. 讓目標線程調用 LoadLibraryW 加載我們註入的 dll HMODULE hModule = GetModuleHandle(L"kernel32.dll"); LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW"); HANDLE hThread = CreateRemoteThread( hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)dwLoadAddr, pRemoteAdress, NULL, NULL ); //6. 函數執行完後,釋放這塊空間。 WaitForSingleObject(hThread, -1); VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT); system("pause"); return 0; }
萬事具備,接下來我們將 ConsoleApplication1.exe
啟動,可以成功觀察到 ConsoleApp4.exe 上已經註入成功的輸出,截圖如下:
三:總結
這就是對 WinDbg 實現註入攔截的一個衍生知識,整體思路還是很明朗的,當然有註入,就有反註入,比如下面兩條策略。
設置進程的保護屬性。
屏蔽 或者 混淆 Win32 的 LoadLibraryW 函數。
以上就是在C#程序中註入惡意DLL的方法詳解的詳細內容,更多關於C#註入惡意DLL的資料請關註WalkonNet其它相關文章!