注入进程

标题: 一种注入进程，获得完全操控的方法之一作者: menting时间: 2007-12-05 17:26链接: /showthread.php?t=56036详细信息:好长时间没贴东西了，今天就来贴点东西，废话就不说了直接进入主题，喜欢的就支持，不喜欢的就看乐和！！今天说点什么呢~我们今天就说HOOK，实际提到这个大家都知道它的功用，如果要是抓取消息那肯定是用下面的函数：//----------------------------------------------------------------------::SetWindowsHookA(int nFilterType,HOOKPROC pfnFilterProc);::CallNextHookEx(HHOOK hhk,int Code,WPARAM wParam,LPARAM lParam); ::UnhookWindowsHook(int nCode,HOOKPROC pfnFilterProc);//它们的参数我就不说了，实在是太多了！！//---------------------------------------------------------------------------今天我就给大家说一种别的方法来抓取WINDOWS消息的方法，这种方法虽然有点局限性，但是我感觉很不错的哦！用我的方法，可以抓取一个进程中的所有窗口的消息。

不信就跟我一体来试试，如果看不太明白，那只好去学学相关知识了。

我们选择的方法就是HOOK API的方法。

很多朋友都说网络上流传的HOOK API的很多，但是我碰到的都是HOOK那个MessageBoxA函数，没什么意思，今天我就给大家一个全能的方法，我们不用了解太多PE结构，非要在IAT表中修改，我们先来看看我们要处理的API为：/*------------------------------------------------------------------------------------函数原型：LRESULT CallWindowProc(WNDPROC lpPrevWndFunc，HWND hWnd．UINT Msg，WPARAM wParam，LPARAM IParam);参数：lpPrevWndFunc：指向前一个窗口过程的指针。

如果该值是通过调用GetWindowLong函数，并将该函数中的nlndex参数设为GWL_WNDPROC或DWL_DLGPROC而得到的，那么它实际上要么是窗口或者对话框的地址，要么就是代表该地址的句柄。

hWnd：指向接收消息的窗口过程的句柄。

Msg：指定消息类型。

wParam：指定其余的、消息特定的信息。

该参数的内容与Msg参数值有关。

IParam：指定其余的、消息特定的信息。

该参数的内容与Msg参数值有关。

返回值：返回值指定了消息处理结果，它与发送的消息有关-----------------------------------------------------------------------------------*/我想一般对这个函数，比较陌生点，用的人就不多了，就像我有时用ntdll.dll 中LdrGetDllHandle这类函数一样。

因为它的功能很多时候都不用知道的:)。

我们为了能抓到消息，而且不用HOOK这类API函数，我们要在这个函数上做手脚，或许可以对DefWindowProc()这个函数也做手脚，但是我想我要一个就可以了呵呵！因为我这里举例是用自定义消息为例子的，为什么要用自定义消息呢！我还想说明一点问题就是远程注入进程。

实际对于一个进程来讲，只要给它放个DLL那么它就不得不听你的了，我们可以给这个DLL发送一些命令，让它按照命令来操作我们的目标进程。

有的时候我就特别的喜欢‘该死’，他做的系统就给我们一个空间，也就是0x400-0x7FF是为用户自定义的消息，我们就可以用如下的方法来设置命令：#define WM_CMD_EXIT WM_USER+100 //退出进程#define WM_CMD_GETHWND WM_USER+101 //获取HWND句柄#define WM_CMD_GETCAPTION WM_USER+102 //获取窗口名称……等等，我们还可以调用进程的内部函数，让进程做我们想让它做的。

