云游戏的键鼠捕捉用到了 Hook 这个技术,就顺便翻了一下核心编程,写下来备忘。
使用注册表注入
- x32 :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
- x64 :
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Windows
这个位置下 AppInit_DLLs
和 LoadAppInit_DLLs
。 将后者置为 1,然后在前者的值输入待注入 DLL 名称(多个 DLL 用 Space
分隔,第一个可以带路径,后边的不行)。
- 优点:方法简单
- 缺点:只有引用了 User32.dll 的才会被注入,而且被注入进程一启动就会注入,结束才会反注入,注入周期不可控
使用 Windows Hook 注入
核心方法:
SetWindowsHookEx
UnhookWindowsHookEx
设置挂钩的时候,可以指定挂钩类型、线程 ID 、回调方法、DLL 句柄。这些已经可以准确的注入到一个进程中了。通过 Set、Unhook 两个方法可以准确的控制注入周期。
- 优点:准确的控制注入周期
- 缺点:依赖消息循环,没消息循环的线程没法注入
远程线程注入(大杀器)
核心方法:
CreateRemoteThread
VirtualAllocEx
VirtualFreeEx
ReadProcessMemory
WriteProcessMemory
可以用 CreateRemoteThread
在指定进程中创建一个线程,让它执行我们自己的代码,这样可以让远程线程 Load 一个我们自己的 DLL,这就可以为所欲为了……需要注意的是,CreateRemoteThread
的参数 PTHREAD_START_ROUTINE
这个函数地址,需要调用 GetProcAddress
。如果直接传函数地址,是本进程的……显然是不对的。
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
而函数参数也要使用 VirtualAllocEx
来分配内存,然后 WriteProcessMemory
写入。这才是远程进程可以获取的。
- 优点:可以为所欲为
- 缺点:写起来有点复杂
同名 DLL 替换
如果已知一个程序必然载入一个 DLL ,则可以做一个同名 DLL 然后将方法跟原 DLL 保持一致,在方法调用中间做点其他手脚。这种如果程序校验 DLL ,就没戏。或者直接修改程序的 EXE 的导入段,这就要求对 PE 结构非常熟悉。
作为调试器注入
核心编程没说的太细,看起来要写 CPU 代码,没太细看。感觉也挺复杂,不太实用。
修改子进程的主线程开始位置代码
如果要注入的进程是子进程,可以创建它的时候挂起它,然后从 exe 模块中拿到子进程的主线程起始地址,把这里记下来,之后改成执行自己的代码,这个时候恢复子进程主线程,就可以执行自己的代码了,然后再把之前保存的执行一波。看起来也挺复杂,核心编程也没给具体例子。
API 拦截
第一种:把要拦截的 API 起始位置的几个字节保存起来,然后将此位置改写为 CPU 的 JUMP 指令,跳转到自己的方法。不过这种方法非常危险,不建议用。
第二种:修改模块导入段拦截 API
核心方法:
ImageDirectoryEntryToData
WriteProcessMemory
VirtualProtect
获取到模块的导入段信息,之后查找到指定方法,用自己的方法替换原来的方法。如果 WriteProcessMemory
失败,就用 VirtualProtect
修改一下页面保护属性。