远线程注入代码时，应该注意些细节。

pinkx

//////////////////////////////////////////////////////////////////////////
//编辑时间：2011-8-22
//整理人：紫色溟渊
//说明：仅供学习技术交流，欢迎转载，转载请注明出处。
//编辑目的：
//     1.加深自己对远线程注入的理解，
//     2.对VC内嵌汇编代码进一步了解
//     3.DEBUG版的函数会有堆栈检测，RELEASE版的函数没有堆栈检测代码
//     4.理解一下汇编代码对应的机器码
//     5.自己打算做一个易语言汇编模块   
//////////////////////////////////////////////////////////////////////////
//汇编代码

1. PUBLIC  ?AsmInject@@YAXXZ                      ; AsmInject
   
2. EXTRN   __chkesp:NEAR
   
3. ;      COMDAT ?AsmInject@@YAXXZ
   
4. _TEXT    SEGMENT
   
5. _dwAddr$ = -4
   
6. ?AsmInject@@YAXXZ PROC NEAR                       ; AsmInject, COMDAT
   
7. 
   
8. ; 8    : {
   
9. 
   
10.   00000  55           push      ebp
    
11.   00001  8b ec              mov      ebp, esp
    
12.   00003  83 ec 44  sub esp, 68                ; 00000044H
    
13.   00006  53           push      ebx
    
14.   00007  56           push      esi
    
15.   00008  57           push      edi
    
16.   00009  8d 7d bc  lea edi, DWORD PTR [ebp-68]
    
17.   0000c  b9 11 00 00 00       mov      ecx, 17                ; 00000011H
    
18.   00011  b8 cc cc cc cc  mov      eax, -858993460          ; ccccccccH
    
19.   00016  f3 ab              rep stosd
    
20. 
    
21. ; 9    : DWORD dwAddr =0x0060E8F0 ;
    
22. 
    
23.   00018  c7 45 fc f0 e8
    
24.        60 00             mov      DWORD PTR _dwAddr$[ebp], 6351088 ; 0060e8f0H
    
25. 
    
26. ; 10   : __asm
    
27. ; 11   : {
    
28. ; 12   :         pushad
    
29. 
    
30.   0001f  60           pushad
    
31. 
    
32. ; 13   :         mov ecx,0x80000003
    
33. 
    
34.   00020  b9 03 00 00 80       mov      ecx, -2147483645 ; 80000003H
    
35. 
    
36. ; 14   :         mov edx,[0x0AF8450]
    
37. 
    
38.   00025  ba 50 84 af 00 mov      edx, 11502672             ; 00af8450H
    
39. 
    
40. ; 15   :         push ecx
    
41. 
    
42.   0002a  51           push      ecx
    
43. 
    
44. ; 16   :         mov ecx,[edx +0x20]
    
45. 
    
46.   0002b  8b 4a 20  mov      ecx, DWORD PTR [edx+32]
    
47. 
    
48. ; 17   :         add ecx,0x0d4
    
49. 
    
50.   0002e  81 c1 d4 00 00
    
51.        00           add       ecx, 212              ; 000000d4H
    
52. 
    
53. ; 18   :         call dwAddr
    
54. 
    
55.   00034  ff 55 fc   call       DWORD PTR _dwAddr$[ebp]
    
56. 
    
57. ; 19   :         popad
    
58. 
    
59.   00037  61           popad
    
60. 
    
61. ; 20   : }
    
62. ; 21   : }
    
63. 
    
64.   00038  5f           pop       edi
    
65.   00039  5e           pop       esi
    
66.   0003a  5b           pop       ebx
    
67.   0003b  83 c4 44  add       esp, 68                ; 00000044H
    
68.   0003e  3b ec              cmp      ebp, esp
    
69.   00040  e8 00 00 00 00       call       __chkesp
    
70.   00045  8b e5             mov      esp, ebp
    
71.   00047  5d           pop       ebp
    
72.   00048  c3           ret  0
    
73. ?AsmInject@@YAXXZ ENDP                                 ; AsmInject
    
74. _TEXT    ENDS
    
75. END

复制代码

1. //////////////////////////////////////////////////////////////////////////
   
2. #include "StdAfx.h"
   
3. #include "publicfunction.h"
   
4. 
   
