15,471
社区成员
发帖
与我相关
我的任务
分享防止DLL注入不成功
http://www.rohitab.com/discuss/index.php?showtopic=29440
A very simple way how to protect our prog. from being injected by a dll... There are other ways too (for example a a ssdt hook (LdrLoadLibrary, RtlCreateUserThread...), or something...).
code:
CODE// ANTI DLL INJECTION by _FIL73R_
#include <windows.h>
BOOLEAN BlockAPI (HANDLE,CHAR *,CHAR *);
void AntiInject ();
/****************/
main()
{
CreateThread (0,0, (LPTHREAD_START_ROUTINE)AntiInject, 0, 0, 0);
while (TRUE); // loop forever... now to try and inject
}
/****************/
void AntiInject ()
{
HANDLE hProc = GetCurrentProcess();
while (TRUE) {
BlockAPI(hProc, "NTDLL.DLL", "LdrLoadDll");
Sleep (100);
}
}
BOOLEAN BlockAPI (HANDLE hProcess, CHAR *libName, CHAR *apiName)
{
CHAR pRet[]={0xC3};
HINSTANCE hLib = NULL;
VOID *pAddr = NULL;
BOOL bRet = FALSE;
DWORD dwRet = 0;
hLib = LoadLibrary (libName);
if (hLib) {
pAddr = (VOID*)GetProcAddress (hLib, apiName);
if (pAddr) {
if (WriteProcessMemory (hProcess,
(LPVOID)pAddr,
(LPCVOID)pRet,
sizeof (pRet),
&dwRet )) {
if (dwRet) {
bRet = TRUE;
}
}
}
FreeLibrary (hLib);
}
return bRet;
}
这是网上找来的，但是我用建立远程线程对其注入DLL，照样能注入啊。它的意思 是不是改成Ntdll.dll的导出函数LdrLoadDll的函数头字节为0x3c，导致调用LoadLibrary和LoadLibraryEx失败啊。
A very simple way how to protect our prog. from being injected by a dll... There are other ways too (for example a a ssdt hook (LdrLoadLibrary, RtlCreateUserThread...), or something...).
code:
CODE// ANTI DLL INJECTION by _FIL73R_
#include <windows.h>
BOOLEAN BlockAPI (HANDLE,CHAR *,CHAR *);
void AntiInject ();
/****************/
main()
{
CreateThread (0,0, (LPTHREAD_START_ROUTINE)AntiInject, 0, 0, 0);
while (TRUE); // loop forever... now to try and inject
}
/****************/
void AntiInject ()
{
HANDLE hProc = GetCurrentProcess();
while (TRUE) {
BlockAPI(hProc, "NTDLL.DLL", "LdrLoadDll");
Sleep (100);
}
}
BOOLEAN BlockAPI (HANDLE hProcess, CHAR *libName, CHAR *apiName)
{
CHAR pRet[]={0xC3};
HINSTANCE hLib = NULL;
VOID *pAddr = NULL;
BOOL bRet = FALSE;
DWORD dwRet = 0;
hLib = LoadLibrary (libName);
if (hLib) {
pAddr = (VOID*)GetProcAddress (hLib, apiName);
if (pAddr) {
if (WriteProcessMemory (hProcess,
(LPVOID)pAddr,
(LPCVOID)pRet,
sizeof (pRet),
&dwRet )) {
if (dwRet) {
bRet = TRUE;
}
}
}
FreeLibrary (hLib);
}
return bRet;
}
这是网上找来的，但是我用建立远程线程对其注入DLL，照样能注入啊。它的意思 是不是改成Ntdll.dll的导出函数LdrLoadDll的函数头字节为0x3c，导致调用LoadLibrary和LoadLibraryEx失败啊。
...全文
请发表友善的回复…
发表回复
Eleven 2010-09-08
- 打赏
- 举报
Up。。。学习
jamseyang 2010-09-08
- 打赏
- 举报
learning...
yottaer 2010-09-07
- 打赏
- 举报
try catch
mszjk 2010-09-07
- 打赏
- 举报
[Quote=引用 13 楼 qq939178212 的回复:]
在Ring0拦截ZwCreateSection可以防止注入。
[/Quote]
拦NtCreateSection那是蛋疼的行为.
