-
-
[分享]老文章系列：APC注入DLL的梗
-
发表于: 2014-4-16 06:14
-
本文核心就是调用简单的APC注入DLL,不过使用内核层的驱动完成工作~~
注入方法很简单就是调用NtQueueApcThread~
参数构造上抄了一抄经典注入APC的QueueUserApc~
在xp上
在win7上
驱动中使用的方法就更简单了~
直接注册一个回调，然后在某个特殊EXE来临时刻直接插入APC就可以了
注入代码：
但是驱动中使用NtQueueApcThread，由于Zw系列函数不提供则个接口，所以需要自己写一下~
因为需求只需要32位系统所以我这里直接用了int 0x2e来调用。
NTSTATUS NTAPI MyNtQueueApcThread(
__in HANDLE ThreadHandle,
__in PVOID ApcRoutine,
__in_opt PVOID ApcArgument1,
__in_opt PVOID ApcArgument2,
__in_opt PVOID ApcArgument3
)
{
NTSTATUS ns;
__asm
{
push eax
push ApcArgument3
push ApcArgument2
push ApcArgument1
push ApcRoutine
push ThreadHandle
mov eax,ZwQueueApcThreadId
mov edx,esp
int 0x2e
mov ns,eax
pop eax
}
return ns;
}
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
直接call NtQueueApcThread的直接用typedef那种方式就行，但是考虑调用时的thread里PrevMode不一定符合规则，所以直接采用重新走int 0x2e的方法。
|
|
|
WINDOWS内核圈子, 有这种东西存在?
膜拜15年的大牛,这就上纲上线了,看来老V仇家多啊 
|
|
|
我也不知道windows内核会有圈子。
30年打酱油经验的我也被人加入圈子了。 这是不是传说中的被圈子？
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
没办法，winrar现在不靠谱了。只能撸360压缩了~
|
|
|
是啊，问题硬编码不符合某些事儿，难道也从符号取得？如果全符号，自然啥都没问题了~~
|
|
|
我只能说APC的梗太多了~
好吧，我承认我低俗了一次，以后我全部使用符号表获取地址和偏移。
|
|
|
|
|
|
|