5. //////////////////////////////////////////////////////////////////////////
   
6. //汇编代码注入
   
7. void AsmInject()
   
8. {
   
9.        DWORD dwAddr =0x0060E8F0 ;
   
10.        __asm
    
11.        {
    
12.               pushad
    
13.               mov ecx,0x80000003
    
14.               mov edx,[0x0AF8450]  
    
15.               push ecx
    
16.               mov ecx,[edx +0x20]
    
17.               add ecx,0x0d4
    
18.               call dwAddr
    
19.               popad
    
20.        }
    
21. }

复制代码

第一段代码是VC6.0生成的汇编代码和机器代码
第二段代码是我编写的C代码，内嵌汇编
场景介绍：我尝试这将这个函数AsmInject() 通过远线程注入到 TARGET.EXE(被攻击进程)
发现问题：为什么远线程注入到TARGET.EXE进程会导致TARGET.EXE出现错误？
解决办法：

1. void AsmInject()
   
2. {
   
3.        DWORD dwAddr =0x0060E8F0 ;
   
4.        __asm
   
5.        {
   
6.               pushad
   
7.               mov ecx,0x80000003
   
8.               mov edx,[0x0AF8450]  
   
9.               push ecx
   
10.               mov ecx,[edx +0x20]
    
11.               add ecx,0x0d4
    
12.               call dwAddr
    
13.               popad
    
14.        }
    
15. }

复制代码

在以上这个函数中 红色标记的代码 通过观察汇编代码之后和我们想象的并不一样，
; 14   :         mov edx,[0x0AF8450]
00025  ba 50 84 af 00 mov      edx, 11502672             ; 00af8450H
事实上它这里并不是把0x0AF8450里面的内容存放到edx，而是直接将0x0AF8450存放到edx中，和我们事先想象的好像不一样

下面我做了一些改进

1. PUBLIC  ?AsmInject_New@@YAXXZ                            ; AsmInject_New
   
2. ;      COMDAT ?AsmInject_New@@YAXXZ
   
3. _TEXT    SEGMENT
   
4. _dwAddr$ = -4
   
5. ?AsmInject_New@@YAXXZ PROC NEAR                            ; AsmInject_New, COMDAT
   
6. 
   
7. ; 26   : {
   
8. 
   
9.   00000  55           push      ebp
   
10.   00001  8b ec              mov      ebp, esp
    
11.   00003  83 ec 44  sub esp, 68                ; 00000044H
    
12.   00006  53           push      ebx
    
13.   00007  56           push      esi
    
14.   00008  57           push      edi
    
15.   00009  8d 7d bc  lea edi, DWORD PTR [ebp-68]
    
16.   0000c  b9 11 00 00 00       mov      ecx, 17                ; 00000011H
    
17.   00011  b8 cc cc cc cc  mov      eax, -858993460          ; ccccccccH
    
18.   00016  f3 ab              rep stosd
    
19. 
    
20. ; 27   : DWORD dwAddr =0x0060E8F0 ;
    
21. 
    
22.   00018  c7 45 fc f0 e8
    
23.        60 00             mov      DWORD PTR _dwAddr$[ebp], 6351088 ; 0060e8f0H
    
24. 
    
25. ; 28   : __asm
    
26. ; 29   : {
    
27. ; 30   :         pushad
    
28. 
    
29.   0001f  60           pushad
    
30. 
    
31. ; 31   :                mov ecx,0x80000003
    
32. 
    
33.   00020  b9 03 00 00 80       mov      ecx, -2147483645 ; 80000003H
    
34. 
    
