一、实现原理 Z( ?+ h8 T4 y R
1. 基本思路 * a, V* p- g) t( p
WinDbg 在附加进程的时候,会注入一个线程到 C# 进程 中,注入成功后,会执行一个 DbgBreakPoint() 函数,其实就是 int 3 ,这时候 CPU 就会执行 3 号中断函数,将当前进程的所有线程进行暂停,文字不好理解的话,画一个图大概就是这样。, o, d1 C2 e9 T
& p2 A4 G, R! B8 W
2. 案例演示
5 u% i2 S, F' b9 |+ t; d 首先写一个简单的 C# 程序,不断的输出时间和标号,代码如下:0 ?. c& {/ J5 {- o: J% f! p+ i
internal class Program
{
static void Main(string[] args)
{
for (int i = 0; i < 10000; i++)
{
Console.WriteLine($"{DateTime.Now},i={i}");
Thread.Sleep(1000);
}
}
}
把程序跑起来后,使用 WinDbg 附加,你可以发现 Command 自动切换到了 8 号线程,通过 k 命令可以看到最上面是一个 int 3 中断,截图如下:1 |+ e6 h" n' O! @! z9 S! u
% L5 x3 p3 s. t& V# w9 V! e 这里就有一个想法了,既然 WinDbg 可以注入,为何我的程序就注入不得呢?既然我的程序可以注入,那就可以做一些我想做的事情。
; f# B' b6 e0 Z* _. B 3. 自定义注入
7 Q2 c0 U; j% Q3 L/ b 有了自定义注入的想法,接下来的实现步骤大概是这样的。
! u* G; \8 Z; b# F J9 h 注入一个线程到 C# 程序中。 让程序加载一个 dll 文件。 在 dll 中做一些我想做的业务逻辑。
* P u: ~- k; F. Y w. S 接下来新建一个 C++ 的动态链接库,在 DLLMain 入口函数的 DLL_PROCESS_ATTACH 事件中写一个 printf 函数,如果在 C# 程序中输出来了,就算成功注入了,参考代码如下:
+ a# {# Y, `0 }3 z1 I- V. b #include <iostream>
#include <Windows.h>
#include <stdio.h>
#include <stdlib.h>
#include <Tlhelp32.h>
DWORD GetPid(const WCHAR* szName)
{
HANDLE hprocessSnap = NULL;
PROCESSENTRY32 pe32 = { 0 };
hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
pe32.dwSize = sizeof(PROCESSENTRY32);
if (Process32First(hprocessSnap, &pe32))
{
do {
if (!wcscmp(szName, pe32.szExeFile)) {
return (int)pe32.th32ProcessID;
}
} while (Process32Next(hprocessSnap, &pe32));
}
else
{
CloseHandle(hprocessSnap);
}
return 0;
}
int main()
{
const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll文件地址
//1. 获取进程ID
DWORD procID = GetPid(L"ConsoleApp4.exe");
//2. 获取进程句柄
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);
//3. 在目标进程中开辟一块空间
LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);
//4. 将 path 写入到这块空间中
BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);
//5. 让目标线程调用 LoadLibraryW 加载我们注入的 dll
HMODULE hModule = GetModuleHandle(L"kernel32.dll");
LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
HANDLE hThread = CreateRemoteThread(
hProcess,
NULL,
0,
(LPTHREAD_START_ROUTINE)dwLoadAddr,
pRemoteAdress,
NULL,
NULL
);
//6. 函数执行完后,释放这块空间。
WaitForSingleObject(hThread, -1);
VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);
system("pause");
return 0;
}
万事具备,接下来我们将 ConsoleApplication1.exe 启动,可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出,截图如下:7 Y( }1 J; y6 w! }2 P( g
$ h( M9 R) H/ e' d7 _" t8 L1 W) v; s
二、总结 3 f( s. d$ f/ g
这就是对 WinDbg 实现注入拦截的一个衍生知识,整体思路还是很明朗的,当然有注入,就有反注入,比如下面两条策略。1 o X8 d7 r; Y0 o
设置进程的保护属性。 屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。
/ T0 _8 u& f- o- ]' k7 J V3 `