如何在 C# 程式中注入惡意 DLL?

一：背景

前段時間在訓練營上課的時候就有朋友提到一個問題，為什麼 Windbg 附加到 C# 程式後，程式就處於中斷狀態了？它到底是如何實現的？其實簡而言之就是執行緒的遠端注入，這一篇就展開說一下。

二：實現原理

1. 基本思路

WinDbg 在附加程序的時候，會注入一個執行緒到 C# 程序 中，注入成功後，會執行一個 DbgBreakPoint() 函數，其實就是 int 3 ，這時候 CPU 就會執行 3 號中斷函數，將當前程序的所有執行緒進行暫停，文字不好理解的話，畫一個圖大概就是這樣。

口說無憑，接下來用上一個簡單案例演示一下。

2. 案例演示

首先寫一個簡單的 C# 程式，不斷的輸出時間和標號，程式碼如下：


    internal class Program
    {
        static void Main(string[] args)
        {
            for (int i = 0; i < 10000; i++)
            {
                Console.WriteLine($"{DateTime.Now},i={i}");
                Thread.Sleep(1000);
            }
        }
    }

把程式跑起來後，使用 WinDbg 附加，你可以發現 Command 自動切換到了 8 號執行緒，通過 k 命令可以看到最上面是一個 int 3 中斷，截圖如下：

這裡就有一個想法了，既然 WinDbg 可以注入，為何我的程式就注入不得呢？既然我的程式可以注入，那就可以做一些我想做的事情。

3. 自定義注入

有了自定義注入的想法，接下來的實現步驟大概是這樣的。

注入一個執行緒到 C# 程式中。
讓程式載入一個 dll 檔案。
在 dll 中做一些我想做的業務邏輯。

接下來新建一個 C++ 的動態連結庫，在 DLLMain 入口函數的 DLL_PROCESS_ATTACH 事件中寫一個 printf 函數，如果在 C# 程式中輸出來了，就算成功注入了，參考程式碼如下：


#include <Windows.h>
#include <stdio.h>

BOOL APIENTRY DllMain(HMODULE hModule,
	DWORD  ul_reason_for_call,
	LPVOID lpReserved
)
{
	switch (ul_reason_for_call)
	{
	case DLL_PROCESS_ATTACH:
		printf(" 總部，總部，我已經成功打入內部！ ul_reason_for_call=%d\n ", ul_reason_for_call);
		break;
	}
	return TRUE;
}

要被載入的 MyInject.dll 已經構建完畢，接下來就用 Win32 API 的 CreateRemoteThread() 實現遠端注入，但注入之前需要做三件事情。

獲取 C# 程式的程序控制程式碼。
在 C# 程序中申請一塊記憶體空間，存放載入的 path 路徑。
呼叫 LoadLibraryW 函數在 C# 程序中實現 dll 載入。

過程有了，新建一個 C++ 控制檯程式 ConsoleApplication1.exe，整體的參考程式碼如下：



#include <iostream>
#include <Windows.h>
#include <stdio.h>
#include <stdlib.h>
#include <Tlhelp32.h>

DWORD GetPid(const WCHAR* szName)
{
	HANDLE hprocessSnap = NULL;

	PROCESSENTRY32 pe32 = { 0 };

	hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

	pe32.dwSize = sizeof(PROCESSENTRY32);

	if (Process32First(hprocessSnap, &pe32))
	{
		do {
			if (!wcscmp(szName, pe32.szExeFile)) {
				return (int)pe32.th32ProcessID;
			}
		} while (Process32Next(hprocessSnap, &pe32));
	}
	else
	{
		CloseHandle(hprocessSnap);
	}
	return 0;
}

int main()
{
	const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll檔案地址

	//1. 獲取程序ID
	DWORD  procID = GetPid(L"ConsoleApp4.exe");

	//2. 獲取程序控制程式碼
	HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);

	//3. 在目標程序中開闢一塊空間
	LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);

	//4. 將 path 寫入到這塊空間中
	BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);

	//5. 讓目標執行緒呼叫 LoadLibraryW 載入我們注入的 dll
	HMODULE hModule = GetModuleHandle(L"kernel32.dll");
	LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
	HANDLE hThread = CreateRemoteThread(
		hProcess,
		NULL,
		0,
		(LPTHREAD_START_ROUTINE)dwLoadAddr,
		pRemoteAdress,
		NULL,
		NULL
	);

	//6. 函數執行完後，釋放這塊空間。
	WaitForSingleObject(hThread, -1);
	VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);

	system("pause");
	return 0;
}

萬事具備，接下來我們將 ConsoleApplication1.exe 啟動，可以成功觀察到 ConsoleApp4.exe 上已經注入成功的輸出，截圖如下：

三：總結

這就是對 WinDbg 實現注入攔截的一個衍生知識，整體思路還是很明朗的，當然有注入，就有反注入，比如下面兩條策略。

設定程序的保護屬性。
遮蔽或者混淆 Win32 的 LoadLibraryW 函數。

等等各種反注入策略，當然這不是我所關心的，畢竟我只專注 .NET高階偵錯 ！