实际就举个例子来将，发给命令过去，让QQ不断显示广告，或定时显示广告，我们几乎就完全操作了进程了。

如果没道德，想抓取别人的隐私，那也是顺手而已。

可是我在发这篇贴的时候，还是想过是否要发，因为我觉得我手里的东西就是把双刃剑，能杀这边，也能杀那边。

希望学会的朋友都不要把它用于搞破坏上。

注入进程的方法太多了，我就不说了，我把它写了一个类，大家就可以拿去直接用了。

//注意的是，路径是绝对路径，才能给其它进程注入。

//----------------------------------------------------------------------------// RemoteShell.h: interface for the CRemoteShell class./////////////////////////////////////////////////////////////////////// /#if !defined(AFX_REMOTESHELL_H__6242FFA8_B8E3_4F9A_BE7D_197F76A78D03_ _INCLUDED_)#define AFX_REMOTESHELL_H__6242FFA8_B8E3_4F9A_BE7D_197F76A78D03__INCL UDED_#if _MSC_VER > 1000#pragma once#endif // _MSC_VER > 1000#include "tlhelp32.h"#pragma comment(lib,"th32.lib")class CRemoteShell{public:CRemoteShell();virtual ~CRemoteShell();public:public:CString m_dllPath;DWORD pId;DWORD dwSize;LPVOID pDll;HANDLE hDll;HANDLE hToken;HANDLE hProcess;LUID Luid;TOKEN_PRIVILEGES tp;public:int Release(DWORD procId=NULL);int Load(LPCTSTR dllpath,DWORD pId=NULL); //进程注入int Load(LPCTSTR dllpath,HWND hWnd); //窗口注入HANDLE GetDllHandle(LPCTSTR path,DWORD pid);};#endif // !defined(AFX_REMOTESHELL_H__6242FFA8_B8E3_4F9A_BE7D_197F76A 78D03__INCLUDED_)//-------------------------------------------------------------------------------------------// RemoteShell.cpp: implementation of the CRemoteShell class./////////////////////////////////////////////////////////////////////// /#include "stdafx.h"#include "注入程序.h"#include "RemoteShell.h"#ifdef _DEBUG#undef THIS_FILEstatic char THIS_FILE[]=__FILE__;#define new DEBUG_NEW#endif///////////////////////////////////////////////////////////////////// /// Construction/Destruction///////////////////////////////////////////////////////////////////// /CRemoteShell::CRemoteShell(){hToken =NULL;hProcess=NULL;memset(&tp,0,sizeof(TOKEN_PRIVILEGES));//取得句柄的令牌:if (!OpenProcessToken(GetCurrentProcess(), //是要修改访问权限的进程句柄TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY, //指定你所需要的操作类型 &hToken)) //是返回的访问令牌指针{return ;}//获取权限的LUID值:if (!LookupPrivilegeValue(NULL, //系统的名称，如果是本地系统只要指明为NULL就可以了SE_DEBUG_NAME, //指明了权限的名称&Luid)) //返回LUID的指针{return ;}tp.PrivilegeCount = 1;tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;tp.Privileges[0].Luid = Luid;//访问令牌进行修改:if (!AdjustTokenPrivileges(hToken, //访问令牌的句柄0, //决定是进行权限修改还是除能(Disable)所有权限&tp, //指明要修改的权限,指向TOKEN_PRIVILEGES结构的指针，该结构包含一个数组，数据组的每个项指明了权限的类型和要进行的操作sizeof(TOKEN_PRIVILEGES), //是结构PreviousState的长度，如果PreviousState为空，该参数应为NULLNULL, //参数也是一个指向TOKEN_PRIVILEGES结构的指针，存放修改前的访问权限的信息，可空NULL)) //实际PreviousState结构返回的大小{return ;}}CRemoteShell::~CRemoteShell(){if(hToken!=NULL){::CloseHandle(hToken);}if(hProcess!