驱动注入DLL-高手搞烂的东西菜鸟拿来学习

xinxi · 发表于 2015-2-14 07:45:41

本帖最后由 xinxi 于 2015-2-14 08:11 编辑

驱动注入DLL-高手搞烂的东西菜鸟拿来学习
DLL 注入这个话题我共发表过 2 个帖子

HOOK ntdll.memmove
http://www.wghai.net/thread-4402-1-1.html

驱动保护下的注入
http://www.wghai.net/thread-4403-1-1.html

今天在发一个驱动注入（高手玩烂的技术菜鸟拿来学习学习）

原理如下

SSDK HOOK  NtCreateThread （本想带个反汇编引擎来个深度 inline hook 无奈水品不够便放弃了）

关于 NtCreateThread 的详细资料请查询百度（无论是准确性还是完整性都比我说的要好）

进程在建立过程中会调用 NtCreateThread 而这个时候新建立的进程其实已经初始化完毕了它唯一欠缺的是没有主线程

我们在这个时候将他拦截下来  使用 ZwAllocateVirtualMemory 为它分配一块内存通过 KeStackAttachProcess 切换上下文把我们的shellcode

代码 RtlCopyMemory到刚分配的空间修改 Context 结构中要执行的地址  大致过程就是这样

这里拿注入DLL来做应用其实可以做很多事情在进程执行入口地址前先执行了我们的 shellcode  当然可以做其他事情比如......

效果图

非常简陋的 shellcode 代码

驱动调用直接呼叫 NtCreateThread

第一个参数为注入DLL字符串指证
第2个参数为注入DLL字符串长度
第3个参数为  当前API  LoadLibraryA 地址
最后一个参数为 100 其他全是0

hookNtCreateThread.rar (397.12 KB, 下载次数: 96, 售价: 10 海币)

NtCreateThread.rar (5.52 KB, 下载次数: 90, 售价: 10 海币)

联系我时，请说是在挂海论坛上看到的，谢谢！

45383469 · 发表于 2015-2-14 08:05:29

发发呆，回回帖，工作结束~

wuyudp · 发表于 2015-3-9 03:45:45

佩服佩服！

hjwgjd · 发表于 2015-3-22 20:50:21

纯粹路过，没任何兴趣，仅仅是看在老用户份上回复一下

q8634421 · 发表于 2015-3-23 02:44:58

强烈支持楼主ing……新手学习

zhuzhuli · 发表于 2015-3-23 14:48:51

我擦！我要沙发！

梦幻岛主 · 发表于 2015-4-15 14:51:45

谢谢楼主分享,支持海论坛

神马都是白日梦 · 发表于 2015-5-9 02:10:24

先感谢下，楼主辛苦了！来看看一下

古凝明 · 发表于 2015-6-5 02:16:09

好吧真的太谢谢

Sin6888 · 发表于 2015-6-5 02:31:57

支持楼主,绝对顶你...谢谢！

		自动登录	找回密码
密码			立即注册

玩游戏来117游戏网(H5不下载也能玩手游传奇，吃鸡，竞技都有)	不懂社区·好资源不错过·各位资源站大佬欢迎来采集搬运	寻找会做《单机》游戏修改器的开发作者长期合作，价格不是问题！联系QQ：1874088565
IOS签名/udid证书出售/送证书加群1040456405	██【我要租此广告位】██	.
.	.	.

[讨论交流] 驱动注入DLL-高手搞烂的东西菜鸟拿来学习

免责声明：

浏览过的版块

[讨论交流] 驱动注入DLL-高手搞烂的东西 菜鸟拿来学习

免责声明：

浏览过的版块

[讨论交流] 驱动注入DLL-高手搞烂的东西菜鸟拿来学习