35. ; 32   :                mov edx,0x0AF8450
    
36. 
    
37.   00025  ba 50 84 af 00 mov      edx, 11502672             ; 00af8450H
    
38. 
    
39. ; 33   :                mov edx,[edx]
    
40. 
    
41.   0002a  8b 12             mov      edx, DWORD PTR [edx]
    
42. 
    
43. ; 34   :                push ecx
    
44. 
    
45.   0002c  51           push      ecx
    
46. 
    
47. ; 35   :                mov ecx,[edx +0x20]
    
48. 
    
49.   0002d  8b 4a 20  mov      ecx, DWORD PTR [edx+32]
    
50. 
    
51. ; 36   :                add ecx,0x0d4
    
52. 
    
53.   00030  81 c1 d4 00 00
    
54.        00           add       ecx, 212              ; 000000d4H
    
55. 
    
56. ; 37   :                call dwAddr
    
57. 
    
58.   00036  ff 55 fc   call       DWORD PTR _dwAddr$[ebp]
    
59. 
    
60. ; 38   :                popad
    
61. 
    
62.   00039  61           popad
    
63. 
    
64. ; 39   : }
    
65. ; 40   : }
    
66. 
    
67.   0003a  5f           pop       edi
    
68.   0003b  5e           pop       esi
    
69.   0003c  5b           pop       ebx
    
70.   0003d  83 c4 44  add       esp, 68                ; 00000044H
    
71.   00040  3b ec              cmp      ebp, esp
    
72.   00042  e8 00 00 00 00       call       __chkesp
    
73.   00047  8b e5             mov      esp, ebp
    
74.   00049  5d           pop       ebp
    
75.   0004a  c3           ret  0
    
76. ?AsmInject_New@@YAXXZ ENDP                         ; AsmInject_New
    
77. _TEXT    ENDS
    
78. END

复制代码

//汇编代码注入 改进版

1. void AsmInject_New()
   
2. {
   
3.        DWORD dwAddr =0x0060E8F0 ;
   
4.        __asm
   
5.        {
   
6.               pushad
   
7.                      mov ecx,0x80000003
   
8.                      mov edx,0x0AF8450
   
9.                      mov edx,[edx]
   
10.                      push ecx
    
11.                      mov ecx,[edx +0x20]
    
12.                      add ecx,0x0d4
    
13.                      call dwAddr
    
14.                      popad
    
15.        }
    
16. }

复制代码

远线程注入改进版的汇编代码注入之后 ，可以看到TARGET.EXE进程确实存在效果，但是TARGET.EXE任然会报错，这又是为什么呢？？？
  0003d  83 c4 44  add       esp, 68                ; 00000044H
  00040  3b ec              cmp      ebp, esp
  00042  e8 00 00 00 00       call       __chkesp
据说是DEBUG版本的堆栈检测机制，只有在DEBUG版本里面才会有，那么我们使用RELEASE版本编译试试看。

1. PUBLIC  ?AsmInject_New@@YAXXZ                            ; AsmInject_New
   
2. ;      COMDAT ?AsmInject_New@@YAXXZ
   
3. _TEXT    SEGMENT
   
4. _dwAddr$ = -4
   
5. ?AsmInject_New@@YAXXZ PROC NEAR                            ; AsmInject_New, COMDAT
   
6. 
   
7. ; 26   : {
   
8. 
   
9.   00000  55           push      ebp
   
10.   00001  8b ec              mov      ebp, esp
    
11.   00003  51           push      ecx
    
12.   00004  53           push      ebx
    
13.   00005  56           push      esi
    
14.   00006  57           push      edi
    
15. 
    
16. ; 27   : DWORD dwAddr =0x0060E8F0 ;
    
17. 
    
18.   00007  c7 45 fc f0 e8
    
19.        60 00             mov      DWORD PTR _dwAddr$[ebp], 6351088 ; 0060e8f0H
    
20. 
    
