c++ - CreateRemoteThread() 成功但不执行任何操作

Question

我正在尝试使用 CreateRemoteThread() 将 dll(在 dll_path[] 中找到并且它是正确路径)注入(inject)目标进程。不幸的是，完全没有任何反应(预期结果是 DLL_PROCESS_ATTACH 调用 MessageBox() 导致窗口弹出)。当与远程注入(inject)器一起使用时，它正常工作。

您可以将每个 what() 调用视为 GetLastError() 和 assert(0)。保证变量 PID 将包含正确的进程 ID(我测试过很多次)。此外，您在下面的代码中看到的所有函数调用都没有失败。有趣的是，在我将它从 C 重写为更像 C++ 的代码之前，它运行良好，您可以在下面看到。我在没有任何警告的情况下编译了下面的代码和 dll 代码。我想知道我在哪里弄错了。这是我的代码:

int main() {

    const WCHAR dll_path[] = L"C:\\myDLL.dll";

    const std::wstring process_name = L"target.exe";

    const DWORD PID = get_PID(process_name);

    if (!PID)
        what();

    HANDLE process = OpenProcess(PROCESS_ALL_ACCESS, false, PID);
    if (!process)
        what();

    FARPROC lib = GetProcAddress(GetModuleHandle(L"kernel32.dll"), "LoadLibraryA");
    if (!lib)
        what();

    LPVOID base = (LPVOID)VirtualAllocEx(process, 0, wcslen(dll_path), MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    if (!base)
        what();

    BOOL good = WriteProcessMemory(process, base, dll_path, wcslen(dll_path), 0);
    if (!good)
        what();

    HANDLE thread = CreateRemoteThread(process, 0, 0, reinterpret_cast<LPTHREAD_START_ROUTINE>(lib), base, 0, 0);
    if (!thread)
        what();    

    if (thread) {
        std::cout << "Remote thread successfully created." << std::endl;
        std::cout << "process ID = " << PID << std::endl;
    }

#if 1
    CloseHandle(thread);
    CloseHandle(process);
#endif

    return 0;
}

Answer 1

正如@adelphus 所说，当您应该使用 LoadLibraryW() 时，您却在使用 LoadLibraryA()。

更重要的是，您没有在远程进程中分配足够的内存来保存您的宽 DLL 路径字符串。 VirtualAllocEx() 和 WriteProcessMemory() 对字节而非字符进行操作。并且您需要确保分配 AND 也复制字符串的空终止符。所以你需要使用(wcslen(dll_path) + 1) * sizeof(WCHAR)，或者你可以使用sizeof(dll_path)，因为它是一个静态数组。

现在，话虽如此，由于远程线程过程是 LoadLibrary() 本身，线程的退出代码将是 LoadLibrary() 的返回值。如果CreateRemoteThread()成功，可以调用WaitForSingleObject()等待线程终止，然后调用GetExitCodeThread()获取LoadLibrary() 的返回值。如果为 0，则 LoadLibrary() 失败，即使线程本身已成功。

int main() {

    const WCHAR dll_path[] = L"C:\\myDLL.dll";    
    const int dll_path_size = (wcslen(dll_path) + 1) * sizeof(WCHAR); // or sizeof(dll_path);

    const std::wstring process_name = L"target.exe";

    const DWORD PID = get_PID(process_name);    
    if (!PID)
        what();

    HANDLE process = OpenProcess(PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ, FALSE, PID);
    if (!process)
        what();

    FARPROC lib = GetProcAddress(GetModuleHandle(L"kernel32.dll"), "LoadLibraryW");
    if (!lib)
        what();

    LPVOID base = VirtualAllocEx(process, 0, dll_path_size, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
    if (!base)
        what();

    BOOL good = WriteProcessMemory(process, base, dll_path, dll_path_size, 0);
    if (!good)
        what();

    HANDLE thread = CreateRemoteThread(process, 0, 0, reinterpret_cast<LPTHREAD_START_ROUTINE>(lib), base, 0, 0);
    if (!thread)
        what();    

    std::cout << "Remote thread successfully created." << std::endl;
    std::cout << "process ID = " << PID << std::endl;

    WaitForSingleObject(thread, INFINITE);

    DWORD exitCode = 0;
    GetExitCodeThread(thread, &exitCode);

    if (exitCode != 0)
        std::cout << "DLL loaded successfully." << std::endl;
    else
        std::cout << "DLL load failed." << std::endl;

    #if 1
    CloseHandle(thread);
    CloseHandle(process);
    #endif

    return 0;
}

不幸的是，您将无法发现 LoadLibrary() 失败的原因，除非您更改远程线程逻辑以注入(inject)调用 LoadLibrary() 的整个函数并且GetLastError() 一起，然后从 GetLastError() 返回值。 GetLastError() 的值存储在线程本地存储中。一个线程无法读取另一个线程的错误代码(除非您深入操作系统的内部并直接读取远程线程的 TIB 结构)。

最后，一定要考虑目标进程是 32 位还是 64 位。您不能将 32 位 DLL 注入(inject) 64 位进程，反之亦然。