在Ring0拦截ZwCreateSection可以防止注入。
[/Quote]
拦NtCreateSection那是蛋疼的行为.
XYCDefine 2010-09-06
- 打赏
- 举报
[Quote=引用 13 楼 qq939178212 的回复:]
在Ring0拦截ZwCreateSection可以防止注入。
[/Quote]
到内核就好多了
在Ring0拦截ZwCreateSection可以防止注入。
[/Quote]
到内核就好多了
/dev/null0 2010-09-04
- 打赏
- 举报
在Ring0拦截ZwCreateSection可以防止注入。
rageliu 2009-08-06
- 打赏
- 举报
detour有bug，多次remove和重新hook。就出问题
sunrl1985 2009-07-03
- 打赏
- 举报
还有一种注入更简单，用MicroSoft的开发包detour
sunrl1985 2009-07-03
- 打赏
- 举报
BOOL InjectDLL(DWORD m_dProcessID)
{
for (int i=0;i<=MaxQQProdID;i++)
{
if(QQProcessID[i]==m_dProcessID)
{
return TRUE;
}
}
QQProcessID[MaxQQProdID]=m_dProcessID;
MaxQQProdID=MaxQQProdID>=100?0:MaxQQProdID+1;
HANDLE hProcess=NULL;
HANDLE hThread=NULL;
char *m_strRemoteName=NULL;
char m_strDllName[100];
lstrcpy(m_strDllName,"D:\\QQ2009VC版本\\MyWorkResult\\QQ2009VC版本\\Inject\\debug\\Inject.dll");
__try
{
hProcess=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,
FALSE,m_dProcessID);
if(!hProcess)
return FALSE;
int m_iDllNameLen=(lstrlen(m_strDllName)+1)*(sizeof(char));
m_strRemoteName=(char *)VirtualAllocEx(hProcess,NULL,m_iDllNameLen,MEM_COMMIT,PAGE_READWRITE);
if(!m_strRemoteName)
return FALSE;
if(!WriteProcessMemory(hProcess,m_strRemoteName,(LPVOID)m_strDllName,m_iDllNameLen,NULL))
return FALSE;
PTHREAD_START_ROUTINE m_pThread_Routine=(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32.dll"),"LoadLibraryA");
if(!m_pThread_Routine)
return FALSE;
hThread=CreateRemoteThread(hProcess,NULL,0,m_pThread_Routine,m_strRemoteName,0,NULL);
if(!hThread)
return FALSE;
WaitForSingleObject(hThread,INFINITE);
return TRUE;
}
__finally
{
if(m_strRemoteName)
VirtualFreeEx(hProcess,m_strRemoteName,0,MEM_RELEASE);
if(hThread)
CloseHandle(hThread);
if(hProcess)
CloseHandle(hProcess);
}
}
{
for (int i=0;i<=MaxQQProdID;i++)
{
if(QQProcessID[i]==m_dProcessID)
{
return TRUE;
}
}
QQProcessID[MaxQQProdID]=m_dProcessID;
MaxQQProdID=MaxQQProdID>=100?0:MaxQQProdID+1;
HANDLE hProcess=NULL;
HANDLE hThread=NULL;
char *m_strRemoteName=NULL;
char m_strDllName[100];
lstrcpy(m_strDllName,"D:\\QQ2009VC版本\\MyWorkResult\\QQ2009VC版本\\Inject\\debug\\Inject.dll");
__try
{