21. ; 28   : __asm
    
22. ; 29   : {
    
23. ; 30   :         pushad
    
24. 
    
25.   0000e  60           pushad
    
26. 
    
27. ; 31   :                mov ecx,0x80000003
    
28. 
    
29.   0000f  b9 03 00 00 80       mov      ecx, -2147483645 ; 80000003H
    
30. 
    
31. ; 32   :                mov edx,0x0AF8450
    
32. 
    
33.   00014  ba 50 84 af 00 mov      edx, 11502672             ; 00af8450H
    
34. 
    
35. ; 33   :                mov edx,[edx]
    
36. 
    
37.   00019  8b 12             mov      edx, DWORD PTR [edx]
    
38. 
    
39. ; 34   :                push ecx
    
40. 
    
41.   0001b  51           push      ecx
    
42. 
    
43. ; 35   :                mov ecx,[edx +0x20]
    
44. 
    
45.   0001c  8b 4a 20  mov      ecx, DWORD PTR [edx+32]
    
46. 
    
47. ; 36   :                add ecx,0x0d4
    
48. 
    
49.   0001f  81 c1 d4 00 00
    
50.        00           add       ecx, 212              ; 000000d4H
    
51. 
    
52. ; 37   :                call dwAddr
    
53. 
    
54.   00025  ff 55 fc   call       DWORD PTR _dwAddr$[ebp]
    
55. 
    
56. ; 38   :                popad
    
57. 
    
58.   00028  61           popad
    
59. 
    
60. ; 39   : }
    
61. ; 40   : }
    
62. 
    
63.   00029  5f           pop       edi
    
64.   0002a  5e           pop       esi
    
65.   0002b  5b           pop       ebx
    
66.   0002c  8b e5             mov      esp, ebp
    
67.   0002e  5d           pop       ebp
    
68.   0002f  c3           ret  0
    
69. ?AsmInject_New@@YAXXZ ENDP                         ; AsmInject_New
    
70. _TEXT    ENDS
    
71. END

复制代码

//////////////////////////////////////////////////////////////////////////
我们远线程注入这段代码
//////////////////////////////////////////////////////////////////////////
//汇编代码注入

1. void CASMCodeInjectDlg::OnButtonAsmInject()
   
2. {
   
3.        // TODO: Add your control notification handler code here
   
4.        DWORD procid;
   
5.        HWND hwnd ;
   
6.        hwnd =::FindWindow(NULL ,"Element Client") ;
   
7.        if (hwnd ==NULL)
   
8.        {
   
9.               MessageBox("请先运行游戏") ;
   
10.               return ;
    
11.        }
    
12.        ::GetWindowThreadProcessId(hwnd,&procid);//获得进程ID
    
13.        HANDLE prochandle=::OpenProcess(PROCESS_ALL_ACCESS,false,procid);//打开进程
    
14.        LPVOID baseaddr=VirtualAllocEx(prochandle,NULL,1024*4,MEM_COMMIT,PAGE_EXECUTE_READWRITE);//分配空间
    
15.        if(baseaddr==NULL)
    
16.        {
    
17.               MessageBox("分配空间出错");
    
18.               return;
    
19.        }
    
20.        if(!::WriteProcessMemory(prochandle,baseaddr,&AsmInject_New,1024*4,NULL))
    
21.        {
    
22.               MessageBox("将函数写内存出错");
    
23.               return ;
    
24.        }
    
25.        HANDLE tid;
    
26.        tid=CreateRemoteThread(prochandle,NULL,0,(LPTHREAD_START_ROUTINE)baseaddr,0,0,NULL);//远程调用函数
    
27.        WaitForSingleObject(tid,INFINITE);//等待线程结束
    
28.        VirtualFreeEx(prochandle,baseaddr,1024*4,MEM_RELEASE);
    
29.        ::CloseHandle(prochandle);
    
