DLL Injection von Memory in anderen Prozess

[snapseep]

Hallo Zacherl und brechi!

Vielen Dank für euren Input.

Leider bin ich nun etwas verwirrt, da sich eure Antworten dermaßen unterscheiden in Sachen Aufwand und Angehensweise.

Die Vorgehensweise von dir Zacherl ist, wie du ja selbst schreibst "den Aufwand nicht wert", da ich mich wahrscheinlich einige Wochen mit dem Thema beschäftigen müsste um einen Einblick in die Thematik zu bekommen.

Sollte ich jedoch wirklich nur VirtualAlloc durch VirtualAllocEx austauschen müssen, wie von brechi beschrieben, werde ich dies wohl tun.

Danke auch nochmal an brechi für den Link zur uallCollection. Jedoch möchte ich ja eine DLL in den Zielprozess befördern und keine Exe.

Edit:



Wäre diese Vorgehensweise bei VirtualAllocEx korrekt:

1. Mit OpenProcess (PROCESS_VM_OPERATION) Handle im Zielprozess erlangen
2. VirtualAllocEx mit Zielhandle ausführen
3. Durch CreateRemoteThread injectete DLL "starten"

?

[Zacherl]

Zitat von snapseep:

Sollte ich jedoch wirklich nur VirtualAlloc durch VirtualAllocEx austauschen müssen, wie von brechi beschrieben, werde ich dies wohl tun.

Damit ist es ja nicht getan. Du musst auch alle direkten Speicherzugriffe (z.b. beim Anwenden der Relocations, etc) durch ReadProcessMemory/WriteProcessMemory ersetzen (oder du nimmst halt NtMapViewOfSection; damit kannst du den selben Speicherbereich gleichzeitig in deinen eigenen und in den Zielprozess mappen).

IAT auflösen und DllMain ausführen dann per CreateRemoteThread.

[brechi]

Du kannst auch die InjectMe Funktion anpassen:

bei
ReadFile(iFileHandle, pFileMem^, dwFileSize, dwRead, nil);
wird in pFileMem die Datei eingelesen, das kann dein Pointer auf den Speicherbereich der dll sein.

Innerhalb der Funktion die du bei "pDllMain" angibst, solltest du aber auch nur Funktionen verwenden die bereits im Prozess geladen wurden (und da wohl nur von der kernel32.dll)

uallKernel.CreateImportTable müsste sonst noch angepasst werden, da dort die lokalen Adressen verwendet werden und nicht die vom Zielprozess.

Achja: eine dll ist ja nichts anderes als ne exe, d.h. du kannst deine Funktionen in die eigene Exe einbauen und dann di eigene exe in den Zielprozess laden, aber mit einem anderen EntryPoint.

[snapseep]

Habe leider vergeblich den gestrigen Abend damit verbracht BTMemoryModule umzuschreiben mit VirtualAllocEx und den von Zacherl genannten Änderungen (wpm, createremotethread,... ).

Die Herangehensweise die Exe zu injecten finde ich sehr interessant.

Habe mir daszu mal den passenden Text aus der msdn Hilfe kopiert:

Zitat von msdn:

The name of the module. This can be either a library module (a .dll file) or an executable module (an .exe file). .

Anschließend habe ich eine kleine simpleexe.exe erstellt, die ich in IrfanView injected habe.

Das hat auch soweit geklappt:



Nur weiß ich jetzt noch nicht so recht, wie ich beispielsweise direkt Code beim injecten der Exe im Zielprozess ausführen kann.

Sofern man eine Dll injected wird automatisch DllMain ausgeführt.

Bei der Injection gehe ich folgendermaßen vor:

Delphi-Quellcode:

function InjectExe(const pid: DWORD; exedir: PWideChar): Boolean;
var
  dwThreadID: Cardinal;
  hProc, hKernel: THandle;
  BytesToWrite, BytesWritten: SIZE_T;
  pRemoteBuffer, pLoadLibrary: Pointer;
  hThread: THandle;

begin
  Result := True;

  hProc := OpenProcess(PROCESS_CREATE_THREAD or PROCESS_QUERY_INFORMATION or
    PROCESS_VM_OPERATION or PROCESS_VM_WRITE or PROCESS_VM_READ, False, pid);

  if hProc = 0 then
    Exit(False);

  try
    BytesToWrite := SizeOf(WideChar) * (Length(exedir) + 1);
    pRemoteBuffer := VirtualAllocEx(hProc, nil, BytesToWrite, MEM_COMMIT,
      PAGE_READWRITE);

    if pRemoteBuffer = nil then
      Exit(False);

    try
      if not WriteProcessMemory(hProc, pRemoteBuffer, exedir, BytesToWrite, BytesWritten) then
        Exit(False);

      hKernel := GetModuleHandleW('kernel32.dll');
      pLoadLibrary := GetProcAddress(hKernel, 'LoadLibraryW');

      hThread := CreateRemoteThread(hProc, nil, 0, pLoadLibrary, pRemoteBuffer, 0, dwThreadID);

      try
        WaitForSingleObject(hThread, INFINITE);
      finally
        CloseHandle(hThread);
      end;

    finally
      VirtualFreeEx(hProc, pRemoteBuffer, 0, MEM_RELEASE);
    end;

  finally
    CloseHandle(hProc);
  end;

end;

Gibt es eine Möglichkeit Code direkt beim Injecten der Exe auf diese Weise auszuführen?

[Zacherl]

Ja, du musst per CreateRemoteThread die DllMain ausführen. Das Offset dazu findest du in den ImageNtHeaders unter dem Namen EntryPoint. Prototyp ist folgender:
https://msdn.microsoft.com/en-us/lib...=vs.85%29.aspx

Beim Laden nimmst du DLL_PROCESS_ATTACH als fdwReason und beim Entladen DLL_PROCESS_DETACH. Korrekterweise müsste man auch noch DLL_THREAD_ATTACH und DLL_THREAD_DETACH implementieren (ist zumindest bei manchen DLLs erforderlich, die manuell TLS benutzen), aber dazu benötigt man entweder Hooks in der DLL selbst oder eine zweite "normal" geladene DLL, mit der man die Events weiterleiten kann. Dürfte in den meisten Fällen allerdings nicht nötig sein, also probier es ruhig erstmal ohne.

Brechis Code sollte ja irgendwo auch die WinMain (ebenfalls über das EntryPoint Feld referenziert) ausführen (welche allerdings einen anderen Prototypen hat!). Die Stelle änderst du so um, dass sie der DllMain mit passendem Parameter entspricht.

[snapseep]

Alles klar mit den Informationen kann man arbeiten

Werde mich mal die Woche hier dran machen und schauen, ob ich es zu laufen bekomme.

Danke nochmal.

[jus]

Hallo,

die Frage ist zwar einbiszchen offtopic, aber als jemand, der noch nie DLL Injection verwendet hat, was kann man eigentlich mit DLL Injection machen, was man so nicht machen kann? Sprich für was ist eigentlich DLL Injection? Vielleicht kann jemand paar Beispiele aufzählen.

Lg,
jus