1.先写个我们要调用的函数
#include<iostream>
using namespace std;
void test(int a, int& b)
{
cout << a << b << endl;
b = a + b;
}
void main()
{
int a = 2;
int b=0;
test(a, b);
cout << b << endl;
system("pause");
}
这个我们写了一个很简单的函数，一个main函数和test函数。我们后面要通过动态注入dll调用这个test函数。
我们先运行一下。看看结果
20 2 请按任意键继续. . .
输入这个，看了没有任何问题。
2.写一个简单的dll
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH: {
MessageBox(GetForegroundWindow(), L"测试", L"成功注入", 1);
}
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
我们在vs2019创建一个dll文件，在DLL_PROCESS_ATTACH下面加一行语句。
MessageBox(GetForegroundWindow(), L"测试", L"成功注入", 1);
这个是用来测试我们后面注入dll弹出的窗口。
3.写注入程序
#include<windows.h>
#include"tchar.h"
#include<stdio.h>
int get_id(LPCTSTR name) {
HWND hWnd = FindWindow(NULL,name);
if (hWnd == NULL){//如果无法获取句柄则报错
printf("无法获取窗口句柄,请检查进程是否存在!\n");
system("pause");
return -1;
}
DWORD pro_id;
GetWindowThreadProcessId(hWnd, &pro_id);//获取进程ID
if(pro_id == 0){
printf("无法获取进程ID\n");
system("pause");
return 0;
}
printf("进程id: %d\n",pro_id);
//打开进程对象，并获取进程句柄
/*ANDLE hpro = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ, FALSE, pro_id);
if (hpro == 0){
printf("无法获取进程句柄");
}
printf("进程句柄id: %d\n",hpro); */
return (int)pro_id;
}
BOOL InjectDll(LPCTSTR szDllPath, LPCTSTR name)
{
DWORD dwPID = (DWORD)get_id(name);
HANDLE hProcess = NULL, hThread = NULL;
HMODULE hMod = NULL;
LPVOID pRemoteBuf = NULL;
DWORD dwBufSize = (DWORD)(_tcslen(szDllPath) + 1) * sizeof(TCHAR);
LPTHREAD_START_ROUTINE pThreadProc;
//1.使用dwPID获取目标进程句柄
if (!(hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwPID))) {
_tprintf(L"OpenProcess(%d) failed!![%d]\n", dwPID, GetLastError());
return FALSE;
}
//2.在目标进程中分配szDllName大小的内存
pRemoteBuf = VirtualAllocEx(hProcess, NULL, dwBufSize , MEM_COMMIT, PAGE_READWRITE);
//3.将myhack.dll路径写入分配的内存。
WriteProcessMemory(hProcess, pRemoteBuf, (LPVOID)szDllPath, dwBufSize, NULL);
//4.获取LoadLibrary（）API的地址
hMod = GetModuleHandle(L"kernel32.dll");
pThreadProc = (LPTHREAD_START_ROUTINE)GetProcAddress(hMod, "LoadLibraryW");
//5.在notepad中运行线程.
hThread = CreateRemoteThread(hProcess, NULL, 0, pThreadProc, pRemoteBuf, 0, NULL);
WaitForSingleObject(hThread, INFINITE);
//CloseHandle(hThread);
//CloseHandle(hProcess);
return TRUE;
}
int _tmain(int argc, TCHAR *argv[])
{
//injectdll
if (InjectDll(argv[1],argv[2]))
_tprintf(L"InjectDll(\"%s\") sucess!!!\n", argv[2]);
//MessageBox(NULL, TEXT("1"), TEXT("warn"), 0);
else
_tprintf(L"InjectDll(\"%s\") failed!!!\n", argv[2]);
//MessageBox(NULL, TEXT("2"), TEXT("warn"), 0);
}
这个程序的话，我是直接从网上拿的，拿过来改了一点，打包成exe，通过命令行进行调用。
4.测试注入
注入.exe 注入dll.dll test.exe
在命令行里面就这样进行调用。这个test.exe就是你程序的名字，你可以用vs2019的spy+=进行查看，就是你的程序标题
调用成功的话，会自动弹出这个。
5.完善dll程序
我们的目标是在dll调用到test.exe的test函数，这个dll还没有达到我们的目标，我们还需要继续完善。
我们想调用test函数，就必须知道这个函数在内存的地址，但是每次重启电脑，地址都是变化的。我们需要找到基址。这里我们改一下dll，让他输出程序的基址
switch (ul_reason_for_call)
{
case DLL_PROCESS_ATTACH: {
MessageBox(GetForegroundWindow(), L"测试", L"成功注入", 1);
HMODULE hModule = GetModuleHandle(NULL);
WCHAR wszhModule[MAX_PATH] = {0};
swprintf_s(wszhModule, L"DLL里调用GetModuleHandle(NULL)获取到的地址为:0x%x", \
(DWORD)hModule);
MessageBoxW(0, wszhModule, L"提示", 0);
}
case DLL_THREAD_ATTACH:
case DLL_THREAD_DETACH:
case DLL_PROCESS_DETACH:
break;
}
我们重新生成，再次注入试试。
记住这个地址，后面我们需要这个地址。
我们打开x64dbg来进行调试。我们把生成的test.exe进行调试。这个自己写的代码找起来还是比较容易的
007919CF | C745 F4 02000000 | mov dword ptr ss:[ebp-C],2 |将2推入栈中 007919D6 | C745 E8 00000000 | mov dword ptr ss:[ebp-18],0 |将0推到栈中 007919DD | 8D45 E8 | lea eax,dword ptr ss:[ebp-18] |将0的地址放到eax里面 007919E0 | 50 | push eax |将eax推入栈中 007919E1 | 8B4D F4 | mov ecx,dword ptr ss:[ebp-C] |将2给ecx 007919E4 | 51 | push ecx |将ecx推入栈中 007919E5 | E8 F2F6FFFF | call test.7910DC |这个就是test的call 007919EA | 83C4 08 | add esp,8 |还原堆栈
我们可以找到这个代码，我们找到call的地址7910dc。和之前的0x780000相减得到偏移0x110DC。有了这个偏移，我们后面就可以直接调用这个call了。
接下来，我们写一个函数
void zhu(DWORD baseaddr) {
DWORD dwCallAddr = baseaddr + (DWORD)0x110DC;
printf("%x\n", (int)dwCallAddr);
int a = 2;
int& r = a;
__asm {
push r
push a
call dwCallAddr
add esp,8
}
printf("%d", r);
}
这个函数很简单，里面内嵌的汇编代码，用来调用test的call，首先我们申明一个a=2，和一个引用类型r。先push r，在push a。这个可以和上面拿到的汇编进行对比，这个是按照c语言的调用约定来的，这个push的顺序是不能变的哈，后面直接调用call。后面用add esp，8来还原堆栈。不然会报错。接下来就将zhu函数放到DLL_PROCESS_ATTACH下面进行调用
6.进行测试
将dll和注入exe，以及测试程序都放到同一个文件夹，dll和测试程序一定要同一个文件夹哦，然后打开cmd，输入命令。开始测试。不出意外的话，应该会弹出两个窗口，一个是注入成功窗口，一个是输出基址的窗口。接着输出结果也会变
20 2 请按任意键继续. . . 7910dc 22 4
会变成这样，可以看到我们顺利调用了这个test的test函数