30. }

复制代码

确实没有堆栈检测机制，然后我们再次注入这段代码，很好，TARGET.EXE并没有出现错误，一切都是如此的正常，如此的和谐。

//////////////////////////////////////////////////////////////////////////
如果我们直接向TARGET.EXE写入机器指令该怎么做呢？

//////////////////////////////////////////////////////////////////////////
//机器码函数注入

1. void CASMCodeInjectDlg::OnButtonMachinecodeInject()
   
2. {
   
3.        // TODO: Add your control notification handler code here
   
4.        DWORD procid;
   
5.        HWND hwnd ;
   
6.        hwnd =::FindWindow(NULL ,"Element Client") ;
   
7.        if (hwnd ==NULL)
   
8.        {
   
9.               MessageBox("请先运行游戏") ;
   
10.               return ;
    
11.        }
    
12.        ::GetWindowThreadProcessId(hwnd,&procid);//获得进程ID
    
13.        HANDLE prochandle=::OpenProcess(PROCESS_ALL_ACCESS,false,procid);//打开进程
    
14.        LPVOID baseaddr=VirtualAllocEx(prochandle,NULL,1024*4,MEM_COMMIT,PAGE_EXECUTE_READWRITE);//分配空间
    
15.        if(baseaddr==NULL)
    
16.        {
    
17.               MessageBox("分配空间出错");
    
18.               return;
    
19.        }
    
20.        //////////////////////////////////////////////////////////////////////////
    
21.        //待注入的机器指令
    
22.        char cMachineCode[] ={
    
23.               0x55,      
    
24.                      0x8b, 0xec,     
    
25.                      0x51,      
    
26.                      0x53,      
    
27.                      0x56,      
    
28.                      0x57,
    
29.                      0xc7, 0x45, 0xfc, 0xf0, 0xe8, 0x60, 0x00,
    
30.                      0x60,
    
31.                      0xb9, 0x03, 0x00, 0x00, 0x80,
    
32.                      0xba, 0x50, 0x84, 0xaf, 0x00,
    
33.                      0x8b, 0x12,
    
34.                      0x51,
    
35.                      0x8b, 0x4a, 0x20,
    
36.                      0x81, 0xc1, 0xd4, 0x00, 0x00, 0x00,
    
37.                      0xff, 0x55, 0xfc,
    
38.                      0x61,
    
39.                      0x5f,
    
40.                      0x5e,
    
41.                      0x5b,
    
42.                      0x8b, 0xe5,
    
43.                      0x5d,
    
44.                      0xc3
    
45.        } ;
    
46.        if(!::WriteProcessMemory(prochandle,baseaddr,cMachineCode,1024*4,NULL))
    
47.        {
    
48.               MessageBox("将函数写内存出错");
    
49.               return ;
    
50.        }
    
51.        HANDLE tid;
    
52.        tid=CreateRemoteThread(prochandle,NULL,0,(LPTHREAD_START_ROUTINE)baseaddr,0,0,NULL);//远程调用函数
    
53.        WaitForSingleObject(tid,INFINITE);//等待线程结束
    
54.        VirtualFreeEx(prochandle,baseaddr,1024*4,MEM_RELEASE);
    
55.        ::CloseHandle(prochandle);
    
56. }

复制代码

事实上，上面的机器码是直接copy AsmInject_New这个函数的机器码，没有做任何修改，把这些机器码存放到cMachineCode 缓冲区中。进行远线程注入依然可以行的，如此的和谐，TARGET.EXE也不会给我一个 READ MEMORY ERROR ！

以上说了下远线程注入的细节问题。

wdwlbsm

说了下远线程注入的细节问题。

lzl306567385

光速浏览此贴！

cooby

不要等到人人都说你丑时才发现自己真的丑。 ▓

cooby

扯淡啊，感觉你在开玩笑啊。