hProcess=::OpenProcess(PROCESS_CREATE_THREAD|PROCESS_VM_OPERATION|PROCESS_VM_WRITE,
FALSE,m_dProcessID);
if(!hProcess)
return FALSE;
int m_iDllNameLen=(lstrlen(m_strDllName)+1)*(sizeof(char));
m_strRemoteName=(char *)VirtualAllocEx(hProcess,NULL,m_iDllNameLen,MEM_COMMIT,PAGE_READWRITE);
if(!m_strRemoteName)
return FALSE;
if(!WriteProcessMemory(hProcess,m_strRemoteName,(LPVOID)m_strDllName,m_iDllNameLen,NULL))
return FALSE;
PTHREAD_START_ROUTINE m_pThread_Routine=(PTHREAD_START_ROUTINE)GetProcAddress(GetModuleHandle("Kernel32.dll"),"LoadLibraryA");
if(!m_pThread_Routine)
return FALSE;
hThread=CreateRemoteThread(hProcess,NULL,0,m_pThread_Routine,m_strRemoteName,0,NULL);
if(!hThread)
return FALSE;
WaitForSingleObject(hThread,INFINITE);
return TRUE;
}
__finally
{
if(m_strRemoteName)
VirtualFreeEx(hProcess,m_strRemoteName,0,MEM_RELEASE);
if(hThread)
CloseHandle(hThread);
if(hProcess)
CloseHandle(hProcess);
}
}
IORI915189 2009-07-03
- 打赏
- 举报
拦截自身LoadLibraryExW 这个函数吧
如果仅仅只是防御 远程线程 你可以按下面这样做
在程序初始化时把自身程序的所有线程ID 用个ULONG 数组保存起来
并动态维护这个ULONG数组 这个也是多线程程序所必需的吧 如果是单线程就更方便了
然后 在LoadLibraryExW假函数里做一个判断
判断当前的操作线程是否为自身程序原有的线程 如果不是 就是远程线程了
ULONG __stdcall Fake_LoadLibraryExW(LPCWSTR lpwLibFileName,HANDLE hFile,DWORD dwFlags)
{
ULONG TID=GetCurrentThreadId();
//把这个TID 循环对比一下 是否存在于自身TID 数组
if （flag）//存在则 通过
{
return MyReal_LoadLibraryExW(lpwLibFileName,hFile,dwFlags);
}
else
{
return FALSE;
}
}
上面的方法可以防止远程线程 在自身程序加载DLL
但还有个问题 值得注意
WINDOWS的 SetWindowsHookEx （设GUI全局钩子） 这个函数
因为他是切换到进程上下文 使用程序自身线程来加载DLL的 所以不能用判断TID的方法来判断了
这里再提供二个思路
一个是 判断当前加载 的DLL 是否有WINDOWS签名 是则放行 否则拦截 （稍微有点费时 但非常安全）
在一个是 判断路径
系统加载DLL时 是不会包含DLL路径的 直接是类似“kernel32.dll” 这样的
所以 可以判断当前路径是否包含路径分割符 是则拦截 否则放行 （速度快 安全性较高）
结合上面三种方法 自己写个规则来决定拦截与否吧
比直接定义模块名 兼容性高多了 也方便多了
如果仅仅只是防御 远程线程 你可以按下面这样做
在程序初始化时把自身程序的所有线程ID 用个ULONG 数组保存起来
并动态维护这个ULONG数组 这个也是多线程程序所必需的吧 如果是单线程就更方便了
然后 在LoadLibraryExW假函数里做一个判断
判断当前的操作线程是否为自身程序原有的线程 如果不是 就是远程线程了
ULONG __stdcall Fake_LoadLibraryExW(LPCWSTR lpwLibFileName,HANDLE hFile,DWORD dwFlags)
{
ULONG TID=GetCurrentThreadId();
//把这个TID 循环对比一下 是否存在于自身TID 数组
if （flag）//存在则 通过
{
return MyReal_LoadLibraryExW(lpwLibFileName,hFile,dwFlags);
