如何在 C# 程序中注入恶意 DLL?

一：背景

前段时间在训练营上课的时候就有朋友提到一个问题，为什么 Windbg 附加到 C# 程序后，程序就处于中断状态了？它到底是如何实现的？ 其实简而言之就是线程的远程注入，这一篇就展开说一下。
二：实现原理

1. 基本思路

WinDbg 在附加进程的时候，会注入一个线程到 C# 进程 中，注入成功后，会执行一个 DbgBreakPoint() 函数，其实就是 int 3 ，这时候 CPU 就会执行 3 号中断函数，将当前进程的所有线程进行暂停，文字不好理解的话，画一个图大概就是这样。

口说无凭，接下来用上一个简单案例演示一下。
2. 案例演示

首先写一个简单的 C# 程序，不断的输出时间和标号，代码如下：

1.     internal class Program
2.     {
3.         static void Main(string[] args)
4.         {
5.             for (int i = 0; i < 10000; i++)
6.             {
7.                 Console.WriteLine($"{DateTime.Now},i={i}");
8.                 Thread.Sleep(1000);
9.             }
10.         }
11.     }

复制代码

把程序跑起来后，使用 WinDbg 附加，你可以发现 Command 自动切换到了 8 号线程，通过 k 命令可以看到最上面是一个 int 3 中断，截图如下：

这里就有一个想法了，既然 WinDbg 可以注入，为何我的程序就注入不得呢？ 既然我的程序可以注入，那就可以做一些我想做的事情。
3. 自定义注入

有了自定义注入的想法，接下来的实现步骤大概是这样的。

• 注入一个线程到 C# 程序中。
  
• 让程序加载一个 dll 文件。
  
• 在 dll 中做一些我想做的业务逻辑。
  

接下来新建一个 C++ 的动态链接库，在 DLLMain 入口函数的  DLL_PROCESS_ATTACH 事件中写一个 printf 函数，如果在 C# 程序中输出来了，就算成功注入了，参考代码如下：

1. #include <Windows.h>
2. #include <stdio.h>
4. BOOL APIENTRY DllMain(HMODULE hModule,
5.         DWORD  ul_reason_for_call,
6.         LPVOID lpReserved
7. )
8. {
9.         switch (ul_reason_for_call)
10.         {
11.         case DLL_PROCESS_ATTACH:
12.                 printf(" 总部，总部，我已经成功打入内部！ ul_reason_for_call=%d\n ", ul_reason_for_call);
13.                 break;
14.         }
15.         return TRUE;
16. }

复制代码

要被加载的 MyInject.dll 已经构建完毕，接下来就用 Win32 API 的 CreateRemoteThread() 实现远程注入，但注入之前需要做三件事情。

• 获取 C# 程序的 进程句柄。
  
• 在 C# 进程中申请一块内存空间，存放加载的 path 路径。
  
• 调用 LoadLibraryW 函数在 C# 进程中实现 dll 加载。
  

过程有了，新建一个 C++ 控制台程序 ConsoleApplication1.exe， 整体的参考代码如下：

1. #include <iostream>
2. #include <Windows.h>
3. #include <stdio.h>
4. #include <stdlib.h>
5. #include <Tlhelp32.h>
7. DWORD GetPid(const WCHAR* szName)
8. {
9.         HANDLE hprocessSnap = NULL;
11.         PROCESSENTRY32 pe32 = { 0 };
13.         hprocessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
15.         pe32.dwSize = sizeof(PROCESSENTRY32);
17.         if (Process32First(hprocessSnap, &pe32))
18.         {
19.                 do {
20.                         if (!wcscmp(szName, pe32.szExeFile)) {
21.                                 return (int)pe32.th32ProcessID;
22.                         }
23.                 } while (Process32Next(hprocessSnap, &pe32));
24.         }
25.         else
26.         {
27.                 CloseHandle(hprocessSnap);
28.         }
29.         return 0;
30. }
32. int main()
33. {
34.         const wchar_t* path = L"D:\\net6\\ConsoleApp1\\x64\\Debug\\MyInject.dll"; //要注入的dll文件地址
36.         //1. 获取进程ID
37.         DWORD  procID = GetPid(L"ConsoleApp4.exe");
39.         //2. 获取进程句柄
40.         HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, procID);
42.         //3. 在目标进程中开辟一块空间
43.         LPVOID pRemoteAdress = VirtualAllocEx(hProcess, NULL, wcslen(path) * 2, MEM_COMMIT, PAGE_READWRITE);
45.         //4. 将 path 写入到这块空间中
46.         BOOL bRet = WriteProcessMemory(hProcess, pRemoteAdress, path, wcslen(path) * 2, NULL);
48.         //5. 让目标线程调用 LoadLibraryW 加载我们注入的 dll
49.         HMODULE hModule = GetModuleHandle(L"kernel32.dll");
50.         LPTHREAD_START_ROUTINE dwLoadAddr = (LPTHREAD_START_ROUTINE)GetProcAddress(hModule, "LoadLibraryW");
51.         HANDLE hThread = CreateRemoteThread(
52.                 hProcess,
53.                 NULL,
54.                 0,
55.                 (LPTHREAD_START_ROUTINE)dwLoadAddr,
56.                 pRemoteAdress,
57.                 NULL,
58.                 NULL
59.         );
61.         //6. 函数执行完后，释放这块空间。
62.         WaitForSingleObject(hThread, -1);
63.         VirtualFreeEx(hProcess, pRemoteAdress, 1, MEM_DECOMMIT);
65.         system("pause");
66.         return 0;
67. }

复制代码

万事具备，接下来我们将 ConsoleApplication1.exe 启动，可以成功观察到 ConsoleApp4.exe 上已经注入成功的输出，截图如下：

三：总结

这就是对 WinDbg 实现注入拦截的一个衍生知识，整体思路还是很明朗的，当然有注入，就有反注入，比如下面两条策略。

• 设置进程的保护属性。
  
• 屏蔽 或者 混淆 Win32 的 LoadLibraryW 函数。
  

等等各种反注入策略，当然这不是我所关心的，毕竟我只专注 .NET高级调试 ！