windows 注入 之 CreateRemoteThread

　　钩子(Hook)，是Windows消息处理机制的一个平台，应用程序可以在上面设置子程以监视指定窗口的某种消息，而且所监视的窗口可以是其他进程所创建的。当消息到达后，在目标窗口处理函数之前处理它。钩子机制允许应用程序截获处理window消息或特定事件。总感觉这是windows留下来的应用程序的后门之类的吧。

　　第一次接触这个，是刚来新公司，领导给了我一个任务，需要监听另外一个系统从串口获取的数据，之前也做过一些串口编程之类的。经过长时间的调研（google）,才知道串口是独占的，虽然CreateFile 有参数是否独占，但是windows 规定串口只能独占，所以即使你设置共享模式，也没用。这就有问题了，人家CNS系统在占用串口，我怎么用。当时查询资料说是用钩子，但是查了好久，网上大都是不是勾键盘，就是勾MessageBox。机制如我，想到了既然可以勾MessageBox ,那就一定能勾住ReadFile,这两货都是windows API 。 所以当时就这么干了。

　　网上有很多方法，有的需要更改导入表之类的，太高深了，幸好微软自己提供了专门的库叫Detours，这个东西就可以勾住任何的windows API ,大喜，经过测试之后，果然可以。不过又有了新问题，我需要注入到其他应用程序啊，怎么办，有个CreateRemoteThread这个函数可以做到，从字面意思看，就是创建一个远程线程，又喜，开始埋头找这个函数的用法之类的，当然中途也遇到了诸如提权 之类的新问题。不过Google是个好东西。不过这种方式呢需要将我们的程序封装成dll的形式，然后才能加载。

BOOL EnableDebugPrivilege();
DWORD GetTargetProcessID(const char *processExeName)
{
if(!EnableDebugPrivilege()){
printf("EnableDebugPrivilege faild\n");
}
if (processExeName == NULL) {
return 0;
}

HANDLE hSnapshot;

hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
if (INVALID_HANDLE_VALUE == hSnapshot) {
printf("%d\n", GetLastError());
return 0;
}

PROCESSENTRY32 pe;
BOOL bRet = FALSE;

pe.dwSize = sizeof (PROCESSENTRY32);
bRet = Process32First(hSnapshot, &pe);
while (bRet) {
_bstr_t b(pe.szExeFile);
const char* c = b;
if (strstr(processExeName, c)) {
return pe.th32ProcessID;
} else {
ZeroMemory(&pe, sizeof (PROCESSENTRY32));
pe.dwSize = sizeof (PROCESSENTRY32);
bRet = Process32Next(hSnapshot, &pe);
}
}

return 0;
}
BOOL  EnableDebugPrivilege()
{
HANDLE hSnap;
HANDLE hkernel32 = NULL;    //被注入进程的句柄
PROCESSENTRY32 pe;
BOOL bNext;
HANDLE hToken;
TOKEN_PRIVILEGES tp;
LUID Luid;
LPVOID p;
FARPROC pfn;
if (!OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS_P,&hToken))
{
printf("Warning:提升权限失败\n");
system("pause");
return 0;
}

if (!LookupPrivilegeValue(NULL,SE_DEBUG_NAME,&Luid))
{
printf("Warning:提升权限失败\n");
system("pause");
return 0;
}

tp.PrivilegeCount = 1;
tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
tp.Privileges[0].Luid = Luid;

if (!AdjustTokenPrivileges(hToken,0,&tp,sizeof(TOKEN_PRIVILEGES),NULL,NULL))
{
printf("Warning:提升权限失败\n");
system("pause");
return 0;
}
return 1;
}
BOOL InjectDll(const char *DllFullPath, const DWORD dwRemoteProcessId)
{
if (DllFullPath == NULL) {
return FALSE;
}
if (dwRemoteProcessId <= 0) {
return FALSE;
}
HANDLE hRemoteProcess;

hRemoteProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, dwRemoteProcessId);
if (NULL == hRemoteProcess) {
printf("Warning:OpenProcess:%d\n", GetLastError());
return FALSE;
}

char *pRemoteAddr;
int len = strlen(DllFullPath) + 1;
pRemoteAddr = (char *)VirtualAllocEx(hRemoteProcess, NULL, len, MEM_COMMIT, PAGE_READWRITE);
if (NULL == pRemoteAddr) {
printf("Warning:VirtualAllocEx:%d\n", GetLastError());
goto error;
}

if (!WriteProcessMemory(hRemoteProcess, pRemoteAddr, DllFullPath, len, NULL)) {
printf("Warning:WriteProcessMemory:%d\n", GetLastError());
goto error;
}