=NULL){::CloseHandle(hProcess);}}//注入给指定进程:int CRemoteShell::Load(LPCTSTR dllpath,DWORD pId){hProcess =NULL;pDll =NULL;m_dllPath =dllpath;//如果指定进程ID为NULL,就注入给自己.if(pId==NULL){pId=::GetCurrentProcessId();}//打开进程:hProcess=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_WRITE|PROCE SS_VM_OPERATION,1,pId);if(hProcess==NULL){return -20;}//分配内存:pDll=::VirtualAllocEx(hProcess,NULL,strlen(dllpath),MEM_COMMIT,PA GE_READWRITE);if(pDll==NULL){return -21;}//注入DLL:BOOL bRe=::WriteProcessMemory(hProcess,pDll,(void*)dllpath,strlen (dllpath),NULL);if(bRe==FALSE){return -22;}//获取LoadLibraryA函数地址:FARPROC pLoadDll=GetProcAddress(GetModuleHandle("kernel32.dll")," LoadLibraryA");if(pLoadDll==NULL){return -23;}//创建线程:HANDLE hRemote=CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START _ROUTINE)pLoadDll,pDll,NULL,0);//等待线程结束:::WaitForSingleObject(hRemote,INFINITE);if(hRemote!=NULL){::CloseHandle(hRemote);}if(hProcess!=NULL){::CloseHandle(hProcess);}return 0;}//注入给指定程序句柄的进程:int CRemoteShell::Load(LPCTSTR dllpath,HWND hWnd)hProcess =NULL;pDll =NULL;pId =NULL;m_dllPath =dllpath;if(hWnd!=NULL){::GetWindowThreadProcessId(hWnd,&pId);}//如果指定进程ID为NULL,就注入给自己.if(pId==NULL){pId=::GetCurrentProcessId();}//打开进程:hProcess=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_WRITE|PROCE SS_VM_OPERATION,1,pId);if(hProcess==NULL){return -20;}//分配内存:pDll=::VirtualAllocEx(hProcess,NULL,strlen(dllpath),MEM_COMMIT,PA GE_READWRITE);if(pDll==NULL){return -21;}//注入DLL:BOOL bRe=::WriteProcessMemory(hProcess,pDll,(void*)dllpath,strlen (dllpath),NULL);if(bRe==FALSE){return -22;}//获取LoadLibraryA函数地址:FARPROC pLoadDll=::GetProcAddress(::GetModuleHandle("kernel32.dll "),"LoadLibraryA");if(pLoadDll==NULL){return -23;}//创建线程:HANDLE hRemote=CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START_R OUTINE)pLoadDll,pDll,NULL,0);//等待线程结束:::WaitForSingleObject(hRemote,INFINITE);hDll=GetDllHandle(dllpath,pId);if(hRemote!=NULL){::CloseHandle(hRemote);}if(hProcess!=NULL){::CloseHandle(hProcess);}return 0;}int CRemoteShell::Release(DWORD procId){DWORD id=NULL;if(hDll==NULL){return -1;}if(pId!=NULL){id=pId;}if(procId!=NULL){id=procId;}if(id!=NULL){//打开进程:hProcess=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_WRITE|PROCE SS_VM_OPERATION,1,pId);if(hProcess==NULL){return -20;}//FARPROC pGetDllHandle=GetProcAddress(GetModuleHandle("ntdll.dll") ,"LdrGetDllHandle");//获取FreeLibraryA函数地址:FARPROC pFreeDll=GetProcAddress(GetModuleHandle("kernel32.dll")," FreeLibrary");if(pFreeDll==NULL){return -23;}//创建线程:HANDLE hRemote=::CreateRemoteThread(hProcess,NULL,0,(LPTHREAD_START_ROUTINE)pFreeDll,hDll,NULL,0);//等待线程结束:::WaitForSingleObject(hRemote,INFINITE);::VirtualFreeEx(hProcess,pDll,0,MEM_RELEASE);if(hRemote!=NULL){::CloseHandle(hRemote);}if(hProcess!=NULL){::CloseHandle(hProcess);}}else{AfxMessageBox("进程号为空!无法释放!");}return 0;}HANDLE CRemoteShell::GetDllHandle(LPCTSTR path,DWORD pid){if(pid==NULL){pid=::GetCurrentProcessId();}//打开进程:int num=0;BOOL bRe=FALSE;HANDLE hModule=NULL;MODULEENTRY32* minfo=new MODULEENTRY32;if(NULL!=pid){hModule=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,pid);bRe=Module32First(hModule, minfo);for(;bRe!=0;num++){if(lstrcmp(minfo->szExePath,path)==0||lstrcmp(minfo->szModule,p ath)==0){return minfo->modBaseAddr;}bRe=::Module32Next(hModule,minfo);}}::CloseHandle(hModule);return NULL;}//----------------------------------------------------------------------------------------------我们用上面的类就可以轻松的把一个DLL注入到别的进程，并且还可以轻松的释放。