在C#程序中注入恶意DLL的方法详解

目录

一、背景二、实现原理

1. 基本思路2. 案例演示3. 自定义注入

三：总结

一、背景

前段时间在训练营上课的时候就有朋友提到一个问题，为什么 Windbg 附加到 C# 程序后，程序就处于中断状态了？它到底是如何实现的？其实简而言之就是线程的远程注入，这一篇就展开说一下。

二、实现原理


1. 基本思路

WinDbg 在附加进程的时候，会注入一个线程到 C# 进程 中，注入成功后，会执行一个 DbgBreakPoint() 函数，其实就是 int 3 ，这时候 CPU 就会执行 3 号中断函数，将当前进程的所有线程进行暂停，文字不好理解的话，画一个图大概就是这样。

口说无凭，接下来用上一个简单案例演示一下。

2. 案例演示

首先写一个简单的 C# 程序，不断的输出时间和标号，代码如下：
internalclassProgram
{
staticvoidMain(string[]args)
{
for(inti=0;i<10000;i++)
{
Console.WriteLine($"{DateTime.Now},i=i}");
Thread.Sleep(1000);
}
}
}把程序跑起来后，使用 WinDbg 附加，你可以发现 Command 自动切换到了 8 号线程，通过 k 命令可以看到最上面是一个 int 3 中断，截图如下：

这里就有一个想法了，既然 WinDbg 可以注入，为何我的程序就注入不得呢？既然我的程序可以注入，那就可以做一些我想做的事情。

3. 自定义注入

有了自定义注入的想法，接下来的实现步骤大概是这样的。

注入一个线程到 C# 程序中。让程序加载一个 dll 文件。在 dll 中做一些我想做的业务逻辑。

接下来新建一个 C++ 的动态链接库，在 DLLMain 入口函数的  DLL_PROCESS_ATTACH 事件中写一个 printf 函数，如果在 C# 程序中输出来了，就算成功注入了，参考代码如下：
#include<Windows.h>
#include<stdio.h>

BOOLAPIENTRYDllMain(HMODULEhModule,
DWORDul_reason_for_call,
LPVOIDlpReserved
)
{
switch(ul_reason_for_call)
{
caseDLL_PROCESS_ATTACH:
printf("总部，总部，我已经成功打入内部！ul_reason_for_call=%d\n ",ul_reason_for_call);
break;
}
returnTRUE;
}
要被加载的 MyInject.dll 已经构建完毕，接下来就用 Win32 API 的 CreateRemoteThread() 实现远程注入，但注入之前需要做三件事情。

获取 C# 程序的 进程句柄。在 C# 进程中申请一块内存空间，存放加载的 path 路径。调用 LoadLibraryW 函数在 C# 进程中实现 dll 加载。

过程有了，新建一个 C++ 控制台程序 ConsoleApplication1.exe， 整体的参考代码如下：
#include<iostream>
#include<Windows.h>
#include<stdio.h>
#include<stdlib.h>
#include<Tlhelp32.h>

DWORDGetPid(constWCHAR*szName)
{
HANDLEhprocessSnap=NULL;

PROCESSENTRY32pe32={0};

hprocessSnap=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);

pe32.dwSize=sizeof(PROCESSENTRY32);

if(Process32First(hprocessSnap,&pe32))
{
do{
if(!wcscmp(szName,pe32.szExeFile)){
return(int)pe32.th32ProcessID;
}
}while(Process32Next(hprocessSnap,&pe32));
}
else
{
CloseHandle(hprocessSnap);
}
return0;
}

intmain()
{
constwchar_t*path=L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll";//要注入的dll文件地址

//1.获取进程ID
DWORDprocID=GetPid(L"ConsoleApp4.exe");

//2.获取进程句柄
HANDLEhProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,procID);

//3.在目标进程中开辟一块空间
LPVOIDpRemoteAdress=VirtualAllocEx(hProcess,NULL,wcslen(path)*2,MEM_COMMIT,PAGE_READWRITE);

//4.将path写入到这块空间中
BOOLbRet=WriteProcessMemory(hProcess,pRemoteAdress,path,wcslen(path)*2,NULL);

//5.让目标线程调用LoadLibraryW加载我们注入的dll
HMODULEhModule=GetModuleHandle(L"kernel32.dll");
LPTHREAD_START_ROUTINEdwLoadAddr=(LPTHREAD_START_ROUTINE)GetProcAddress(hModule,"LoadLibraryW");
HANDLEhThread=CreateRemoteThread(
hProcess,
NULL,
0,
(LPTHREAD_START_ROUTINE)dwLoadAddr,
pRemoteAdress,
NULL,
NULL
);

//6. 函数执行完后，释放这块空间。
WaitForSingleObject(hThread,-1);
VirtualFreeEx(hProcess,pRemoteAdress,1,MEM_DECOMMIT);

system("pause");
return0;
}万事具备，接下来我们将 ConsoleApplication1.exe 启动，可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出，截图如下：

三：总结

这就是对 WinDbg 实现注入拦截的一个衍生知识，整体思路还是很明朗的，当然有注入，就有反注入，比如下面两条策略。
设置进程的保护属性。
屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。
以上就是在C#程序中注入恶意DLL的方法详解的详细内容，更多关于C#注入恶意DLL的资料请关注中国红客联盟其它相关文章！

谢了