win32api | 逆向 | 进程间通信与dll注入外挂原理

本随笔记录通过win32api学习进程间通信和dll注入外挂原理的学习过程

基本思路：

1. 通过dll注入的方式将代码加载进目标进程
2. 通过共享内存的方式进行数据通信(共享物理页)
3. 通过循环读取命令队列，并通过内联汇编的方式调用各种函数

准备/具体实现：

1.获取进程PID:

说明通过函数去实现，这样就不需要每次都修改再编译。【之前没有详细写过这块，所以这边会详细的写一下】

重要头文件：#include <tlhelp32.h>

原理：通过CreateToolhelp32Snapshot()函数捕捉即时的操作系统进程快照，再遍历找出需要使用的进程。

重要结构体：PROCESSENTRY32结构体

具体代码实现如下(函数参数为可执行文件名而不是窗口名)：

DWORD GetPid(char* szName){
    HANDLE hprocessSnap = NULL;
    PROCESSENTRY32 pe32 = {0};
    hprocessSnap = CreateToolhelp32Snapshot(
        TH32CS_SNAPPROCESS,
        0);//捕捉所有进程的快照
    if (hprocessSnap == INVALID_HANDLE_VALUE){
        //快照失败
        return 0;
    }
    //初始化pe32结构体
    pe32.dwSize = sizeof(PROCESSENTRY32);
    if (Process32First(hprocessSnap, &pe32)){
        do{
            if (!strcmp(szName, pe32.szExeFile)){
                printf("Process Found, PID: %d 
", (int)pe32.th32ProcessID);
                return (int)pe32.th32ProcessID;
            }
            //遍历查找进程名
        }while (Process32Next(hprocessSnap, &pe32));
    }else{
        CloseHandle(hprocessSnap);
    }
    return 0;
}

2.共享内存的实现(共享物理页)：

这里主要就是那几个api函数以及原理，直接贴关键代码了。

执行注入程序的代码：

//创建一块共享内存物理页
HANDLE hMapFile = CreateFileMapping(INVALID_HANDLE_VALUE,NULL,PAGE_READWRITE,0,0x1000,"外挂");
DWORD dwtype = 0;
if (hMapFile == NULL){
    printf("CreateFileMapping Error 
");
}
//映射内存
LPTSTR lpBuff = (LPTSTR)MapViewOfFile(hMapFile, 
                FILE_MAP_ALL_ACCESS,
                0,0,BUFSIZ);
if (lpBuff == NULL){
    printf("MapViewOfFile error 
");
    exit(0);
}

被注入的dll的代码：

//共享内存映射
HANDLE hMapFile = OpenFileMapping(FILE_MAP_ALL_ACCESS, FALSE, "外挂");
DWORD dwtype = 0;
if (hMapFile == NULL){
    printf("OpenFileMapping Error 
");
}
//映射内存
LPTSTR lpBuff = (LPTSTR)MapViewOfFile(hMapFile, 
    FILE_MAP_ALL_ACCESS,
    0,0,BUFSIZ);

关键的api函数：CreateFileMapping/OpenFileMapping/MapViewOfFile

之后通过CopyMemory的方式进行共享内存的读写。

3.dll注入：

dll注入的内容在上一篇随笔中已经有了详细的记录，此处不再赘述。

链接：https://www.cnblogs.com/Mz1-rc/p/13671844.html

4.内联汇编调用各种函数：

先通过调试器找到所有函数的地址，再通过dll去调用。

例：

#define ATTACK 0x00401014
__asm{
    mov eax,ATTACK
    call eax
}

5.将dll释放

由执行注入的线程对目标线程中的dll创建的线程传递信号，dll通过执行FreeLibraryAndExitThread()函数释放自身。

FreeLibraryAndExitThread((HMODULE)g_hModule, 0); //g_hModule与传入DllMain的第一个参数相同。

实现效果：