123456

 

使用异步过程调用（APC）实现模块注入

来自博客:http://blog.csdn.net/evi10r/article/details/6745138

摘自：windows编程循序渐进     
        异步过程调用是一种能在特定线程环境中异步执行的系统机制。往线程APC队列添加APC，系统会产生一个软中断。在线程下一次被调度的时候，就会执行APC函数，APC有两种形式，由系统产生的APC称为内核模式APC，由应用程序产生的APC被称为用户模式APC。
       每个线程都拥有自己的APC队列。应用程序可以使用函数把APC添加到指定线程的APC队列，函数定义如下：

[cpp] view plaincopyprint?
  1. DWORD WINAPI QueueUserAPC(  
  2.   __in          PAPCFUNC pfnAPC,//APC函数地址   
  3.   __in          HANDLE hThread,//目标线程   
  4.   __in          ULONG_PTR dwData//APC函数的参数   
  5. );  
其中APC函数原型如下：
[cpp] view plaincopyprint?
  1. VOID CALLBACK APCProc(  
  2.   [in]                 ULONG_PTR dwParam  
  3. );  

当用户模式APC被添加后，线程并不会直接调用APC函数，只有当线程处于“可变等待状态”时才会调用。如果希望线程执行APC函数，就要让线程进入可变等待状态。当线程调用SleepEx、SignalObjectAndWait、MsgWaitForMultipleObjectEx、WaitForMultipleObjectsEx或WaitForSingleObjectEx时就会进入可变等待状态。
       ReadFileEx、WriteFileEx、和SetWaitableTimer等都是使用APC作为完成例程的回调机制。
  
原理：使用QueueUserAPC向目标进程的线程添加APC函数，而这个APC函数能够实现模块的加载功能。要使用这种方法的前提是目标进程能够进入可变等待状态，否则即便添加了APC也没有执行的机会
步骤：
1.向目标进程写入待注入的模块名称
2.枚举目标进程所有线程。（由于并不是每个线程都有机会进入可变等待状态，为了增加APC的机会，向目标进程的每个线程都添加APC是个比较保险的做法）
3.增加APC，把LoadLibrary作为APCProc，把第一步中DLL路径名称所在地址作为其参数
代码：
[cpp] view plaincopyprint?
  1. // QueueApc.cpp : 定义控制台应用程序的入口点。   
  2. //   
  3.   
  4. #include "stdafx.h"   
  5.   
  6.   
  7. #define _WIN32_WINNT 0x0400   
  8. #include <windows.h>   
  9. #include <TlHelp32.h>   
  10.   
  11. #include <iostream>   
  12. #include <string>   
  13. using namespace std;  
  14.   
  15. #define DEF_BUF_SIZE 1024   
  16.   
  17. // 用于存储注入模块DLL的路径全名   
  18. char szDllPath[DEF_BUF_SIZE] = {0} ;  
  19.   
  20. // 使用APC机制向指定ID的进程注入模块   
  21. BOOL InjectModuleToProcessById ( DWORD dwProcessId )  
  22. {  
  23.     DWORD   dwRet = 0 ;  
  24.     BOOL    bStatus = FALSE ;  
  25.     LPVOID  lpData = NULL ;  
  26.     UINT    uLen = strlen(szDllPath) + 1;  
  27.     // 打开目标进程   
  28.     HANDLE hProcess = OpenProcess ( PROCESS_ALL_ACCESS, FALSE, dwProcessId ) ;  
  29.     if ( hProcess )  
  30.     {  
  31.         // 分配空间   
  32.         lpData = VirtualAllocEx ( hProcess, NULL, uLen, MEM_COMMIT, PAGE_EXECUTE_READWRITE ) ;  
  33.         if ( lpData )  
  34.         {  
  35.             // 写入需要注入的模块路径全名   
  36.             bStatus = WriteProcessMemory ( hProcess, lpData, szDllPath, uLen, &dwRet ) ;  
  37.         }  
  38.         CloseHandle ( hProcess ) ;  
  39.     }  
  40.   
  41.     if ( bStatus == FALSE )  
  42.         return FALSE ;  
  43.   
  44.     // 创建线程快照   
  45.     THREADENTRY32 te32 = { sizeof(THREADENTRY32) } ;  
  46.     HANDLE hThreadSnap = CreateToolhelp32Snapshot ( TH32CS_SNAPTHREAD, 0 ) ;  
  47.     if ( hThreadSnap == INVALID_HANDLE_VALUE )   
  48.         return FALSE ;   
  49.   
  50.     bStatus = FALSE ;  
  51.     // 枚举所有线程   
  52.     if ( Thread32First ( hThreadSnap, &te32 ) )  
  53.     {  
  54.         do{  
  55.             // 判断是否目标进程中的线程   
  56.             if ( te32.th32OwnerProcessID == dwProcessId )  
  57.             {  
  58.                 // 打开线程   
  59.                 HANDLE hThread = OpenThread ( THREAD_ALL_ACCESS, FALSE, te32.th32ThreadID ) ;  
  60.                 if ( hThread )  
  61.                 {  
  62.                     // 向指定线程添加APC   
  63.                     DWORD dwRet = QueueUserAPC ( (PAPCFUNC)LoadLibraryA, hThread, (ULONG_PTR)lpData ) ;  
  64.                     if ( dwRet > 0 )  
  65.                         bStatus = TRUE ;  
  66.                     CloseHandle ( hThread ) ;  
  67.                 }  
  68.             }   
  69.   
  70.         }while ( Thread32Next ( hThreadSnap, &te32 ) ) ;  
  71.     }  
  72.   
  73.     CloseHandle ( hThreadSnap ) ;  
  74.     return bStatus;  
  75. }  
  76.   
  77. int _tmain(int argc, _TCHAR* argv[])  
  78. {  
  79.     // 取得当前工作目录路径   
  80.     GetCurrentDirectoryA ( DEF_BUF_SIZE, szDllPath ) ;  
  81.   
  82.     // 生成注入模块DLL的路径全名   
  83.     strcat ( szDllPath, "\\DLLSample.dll" ) ;  
  84.   
  85.     DWORD dwProcessId = 0 ;  
  86.     // 接收用户输入的目标进程ID   
  87.     while ( cout << "请输入目标进程ID：" && cin >> dwProcessId && dwProcessId > 0 )   
  88.     {  
  89.         BOOL bRet = InjectModuleToProcessById ( dwProcessId ) ;  
  90.         cout << (bRet ? "注入成功！":"注入失败！") << endl ;  
  91.     }  
  92.     return 0;  
  93. }  

posted on 2012-08-16 09:48  hgy413  阅读(339)  评论(0)  编辑  收藏  举报

导航