QQ登录

只需要一步,快速开始

APP扫码登录

只需要一步,快速开始

查看: 2067|回复: 0

[C#/.NET] 在C#程序中注入恶意DLL的方法详解

[复制链接]

等级头衔

积分成就    金币 : 2861
   泡泡 : 1516
   精华 : 6
   在线时间 : 1320 小时
   最后登录 : 2025-6-27

丰功伟绩

优秀达人突出贡献荣誉管理论坛元老活跃会员

联系方式
发表于 2022-9-6 07:46:53 | 显示全部楼层 |阅读模式
一、实现原理) i/ e1 n1 T# U% W( s, A2 Z
1. 基本思路* V. b0 D! g+ ?" T9 `7 M
       WinDbg 在附加进程的时候,会注入一个线程到 C# 进程 中,注入成功后,会执行一个 DbgBreakPoint() 函数,其实就是 int 3 ,这时候 CPU 就会执行 3 号中断函数,将当前进程的所有线程进行暂停,文字不好理解的话,画一个图大概就是这样。
8 E& r; x! O. Y) C 1.jpg 8 O) b% s0 r' a# M1 F
2. 案例演示9 Y: T. T" g- W' s2 G: k& ]
       首先写一个简单的 C# 程序,不断的输出时间和标号,代码如下:! s- f  Y' b( i: h' w; P6 }
    internal class Program
    {
        static void Main(string[] args)
        {
            for (int i = 0; i < 10000; i++)
            {
                Console.WriteLine($"{DateTime.Now},i={i}");
                Thread.Sleep(1000);
            }
        }
    }
      把程序跑起来后,使用 WinDbg 附加,你可以发现 Command 自动切换到了 8 号线程,通过 k 命令可以看到最上面是一个 int 3 中断,截图如下:- s" G. `2 j$ G/ g* @" p
2.jpg
0 m3 j, U1 t% W       这里就有一个想法了,既然 WinDbg 可以注入,为何我的程序就注入不得呢?既然我的程序可以注入,那就可以做一些我想做的事情。
, _+ A- I. I2 i5 B$ o  v3. 自定义注入
: z1 q/ M! I! S) z       有了自定义注入的想法,接下来的实现步骤大概是这样的。, s! \, `- `" ?
  • 注入一个线程到 C# 程序中。
  • 让程序加载一个 dll 文件。
  • 在 dll 中做一些我想做的业务逻辑。: c- G. l' D+ H( L: T
       接下来新建一个 C++ 的动态链接库,在 DLLMain 入口函数的  DLL_PROCESS_ATTACH 事件中写一个 printf 函数,如果在 C# 程序中输出来了,就算成功注入了,参考代码如下:
9 S" Y! ~+ p0 X) D" ^+ z/ C/ g9 Z
#include <iostream>
#include <Windows.h>
#include <stdio.h>
#include <stdlib.h>
#include <Tlhelp32.h>

DWORD GetPid(const WCHAR* szName)
{
 HANDLE hprocessSnap = NULL;

 PROCESSENTRY32 pe32 = { 0 };

 hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

 pe32.dwSize = sizeof(PROCESSENTRY32);

 if (Process32First(hprocessSnap, &pe32))
 {
  do {
   if (!wcscmp(szName, pe32.szExeFile)) {
    return (int)pe32.th32ProcessID;
   }
  } while (Process32Next(hprocessSnap, &pe32));
 }
 else
 {
  CloseHandle(hprocessSnap);
 }
 return 0;
}

int main()
{
 const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll文件地址

 //1. 获取进程ID
 DWORD  procID = GetPid(L"ConsoleApp4.exe");

 //2. 获取进程句柄
 HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);

 //3. 在目标进程中开辟一块空间
 LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);

 //4. 将 path 写入到这块空间中
 BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);

 //5. 让目标线程调用 LoadLibraryW 加载我们注入的 dll
 HMODULE hModule = GetModuleHandle(L"kernel32.dll");
 LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
 HANDLE hThread = CreateRemoteThread(
  hProcess,
  NULL,
  0,
  (LPTHREAD_START_ROUTINE)dwLoadAddr,
  pRemoteAdress,
  NULL,
  NULL
 );

 //6. 函数执行完后,释放这块空间。
 WaitForSingleObject(hThread, -1);
 VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);

 system("pause");
 return 0;
}
      万事具备,接下来我们将 ConsoleApplication1.exe 启动,可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出,截图如下:
8 _, y% ^+ O4 B$ n7 B) D 3.jpg
3 c' X& g7 V; I4 R0 e% U8 f/ f二、总结& w; @, s4 j5 O2 p
       这就是对 WinDbg 实现注入拦截的一个衍生知识,整体思路还是很明朗的,当然有注入,就有反注入,比如下面两条策略。' h/ v, w0 B2 o$ {  r0 E* ^
  • 设置进程的保护属性。
  • 屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。
    ( k' }  z3 p) l/ {+ M, r" n' n
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|手机版|小黑屋|paopaomj.COM ( 渝ICP备18007172号|渝公网安备50010502503914号 )

GMT+8, 2025-6-28 09:40

Powered by paopaomj X3.5 © 2016-2025 sitemap

快速回复 返回顶部 返回列表