森焱 發表於 2022-9-5 08:18:00

如何在 C# 程序中注入恶意 DLL?

<h2 id="一背景">一：背景</h2>
<p>前段时间在训练营上课的时候就有朋友提到一个问题，为什么 Windbg 附加到 C# 程序后，程序就处于中断状态了？它到底是如何实现的？ 其实简而言之就是线程的远程注入，这一篇就展开说一下。</p>
<h3 id="二实现原理">二：实现原理</h3>
<h3 id="1-基本思路">1. 基本思路</h3>
<p>WinDbg 在附加进程的时候，会注入一个线程到 <code>C# 进程</code> 中，注入成功后，会执行一个 <code>DbgBreakPoint()</code> 函数，其实就是 <code>int 3</code> ，这时候 CPU 就会执行 3 号中断函数，将当前进程的所有线程进行暂停，文字不好理解的话，画一个图大概就是这样。</p>
<p><img src="https://img2022.cnblogs.com/blog/214741/202209/214741-20220905081817614-931613887.png" alt="" loading="lazy"></p>
<p>口说无凭，接下来用上一个简单案例演示一下。</p>
<h3 id="2-案例演示">2. 案例演示</h3>
<p>首先写一个简单的 C# 程序，不断的输出时间和标号，代码如下：</p>
<pre><code class="language-C#">
    internal class Program
    {
      static void Main(string[] args)
      {
            for (int i = 0; i &lt; 10000; i++)
            {
                Console.WriteLine($"{DateTime.Now},i={i}");
                Thread.Sleep(1000);
            }
      }
    }

</code></pre>
<p>把程序跑起来后，使用 WinDbg 附加，你可以发现 Command 自动切换到了 <code>8</code> 号线程，通过 k 命令可以看到最上面是一个 int 3 中断，截图如下：</p>
<p><img src="https://img2022.cnblogs.com/blog/214741/202209/214741-20220905081817574-609353643.png" alt="" loading="lazy"></p>
<p>这里就有一个想法了，既然 WinDbg 可以注入，为何我的程序就注入不得呢？ 既然我的程序可以注入，那就可以做一些我想做的事情。</p>
<h3 id="3-自定义注入">3. 自定义注入</h3>
<p>有了自定义注入的想法，接下来的实现步骤大概是这样的。</p>
<ol>
<li>
<p>注入一个线程到 C# 程序中。</p>
</li>
<li>
<p>让程序加载一个 dll 文件。</p>
</li>
<li>
<p>在 dll 中做一些我想做的业务逻辑。</p>
</li>
</ol>
<p>接下来新建一个 C++ 的动态链接库，在 DLLMain 入口函数的<code>DLL_PROCESS_ATTACH</code> 事件中写一个 printf 函数，如果在 C# 程序中输出来了，就算成功注入了，参考代码如下：</p>
<pre><code class="language-C++">
#include &lt;Windows.h&gt;
#include &lt;stdio.h&gt;

BOOL APIENTRY DllMain(HMODULE hModule,
        DWORDul_reason_for_call,
        LPVOID lpReserved
)
{
        switch (ul_reason_for_call)
        {
        case DLL_PROCESS_ATTACH:
                printf(" 总部，总部，我已经成功打入内部！ ul_reason_for_call=%d\n ", ul_reason_for_call);
                break;
        }
        return TRUE;
}

</code></pre>
<p>要被加载的 <code>MyInject.dll</code> 已经构建完毕，接下来就用 Win32 API 的 <code>CreateRemoteThread()</code> 实现远程注入，但注入之前需要做三件事情。</p>
<ol>
<li>
<p>获取 C# 程序的 进程句柄。</p>
</li>
<li>
<p>在 C# 进程中申请一块内存空间，存放加载的 path 路径。</p>
</li>
<li>
<p>调用 LoadLibraryW 函数在 C# 进程中实现 dll 加载。</p>
</li>
</ol>
<p>过程有了，新建一个 C++ 控制台程序 <code>ConsoleApplication1.exe</code>， 整体的参考代码如下：</p>
<pre><code class="language-C#">

#include &lt;iostream&gt;
#include &lt;Windows.h&gt;
#include &lt;stdio.h&gt;
#include &lt;stdlib.h&gt;
#include &lt;Tlhelp32.h&gt;

DWORD GetPid(const WCHAR* szName)
{
        HANDLE hprocessSnap = NULL;

        PROCESSENTRY32 pe32 = { 0 };

        hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

        pe32.dwSize = sizeof(PROCESSENTRY32);

        if (Process32First(hprocessSnap, &amp;pe32))
        {
                do {
                        if (!wcscmp(szName, pe32.szExeFile)) {
                                return (int)pe32.th32ProcessID;
                        }
                } while (Process32Next(hprocessSnap, &amp;pe32));
        }
        else
        {
                CloseHandle(hprocessSnap);
        }
        return 0;
}

int main()
{
        const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll文件地址

        //1. 获取进程ID
        DWORDprocID = GetPid(L"ConsoleApp4.exe");

        //2. 获取进程句柄
        HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);

        //3. 在目标进程中开辟一块空间
        LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);

        //4. 将 path 写入到这块空间中
        BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);

        //5. 让目标线程调用 LoadLibraryW 加载我们注入的 dll
        HMODULE hModule = GetModuleHandle(L"kernel32.dll");
        LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
        HANDLE hThread = CreateRemoteThread(
                hProcess,
                NULL,
                0,
                (LPTHREAD_START_ROUTINE)dwLoadAddr,
                pRemoteAdress,
                NULL,
                NULL
        );

        //6. 函数执行完后，释放这块空间。
        WaitForSingleObject(hThread, -1);
        VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);

        system("pause");
        return 0;
}

</code></pre>
<p>万事具备，接下来我们将 <code>ConsoleApplication1.exe</code> 启动，可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出，截图如下：</p>
<p><img src="https://img2022.cnblogs.com/blog/214741/202209/214741-20220905081817587-690868971.png" alt="" loading="lazy"></p>
<h2 id="三总结">三：总结</h2>
<p>这就是对 WinDbg 实现注入拦截的一个衍生知识，整体思路还是很明朗的，当然有注入，就有反注入，比如下面两条策略。</p>
<ol>
<li>
<p>设置进程的保护属性。</p>
</li>
<li>
<p>屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。</p>
</li>
</ol>
<p>等等各种反注入策略，当然这不是我所关心的，毕竟我只专注 <strong>.NET高级调试</strong> ！😄😄😄</p><br><br>
来源：https://www.cnblogs.com/huangxincheng/p/16656778.html
頁: [1]
查看完整版本: 如何在 C# 程序中注入恶意 DLL?