HMODULE hModule;
char LoadLibraryA[] = "LoadLibraryA";

hModule = GetModuleHandle("kernel32.dll");

FARPROC LoadLibraryAAddr;
LoadLibraryAAddr = GetProcAddress(hModule, LoadLibraryA);
if (NULL == LoadLibraryAAddr) {
printf("Warning:GetProcAddress:%d\n", GetLastError());
goto error;
}

HANDLE remoteThread;
remoteThread = CreateRemoteThread(hRemoteProcess, NULL, 0, (LPTHREAD_START_ROUTINE)LoadLibraryAAddr, pRemoteAddr, 0, NULL);
if (NULL == remoteThread) {
printf("Warning:CreateRemoteThread:%d\n", GetLastError());
goto error;
}

WaitForSingleObject(hRemoteProcess, INFINITE);
VirtualFreeEx(hRemoteProcess, pRemoteAddr, len, MEM_DECOMMIT);

CloseHandle(hRemoteProcess);
CloseHandle(remoteThread);
return TRUE;

error:
CloseHandle(hRemoteProcess);
return FALSE;
}

　　这样我们就可以在远程应用程序中加载我们自己的动态库，加载动态库之后，我们当然需要建立我们自己的线程之类的，让我们的服务跑起来。这个时候，就可以用到微软的库了，不过微软的库也只限于32位应用程序，对于64位应用程序听说是收费的。9999美元呐！！！哈哈 不过这就够了，幸好客户是xp系统。

// InjectDll.cpp : Defines the exported functions for the DLL application.
//

#include "stdafx.h"
#include "Detours.h"
#include <stdio.h>
#include <iostream>

#pragma comment(lib,"Detours.lib")

//修改MessageBoxW 的响应函数
static   int  (WINAPI *  OLD_MessageBoxW)(HWND hWnd,LPCWSTR lpText,LPCWSTR lpCaption,UINT uType)  =  MessageBoxW;
int  WINAPI NEW_MessageBoxW(HWND hWnd,LPCWSTR lpText,LPCWSTR lpCaption,UINT uType)
{
// 修改输入参数，调用原函数
int  ret  =  OLD_MessageBoxW(hWnd,L" 输入参数已修改 " ,L" [测试] " ,uType);
return  ret;
}

//修改MessageBoxA的响应函数
static   int  (WINAPI *  OLD_MessageBoxA)( __in_opt HWND hWnd,
__in_opt LPCSTR lpText,
__in_opt LPCSTR lpCaption,
__in UINT uType)  =  MessageBoxA;
int WINAPI NEW_MessageBoxA(HWND hWnd,LPCWSTR lpText,LPCWSTR lpCaption,UINT uType)
{
int  ret  =  OLD_MessageBoxA(hWnd," 输入参数已修改 " ," [测试] " ,uType);
return ret;
}

VOID Hook()
{
DetourRestoreAfterWith();
DetourTransactionBegin();
DetourUpdateThread(GetCurrentThread());

// 这里可以连续多次调用DetourAttach，表明HOOK多个函数
DetourAttach( & (PVOID & )OLD_MessageBoxA,NEW_MessageBoxA);
DetourAttach( & (PVOID & )OLD_MessageBoxW,NEW_MessageBoxW);

DetourTransactionCommit();
}

VOID UnHook()
{
DetourTransactionBegin();
DetourUpdateThread(GetCurrentThread());

// 这里可以连续多次调用DetourDetach,表明撤销多个函数HOOK
DetourDetach( & (PVOID & )OLD_MessageBoxA,NEW_MessageBoxA);
DetourDetach( & (PVOID & )OLD_MessageBoxW,NEW_MessageBoxW);

DetourTransactionCommit();

}

　　之前勾ReadFile的程序没找见，不过都一样了。不过需要注意的一点就是，当接收到数据之后，需要立马吧数据保存起来，然后马上返回，不可做太多逻辑，因为会影响第三方应用程序。之后，就可以在我们自己的线程里处理这些数据了。为了达到我的目的，当我是在线程里创建里socket 服务器，当有客户端连接进来，就把数据传出去。虽然这样做也不是很好，但是时间也比较紧，就这样做了。考虑到性能问题，千万不能把原程序给人家崩溃了。这个程序跑了整整两天，监听串口数据，居然正常运行了两天。不过呢，任务也算完成了。哈哈哈。又掌握了一种新的软件运行方式。给自己点个赞！！

　　最近64位的Detour 居然也被我找见了。win7 64位也测试成功！！！