开源Ring3下的DLL注入x86 x64源码

luolita523

(开源) Ring3下的DLL注入工具 x86&x64(NtCreateThreadEx + LdrLoadDll方式实现，可以注入系统进程)

使用NtCreateThreadEx + LdrLoadDll方式实现远程线程注入的特色在于比一般的远程线程注入稳定，可以注入系统进程，服务进程等。

核心源代码如下

1. 
   
2. //OD跟踪，发现最后调用的是NtCreateThreadEx,所以这里手动调用
   
3. HANDLE Cx64Inject::MyCreateRemoteThread(HANDLE hProcess, LPTHREAD_START_ROUTINE pThreadProc, LPVOID pRemoteBuf)
   
4. {
   
5.         HANDLE hThread = NULL;
   
6.         FARPROC pFunc = NULL;
   
7.         if( IsVistaOrLater())// Vista, 7, Server2008
   
8.         {
   
9.                 pFunc = GetProcAddress(GetModuleHandleW(L"ntdll.dll"), "NtCreateThreadEx");
   
10.                 if( pFunc == NULL )
    
11.                 {
    
12.                         MyOutputDebugStringA("MyCreateRemoteThread() : GetProcAddress("NtCreateThreadEx") 调用失败！错误代码: [%d]", GetLastError());
    
13.                         return NULL;
    
14.                 }
    
15.                 ((_NtCreateThreadEx64)pFunc)(&hThread,0x1FFFFF,NULL,hProcess,pThreadProc,pRemoteBuf,FALSE,NULL,NULL,NULL,NULL);
    
16.                 if( hThread == NULL )
    
17.                 {
    
18.                         MyOutputDebugStringA("MyCreateRemoteThread() : NtCreateThreadEx() 调用失败！错误代码: [%d]", GetLastError());
    
19.                         return NULL;
    
20.                 }
    
21.         }
    
22.         else// 2000, XP, Server2003
    
23.         {
    
24.                 hThread = CreateRemoteThread(hProcess,NULL,0,pThreadProc,pRemoteBuf,0,NULL);
    
25.                 if( hThread == NULL )
    
26.                 {
    
27.                         MyOutputDebugStringA("MyCreateRemoteThread() : CreateRemoteThread() 调用失败！错误代码: [%d]", GetLastError());
    
28.                         return NULL;
    
29.                 }
    
30.         }
    
31.         if( WAIT_FAILED == WaitForSingleObject(hThread, INFINITE) )
    
32.         {
    
33.                 MyOutputDebugStringA("MyCreateRemoteThread() : WaitForSingleObject() 调用失败！错误代码: [%d]", GetLastError());
    
34.                 return NULL;
    
35.         }
    
36.         return hThread;
    
37. }

复制代码

1. 
   
2. //在目标进程中创建线程并注入dll
   
3. BOOL Cx64Inject::InjectDll(DWORD dwProcessId,LPCWSTR lpcwDllPath)
   
4. {
   
5.         BOOL bRet = FALSE;
   
6.         HANDLE hProcess = NULL, hThread = NULL;
   
7.         LPVOID pCode = NULL;
   
8.         LPVOID pThreadData = NULL;
   
9.         __try
   
10.         {
    
11.                 if(!EnableDebugPrivilege())
    
12.                 {
    
13.                         MyOutputDebugStringA("InjectDll() : EnableDebugPrivilege() 调用失败！错误代码: [%d]", GetLastError());
    
14.                         return -1;
    
15.                 }
    
16.                 //打开目标进程;
    
17.                 hProcess = OpenProcess(PROCESS_ALL_ACCESS, TRUE, dwProcessId);
    
18.                 DWORD dwError = GetLastError();
    
19.                 if (hProcess == NULL)
    
20.                         __leave;
    
21.                 //申请空间，把我们的代码和数据写入目标进程空间里;
    
22.                 //写入数据;
    
23.                 THREAD_DATA data;
    
24.                 HMODULE hNtdll = GetModuleHandleW(L"ntdll.dll");
    
25.                 data.fnRtlInitUnicodeString = (pRtlInitUnicodeString)GetProcAddress(hNtdll,"RtlInitUnicodeString");
    
26.                 data.fnLdrLoadDll = (pLdrLoadDll)GetProcAddress(hNtdll,"LdrLoadDll");
    
27.                 memcpy(data.DllName, lpcwDllPath, (wcslen(lpcwDllPath) + 1)*sizeof(WCHAR));
    
28.                 data.DllPath = NULL;
    
29.                 data.Flags = 0;
    
30.                 data.ModuleHandle = INVALID_HANDLE_VALUE;
    
31.                 pThreadData = VirtualAllocEx(hProcess, NULL, 4096, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    
32.                 if (pThreadData == NULL)
    
33.                         __leave;
    
34.                 BOOL bWriteOK = WriteProcessMemory(hProcess, pThreadData,&data,sizeof(data), NULL);
    
35.                 if (!bWriteOK)
    
36.                         __leave;
    
37.                 MyOutputDebugStringA("pThreadData = 0x%p", pThreadData);
    
38.                 //写入代码;
    
39.                 DWORD SizeOfCode = (DWORD)ThreadProcEnd - (DWORD)ThreadProc;
    
40.                 pCode = VirtualAllocEx(hProcess, NULL, SizeOfCode, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
    
41.                 if (pCode == NULL)
    
42.                 {
    
43.                         MyOutputDebugStringA("InjectDll() : pCode = VirtualAllocEx() 调用失败！错误代码: [%d]", GetLastError());
    
44.                         __leave;
    
45.                 }               
    
46.                 bWriteOK = WriteProcessMemory(hProcess, pCode, (PVOID)ThreadProc, SizeOfCode, NULL);
    
47.                 if (!bWriteOK)
    
48.                         __leave;
    
49.                 MyOutputDebugStringA("pCode = 0x%p", pCode);
    
50.                 //创建远程线程，把ThreadProc作为线程起始函数，pThreadData作为参数;
    
51.                 hThread = MyCreateRemoteThread(hProcess, (LPTHREAD_START_ROUTINE)pCode, pThreadData);
    
52.                 if (hThread == NULL)
    
53.                         __leave;
    
54.                 //等待完成;
    
55.                 WaitForSingleObject(hThread, INFINITE);
    
56.                 bRet = TRUE;
    
57.         }
    
58.         __finally
    
59.         {
    
60.                 if (pThreadData != NULL)
    
61.                         VirtualFreeEx(hProcess, pThreadData, 0, MEM_RELEASE);
    
62.                 if (pCode != NULL)
    
63.                         VirtualFreeEx(hProcess, pCode, 0, MEM_RELEASE);
    
64.                 if (hThread != NULL)
    
65.                         CloseHandle(hThread);
    
66.                 if (hProcess != NULL)
    
67.                         CloseHandle(hProcess);
    
68.         }
    
69. 
    
70.         return bRet;
    
71. }

复制代码

以上是远程线程注入类的两个核心函数，下面是调用实例：

1. Cx64Inject inject;  
   
2. if (inject.InjectDll(g_dwPID,g_szDllPath))  
   
3. {  
   
4.         ::MessageBox(NULL,L"注入成功",L":)",MB_ICONINFORMATION);  
   
5. }  
   
6. else  
   
7. {  
   
8.         ::MessageBox(NULL,L"注入失败！",L"失败",MB_ICONERROR);  
   
9. }  

复制代码

封装成类了，使用起来很简单的。
有一点需要注意的是x64注入的意思是只能将64位dll注入64位进程。
x86注入的意思是32位dll注入32位进程。