远程注入DLL方法有很多种，也是很多木马病毒所使用的隐藏进程的方法，因为通过程序加载的DLL在进程管理器是没有显示的．这里介绍一种用 CreateRemoteThread 远程建立线程的方式注入DLL．
首先，我们要提升自己的权限，因为远程注入必不可免的要访问到目标进程的内存空间，如果没有足够的系统权限，将无法作任何事．下面是这个函数是用来提升我们想要的权限用的．
function EnableDebugPriv: Boolean;
var
hToken: THandle;
tp: TTokenPrivileges;
rl: Cardinal;
begin
Result := false;
//打开进程令牌环
OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES or TOKEN_QUERY,
hToken);
//获得进程本地唯一ID
if LookupPrivilegeValue(nil, 'SeDebugPrivilege', tp.Privileges[0].Luid) then
begin
tp.PrivilegeCount := 1;
tp.Privileges[0].Attributes := SE_PRIVILEGE_ENABLED;
//调整权限
Result := AdjustTokenPrivileges(hToken, false, tp, SizeOf(tp), nil, rl);
end;
end;
关于 OpenProcessToken() 和 AdjustTokenPrivileges() 两个 API 的简单介绍：
OpenProcessToken()：获得进程访问令牌的句柄．
function OpenProcessToken(
ProcessHandle: THandle; //要修改访问权限的进程句柄
DesiredAccess: DWORD; //指定你要进行的操作类型
var TokenHandle: THandle//返回的访问令牌指针
): BOOL;
AdjustTokenPrivileges() ：调整进程的权限．
function AdjustTokenPrivileges(
TokenHandle: THandle; // 访问令牌的句柄
DisableAllPrivileges: BOOL; // 决定是进行权限修改还是除能（Disable）所有权限
const NewState: TTokenPrivileges;
{ 指明要修改的权限,是一个指向TOKEN_PRIVILEGES结构的指针，该结构包含一个数组，
数据组的每个项指明了权限的类型和要进行的操作; }
BufferLength: DWORD;
//结构PreviousState的长度,如果PreviousState为空，该参数应为 0
var PreviousState: TTokenPrivileges;
// 指向TOKEN_PRIVILEGES结构的指针，存放修改前的访问权限的信息
var ReturnLength: DWORD //实际PreviousState结构返回的大小
) : BOOL;
远程注入DLL其实是通过 CreateRemoteThread 建立一个远程线程调用 LoadLibrary 函数来加载我们指定的DLL，可是如何能让远程线程知道我要加载DLL呢，要知道在Win32系统下，每个进程都拥有自己的4G虚拟地址空间，各个进程之间都是相互独立的。所我们需要在远程进程的内存空间里申请一块内存空间，写入我们的需要注入的 DLL 的路径． 需要用到的 API 函数有：
OpenProcess()：打开目标进程，得到目标进程的操作权限，详细参看MSDN
function OpenProcess(
dwDesiredAccess: DWORD; // 希望获得的访问权限
bInheritHandle: BOOL; // 指明是否希望所获得的句柄可以继承
dwProcessId: DWORD // 要访问的进程ID
): THandle;
VirtualAllocEx()：用于在目标进程内存空间中申请内存空间以写入DLL的文件名
function VirtualAllocEx(
hProcess: THandle; //
2021-05-20 19:57:54
444KB
1
输入法IME文件是一个特殊的DLL文件，可以从输入法文件下手实现DLL注入，且能绕过安全软件。资源内包含一个输入法注入的简单案例，以及相应的实验报告等。
2021-05-20 19:51:58
338KB
1
freeswitch呼入呼出路由配置详解 ，利用freeswitch 和 网关设备做了内呼和外呼，sip 中继设置 （给外呼用的，因为外呼用的是对等中继模式) SIP 中继就是填写我的freeswitch的ip和端口
2021-04-29 13:38:15
221KB
1
这是一个老外写的远程DLL注入工具,还不错,支持进程注入和启动注入,重要的是还有一个64位下专用的版本,还不错,有用的可以收藏下!
2021-04-29 02:15:15
2.07MB
1