如何在 C# 程序中注入惡意 DLL ？

發布時間：2023-07-02 22:36:47 作者：網友整理

一：背景

前段時間在訓練營上課的時候就有朋友提到一個問題，為什么 Windbg 附加到 C# 程序后，程序就處于中斷狀態了？它到底是如何實現的？其實簡而言之就是線程的遠程注入，這一篇就展開說一下。

二：實現原理

1. 基本思路

WinDbg 在附加進程的時候，會注入一個線程到 C# 進程中，注入成功后，會執行一個DbgBreakPoint函數，其實就是int 3，這時候 CPU 就會執行 3 號中斷函數，將當前進程的所有線程進行暫停，文字不好理解的話，畫一個圖大概就是這樣。

口說無憑，接下來用上一個簡單案例演示一下。

2. 案例演示

首先寫一個簡單的 C# 程序，不斷的輸出時間和標號，代碼如下：

internal class Program
{static void Main(string[] args)
{for (int i = 0; i < 10000; i++)
{Console.WriteLine($"{DateTime.Now},i={i}");
Thread.Sleep(1000);
}}}

把程序跑起來后，使用 WinDbg 附加，你可以發現 Command 自動切換到了 8號線程，通過 k 命令可以看到最上面是一個 int 3 中斷，截圖如下：

這里就有一個想法了，既然 WinDbg 可以注入，為何我的程序就注入不得呢？既然我的程序可以注入，那就可以做一些我想做的事情。

3. 自定義注入

有了自定義注入的想法，接下來的實現步驟大概是這樣的。

注入一個線程到 C# 程序中。
讓程序加載一個 dll 文件。
在 dll 中做一些我想做的業務邏輯。

接下來新建一個 C++ 的動態鏈接庫，在 DLLMain 入口函數的 DLL_PROCESS_ATTACH事件中寫一個 printf 函數，如果在 C# 程序中輸出來了，就算成功注入了，參考代碼如下：

#include <windows.h>#include <stdio.h>BOOL APIENTRY DllMain(HMODULE hModule,Dword ul_reason_for_call,LPVOID lpReserved){switch (ul_reason_for_call)
{case DLL_PROCESS_ATTACH:
printf(" 總部，總部，我已經成功打入內部！ul_reason_for_call=%dn ", ul_reason_for_call);
break;
}return TRUE;
}

要被加載的 MyInject.dll已經構建完畢，接下來就用 Win32 API 的CreateRemoteThread實現遠程注入，但注入之前需要做三件事情。

獲取 C# 程序的進程句柄。
在 C# 進程中申請一塊內存空間，存放加載的 path 路徑。
調用 LoadLibraryW 函數在 C# 進程中實現 dll 加載。

過程有了，新建一個 C++ 控制臺程序 ConsoleApplication1.exe，整體的參考代碼如下：

#include <IOStream>#include <Windows.h>#include <stdio.h>#include <stdlib.h>#include <Tlhelp32.h>DWORD GetPid(const WCHAR* szName){HANDLE hprocessSnap = ;PROCESSENTRY32 pe32 = { 0 };
hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
pe32.dwSize = sizeof(PROCESSENTRY32);if (Process32First(hprocessSnap, &pe32))
{do {
if (!wcscmp(szName, pe32.szExeFile)) {
return (int)pe32.th32ProcessID;
}} while (Process32Next(hprocessSnap, &pe32));
}else
{CloseHandle(hprocessSnap);}return 0;
}int main{const wchar_t* path = L"D:.NET6\ConsoleApp1\x64\Debug\MyInject.dll"; //要注入的dll文件地址
//1. 獲取進程ID
DWORD procID = GetPid(L"ConsoleApp4.exe");
//2. 獲取進程句柄
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);//3. 在目標進程中開辟一塊空間
LPVOID pRemoteAdress = VirtualAllocEx(hProcess, , wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);
//4. 將 path 寫入到這塊空間中
BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, );
//5. 讓目標線程調用 LoadLibraryW 加載我們注入的 dll
HMODULE hModule = GetModuleHandle(L"kernel32.dll");
LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
HANDLE hThread = CreateRemoteThread(hProcess,,0,
(LPTHREAD_START_ROUTINE)dwLoadAddr,pRemoteAdress,,);//6. 函數執行完后，釋放這塊空間。
WaitForSingleObject(hThread, -1);
VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);
system("pause");
return 0;
}

萬事具備，接下來我們將 ConsoleApplication1.exe啟動，可以成功觀察到 ConsoleApp4.exe 上已經注入成功的輸出，截圖如下：