}
else
{
return FALSE;
}
}
上面的方法可以防止远程线程 在自身程序加载DLL
但还有个问题 值得注意
WINDOWS的 SetWindowsHookEx （设GUI全局钩子） 这个函数
因为他是切换到进程上下文 使用程序自身线程来加载DLL的 所以不能用判断TID的方法来判断了
这里再提供二个思路
一个是 判断当前加载 的DLL 是否有WINDOWS签名 是则放行 否则拦截 （稍微有点费时 但非常安全）
在一个是 判断路径
系统加载DLL时 是不会包含DLL路径的 直接是类似“kernel32.dll” 这样的
所以 可以判断当前路径是否包含路径分割符 是则拦截 否则放行 （速度快 安全性较高）
结合上面三种方法 自己写个规则来决定拦截与否吧
比直接定义模块名 兼容性高多了 也方便多了
mmxqq 2009-06-15
- 打赏
- 举报
up
luckyboy101 2009-05-22
- 打赏
- 举报
学习，只知道qq做了防止dll注入
彳亍de孑孓 2009-05-22
- 打赏
- 举报
xuexi
up
up
TianChong 2009-05-22
- 打赏
- 举报
防止DLL注入我用的是另一种方法:
//允许的模块列表
theApp.m_szAuthorizedList = " USER32.DLL RPCRT4.DLL KERNEL32.DLL GDI32.DLL ADVAPI32.DLL NTDLL.DLL MSVCRT.DLL SETUPAPI.DLL CFGMGR32.DLL WINMM.DLL SHELL32.DLL SHLWAPI.DLL MSVCR80.DLL MFC80.DLL OLE32.DLL COMCTL32.DLL OLEACC.DLL OLEAUT32.DLL ATL80.DLL MSVCM80.DLL MFC80CHS.DLL MSVCP80.DLL MFCM80.DLL MFCM80U.DLL MFC80U.DLL VCOMP.DLL SECUR32.DLL MSVCRT.DLL MSVCP60.DLL MFC60.DLL ";
然后定时枚举系统进程,找到自己进程本身并分析所加载的模块,发现不是本身所用的就强制FREE掉:
do
{
if(!IsModuleAuthorized(me32.szModule))
{
HMODULE hmodule = me32.hModule;
CloseHandle(hModuleSnap);
FreeLibrary(hmodule);
//发现可疑模块并已移除
return;
}
}
//允许的模块列表
theApp.m_szAuthorizedList = " USER32.DLL RPCRT4.DLL KERNEL32.DLL GDI32.DLL ADVAPI32.DLL NTDLL.DLL MSVCRT.DLL SETUPAPI.DLL CFGMGR32.DLL WINMM.DLL SHELL32.DLL SHLWAPI.DLL MSVCR80.DLL MFC80.DLL OLE32.DLL COMCTL32.DLL OLEACC.DLL OLEAUT32.DLL ATL80.DLL MSVCM80.DLL MFC80CHS.DLL MSVCP80.DLL MFCM80.DLL MFCM80U.DLL MFC80U.DLL VCOMP.DLL SECUR32.DLL MSVCRT.DLL MSVCP60.DLL MFC60.DLL ";
然后定时枚举系统进程,找到自己进程本身并分析所加载的模块,发现不是本身所用的就强制FREE掉:
do
{
if(!IsModuleAuthorized(me32.szModule))
{
HMODULE hmodule = me32.hModule;
CloseHandle(hModuleSnap);
FreeLibrary(hmodule);
//发现可疑模块并已移除
return;
}
}
greatws 2009-05-21
- 打赏
- 举报
是这样的，0xc3在汇编里就是return的意思。不过这种方式也阻止了其他正常DLL的加载。
WriteProcessMemory成功了吗？
WriteProcessMemory成功了吗？
biweilun 2009-05-21
- 打赏
- 举报
学习学习这个看看
http://hi.baidu.com/%CE%CF%C5%A3%CD%F8%C2%E7/blog/item/92bbed94f16ac84cd1135edd.html
http://hi.baidu.com/%CE%CF%C5%A3%CD%F8%C2%E7/blog/item/92bbed94f16ac84cd1135edd.html
huofen2005 2009-05-21
- 打赏
- 举报
学习
写不动代码的人 2009-05-21
- 打赏
- 举报
学习...
