65,198
社区成员
发帖
与我相关
我的任务
分享Wow64Injectx64代码无效,32位程序向64进程注入64dll的问题
今天研究32位注入64位DLL到64位程序进程里，找到了大家说的
GitHub上的开源库rewolf-wow64ext
https://github.com/ChengChengCC/Ark-tools/tree/master/Wow64Injectx64
直接可以编译成功，无错误代码。
然后自己额外写了个64位EXE程序运行起来作为被注入的64位进程目标对象
dll是64位的一个简单的 Messagebox.DLL
目标对象是64位程序（自己写的64位的exe执行程序）
发现这份 开源库rewolf-wow64ext 根本无法对64位程序进程进行64位DLL文件注入，源代码提示是注入成功的。
有人知道要怎么修改吗？
GitHub上的开源库rewolf-wow64ext
https://github.com/ChengChengCC/Ark-tools/tree/master/Wow64Injectx64
直接可以编译成功，无错误代码。
然后自己额外写了个64位EXE程序运行起来作为被注入的64位进程目标对象
dll是64位的一个简单的 Messagebox.DLL
目标对象是64位程序（自己写的64位的exe执行程序）
发现这份 开源库rewolf-wow64ext 根本无法对64位程序进程进行64位DLL文件注入，源代码提示是注入成功的。
有人知道要怎么修改吗？
...全文
请发表友善的回复…
发表回复
圆道 2021-04-23
- 打赏
- 举报
你这个方法好像有道理，我试试看先！
蠓虫带着秤砣飞 2021-04-23
- 打赏
- 举报
mhook可以把在32位进程里将64位DLL注入到64进程里？[/quote]
不行。唉，怎么这么奇怪的要求呢？
_mervyn 2021-04-22
- 打赏
- 举报
不用啊。。 不是说了吗， 你也可以参照9楼的办法。 另外写一个64位的帮助进程，由这个进程CreateRemoteThread注入。
蠓虫带着秤砣飞 2021-04-22
- 打赏
- 举报
MHOOK这个库也是不错的。
圆道 2021-04-22
- 打赏
- 举报
32进程和64进程 API地址是不一样的。只能借助wow64ext这样的库来获取64API的地址再用RtlCreateUserThread LdrLoadDll 再创建远程线程，但是一注入目标不是没反应就是崩溃。估计还是注入的内容有问题。
牧牛童子 2021-04-22
- 打赏
- 举报
留个脚印，后面找时间来琢磨一下。对该主题有兴趣。
圆道 2021-04-22
- 打赏
- 举报
mhook可以把在32位进程里将64位DLL注入到64进程里？
赵4老师 2021-04-21
- 打赏
- 举报
圆道 2021-04-21
- 打赏
- 举报
我用的VS2017 是用管理员模式的，
微软官方的detours库。 他只要自身是64位的 将64DLL注入到64进程 ，我是自身是32位的将64DLL注入到64进程 。detours只能完成注入后HOOK API的部分
_mervyn 2021-04-21
- 打赏
- 举报
那就不能了。 这种情况的话，修改导入表已经没用了。 只能自己用另外注入方式了。可以用CreateRemoteThread，以LoadLibaray为线程体载入目标DLL。 当然帮助进程还是需要的，这样最稳妥。
_mervyn 2021-04-21
- 打赏
- 举报
推荐 微软官方的detours库。
https://github.com/microsoft/detours
有创建并注入的函数 DetourCreateProcessWithDllEx：
https://github.com/microsoft/Detours/wiki/DetourCreateProcessWithDllEx
微软官方出品，兼容性根本不用担心，功能强大。自己看下wiki吧。 windows上做注入、hook、文件分析的不二选择。
赵4老师 2021-04-21
- 打赏
- 举报
以管理员身份运行
圆道 2021-04-21
- 打赏
- 举报
DetourCreateProcessWithDllEx 这个函数是不是只能创建进程再注入，如果目标进程已经存在的呢？还能注入吗？
_mervyn 2021-04-21
- 打赏
- 举报
你真的用过吗？ 或者你是以前用过？ 我上面不是给了你API了吗？
它有注入的功能，基本方式是 suspend启动目标进程，修改导入表，恢复进程运行。
如果是 32位进程注入64位进程，或者64位进程注入32位进程。 它会借助 系统进程rundll32.exe 来完成注入
基本原理是：启动对应位数的系统进程rundll32.exe来加载待注入dll并调用detours事先规定的必须导出的函数（detours实现，不需要用户实现），该导出函数完成对目标进程的注入。（具体可以自己去看源码）
多说无益，自己试了就知道。
你说的没错，detours就是这么做的。只不过它没有自己写x64的帮助进程，而是利用了系统进程rundll32.exe
日立奔腾浪潮微软松下联想 2021-04-21
- 打赏
- 举报
没用，只要系统启用ASLR（Address Space Layout Randomization），这种旁门左道都会失败，因为64位进程会被加载到4GB以上的随机地址
简单的解决方法就是32位注入32位、64位注入64位，64位注入程序作为资源捆绑到32位程序中，需要的时候释放为临时文件，执行它即可
简单的解决方法就是32位注入32位、64位注入64位，64位注入程序作为资源捆绑到32位程序中，需要的时候释放为临时文件，执行它即可
赵4老师 2021-04-20
- 打赏
- 举报
提权了吗 ？
圆道 2021-04-20
- 打赏
- 举报
看过了，没注入成功，那个开源库有问题，
赵4老师 2021-04-20
- 打赏
- 举报
圆道 2021-04-20
- 打赏
- 举报
他这个Wow64Injectx64库里 都有操作的。
