xinxi 发表于 2015-2-14 07:45:41

驱动注入DLL-高手搞烂的东西 菜鸟拿来学习

本帖最后由 xinxi 于 2015-2-14 08:11 编辑

驱动注入DLL-高手搞烂的东西 菜鸟拿来学习
DLL 注入 这个话题 我共发表过 2 个帖子

HOOK ntdll.memmove
http://www.wghai.net/thread-4402-1-1.html

驱动保护下的注入
http://www.wghai.net/thread-4403-1-1.html

今天在发一个 驱动注入 （高手玩烂的技术 菜鸟拿来学习 学习）

原理如下

SSDK HOOKNtCreateThread （本想带个反汇编引擎 来个 深度 inline hook 无奈水品不够 便放弃了 ）

关于 NtCreateThread 的详细资料 请查询百度（无论是准确性 还是完整性 都比我说的要好）

进程在建立过程中 会调用 NtCreateThread 而 这个时候 新建立的进程 其实已经初始化完毕了 它唯一欠缺的是没有主线程

我们在这个时候将他拦截下来使用 ZwAllocateVirtualMemory 为它分配一块内存 通过 KeStackAttachProcess 切换上下文 把我们的shellcode

代码 RtlCopyMemory到 刚分配的空间 修改 Context 结构中 要执行的地址大致过程就是这样

这里拿注入DLL来做应用 其实可以做很多事情 在进程执行入口地址前 先执行了我们的 shellcode当然可以做其他事情 比如......

效果图


非常简陋的 shellcode 代码


驱动调用 直接呼叫 NtCreateThread   

第一个参数为 注入DLL字符串指证
第2个参数为   注入DLL字符串长度
第3个参数为当前APILoadLibraryA 地址
最后一个参数为 100 其他全是0








45383469 发表于 2015-2-14 08:05:29

发发呆，回回帖，工作结束~

wuyudp 发表于 2015-3-9 03:45:45

佩服佩服！

hjwgjd 发表于 2015-3-22 20:50:21

纯粹路过，没任何兴趣，仅仅是看在老用户份上回复一下

q8634421 发表于 2015-3-23 02:44:58

强烈支持楼主ing……新手学习

zhuzhuli 发表于 2015-3-23 14:48:51

我擦！我要沙发！

梦幻岛主 发表于 2015-4-15 14:51:45

谢谢楼主分享,支持 海论坛

神马都是白日梦 发表于 2015-5-9 02:10:24

先感谢下，楼主辛苦了！来看看一下

古凝明 发表于 2015-6-5 02:16:09

好吧真的太谢谢

Sin6888 发表于 2015-6-5 02:31:57

支持楼主,绝对顶你...谢谢！
页: [1] 2
查看完整版本: 驱动注入DLL-高手搞烂的东西 菜鸟拿来学习