C++：从 64 位进程注入 32 位目标

Question

我最近用 C++ 编写了一个 DLL 注入器，其要求如下：

• 注入过程（我们称之为“注入器”）以及要注入的 DLL （注入）存在于 64 位和 32 位变体中。根据目标，尝试注入匹配的注入版本。
• 即使注入器运行在 64 位中，也必须能够注入 32 位（WOW64）的目标进程

我很快就注意到，注入器中调用 GetProcAddress("LoadLibraryA")返回一个“不可用”句柄，因为 32 位目标加载了另一个 kernel32.dll 并且该函数的地址不同，因此注入失败（无法使用返回的远程线程启动）地址/句柄）。此外，32 位进程将 kernel32.dll 加载到不同的基地址，这使得创建远程线程更加不可能。

为了明确我的意思，会发生以下情况：

• 注入器在 0x12340000 处加载了 64 位版本的 kernel32.dll
• 注入器从该 kernel32.dll 检索 LoadLibraryA 0x00005678 的
• 句柄 目标具有32 位版本的 kernel32.dll 加载于 0xABCD0000
• 的句柄此 kernel32.dll 的 LoadLibrary 预计为 0x0000EFAB
• 注入器尝试使用函数 0x12345678 启动目标中的远程线程，但预计为 0xABCDEFAB

当从 64 位进程注入 64 位进程时，从 32 位进程注入32 位，通常没有问题，因为 kernel32.dll（很可能）加载到相同的基地址并且可以使用相同的函数地址 - 这是我到目前为止的理解。然而，在这种情况下，条件有所不同。

为了解决这个问题，我执行了以下步骤：

• 64 位注入器使用 EnumProcessModulesEx() 检索 32 位目标加载的 kernel32.dll 的地址（应该是 0xABCD000）
• 获取该 kernel32.dll 的文件名，解析PE头，得到LoadLibraryA的RVA（应该是0x000EFAB）
• 此时一点，我们知道 kernel32.dll 在 32 位目标中加载的位置以及该 DLL 中函数的地址。
• 64 位注入器使用 ImageBase + Function RVA 在 32 位目标中启动远程线程，在本例中是神奇的 0xABCDEFAB

这种方法实际上效果很好，但我无法摆脱这就是全部的想法开销，并且必须有一个更简单的解决方案来从 64 位注入器注入 32 位目标。

我有两个问题，如果能在这里得到解答，我将非常感激：

1. 是否有更简单的方法来实现这种注入？
2. 我所采取的方法是否存在我没​​有考虑过的问题？

非常感谢任何答案，谢谢！

编辑：天哪...我刚刚意识到，我在最初的帖子中描述的情况是错误的。 INJECTOR 是 64 位，TARGET 是 32 位（最初是相反的，但我已经更正了）。 Ben Voigt 下面的评论完全正确，对 EnumProcessModulesEx 的调用将会失败。对于这种混乱，非常抱歉:(

Answer 1

我偶然发现这个线程正在寻找同一问题的解决方案。

到目前为止，我倾向于使用另一种更简单的解决方案。要获得 32 位内核 proc 地址，64 位进程只需执行一个 32 位程序即可为我们查找 proc 地址：

#include <Windows.h>

int main(int argc, const char**)
{
    if(argc > 1)
        return (int) LoadLibraryA;
    else
        return (int) GetProcAddress;
}

Answer 2

我认为您可以使用调试符号 API 来节省自己解析 PE 标头和导出表的时间。该路由应该产生 32 位注入器所需的信息； 64 位目标情况也是如此，尽管我仍然不知道如何将 64 位地址传递给 CreateRemoteThread。

• EnumerateLoadedModules64
• SymFromName
• ImageRvaToVa

通常这些调试符号函数需要 .pdb 或 .sym文件来操作，但是我很确定他们也从 DLL 导出表中获取信息（只是根据调试器显示的没有符号的文件的经验）。

Answer 3

这个答案解决了问题的早期版本，它与 64 位注入器的情况基本上无关。

---

你说这个方法有效吗？因为根据文档，您无法获得WOW64 中有关 64 位进程的信息：

如果该函数由在 WOW64 下运行的 32 位应用程序调用，则忽略 dwFilterFlag 选项，并且该函数提供与 EnumProcessModules 函数相同的结果。

（EnumProcessModules 进一步解释了该限制）

如果从 WOW64 上运行的 32 位应用程序调用此函数，则它只能枚举 32 位进程的模块。如果进程是64位进程，则该函数失败，最后的错误代码为ERROR_PARTIAL_COPY (299)。

但您确实需要找到加载 kernel32.dll 的基址，因为