[原创]Windows注入篇之内核感染导入表注入X64[高清有码]-编程技术-看雪-安全社区|安全招聘|kanxue.com

[原创]Windows注入篇之内核感染导入表注入X64[高清有码]

发表于: 2017-3-26 12:50 12711

[原创]Windows注入篇之内核感染导入表注入X64[高清有码]

FaEry

2017-3-26 12:50

12711

续着上一篇APC注入，由于没有实现64位，这里换种方式去搞64位，现在关于感染导入表的文章很多具体我就不深入去描述了，大致总结下要注意哪些要点吧：

1). 导入表注入场景有限制，就是所有东西都只能在DllMain里调用，对代码的要求很高，不像APC那样时机比较靠后加载之后还能通过ShellCode去调用导出函数。

2). 导入表注入容易被还原，只要比较原始文件发现不一样就说明被改了，时机可以用进程/模块回调去捕捉。

3). 用导入表注入方式注入的模块要求有：

1. 必须要导出某个函数，并且在新构造的导入表项IID OriginalFirstThunk 指定你要导入的那个函数，这里我用0x80000001表示导入"序号为1"的导出函数。

2. 对于Windows自带的一些exe，通常其都带有绑定输入表，这个东西是为了优化加速进程启动的，如果新构造的IID中指定的导入函数在Bound Import Table 中不存在，那么进程启动的时候将会崩溃，为了避免这种情况可以给其清空。当然这从某种意义上来说是废掉了优化进程启动的这个功能。

3. 由于所有资源都必须在DllMain中调用，我们知道这里是ntdll!LdrRunInitial*即ntdll加载导入表的时机，这里有很多锁，例如ntdll!LdrpLoadLock...

4). 导入表注入方式的模块一旦加载失败，那么将会引起崩溃弹窗，有很多原因会造成这个现象，特别是某些杀软在动态链接库加载的时机Patch了该模块。

登录后可查看完整内容

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

上传的附件：

KernelImportInject.zip （16.16kb，495次下载）
UserMapDll.zip （7.10kb，379次下载）

收藏・47

免费・3

支持

最新回复 (20)
sorrywyb 雪币： 3110 活跃值： (143) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 82 粉丝 13 关注私信	sorrywyb 2 楼给力呀，支持一下 2017-3-26 17:05 0
shinemiser 雪币： 30 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	shinemiser 3 楼大神,这么快就出货！ 2017-3-26 21:55 0
hzqst 雪币： 12848 活跃值： (9147) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 569 关注私信	hzqst 3 4 楼注入狂魔。。。 2017-3-27 10:10 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 5 楼 hzqst 注入狂魔。。。搞完了，开开Hips系列的 2017-3-27 10:25 0
leeqwind 雪币： 190 活跃值： (84) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 48 粉丝 1 关注私信	leeqwind 6 楼 2017-3-27 23:15 0
银雁冰雪币： 9662 活跃值： (4588) 能力值： ( LV15，RANK：800 ) 在线值：发帖 32 回帖 94 粉丝 151 关注私信	银雁冰 16 7 楼 leeqwind [em_41] 2017-3-28 00:33 0
panti 雪币： 1602 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 254 粉丝 0 关注私信	panti 8 楼等待下一篇 2017-3-30 05:20 0
isdebug 雪币： 95 活跃值： (144) 能力值： ( LV2，RANK：15 ) 在线值：发帖 5 回帖 55 粉丝 3 关注私信	isdebug 9 楼 mark,lz'分析的很透彻 2017-3-31 07:15 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 10 楼 isdebug mark,lz'分析的很透彻[em_13] 版主不加精，不开心 2017-3-31 18:35 0
liushujie 雪币： 351 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	liushujie 11 楼支持源源 2017-4-19 11:02 0
ielts 雪币： 965 活跃值： (89) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 254 粉丝 1 关注私信	ielts 12 楼支持一下 2017-6-7 22:29 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 13 楼 Win10 Pro X64好像不行 2017-6-26 20:25 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 14 楼 kanxueuser Win10 Pro X64好像不行是Win10的哪个版本，我看下 2017-6-28 13:10 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 15 楼 Windows 10 Pro 64-bit (10.0, Build 15063) (15063.rs2_release.170317-1834) 2017-7-3 09:42 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 16 楼我使用VS2015+WDK10编译 2017-7-3 09:44 0
crackJ 雪币： 159 活跃值： (80) 能力值： ( LV4，RANK：50 ) 在线值：发帖 19 回帖 108 粉丝 0 关注私信	crackJ 1 17 楼 win10 16299 不行 2018-4-19 17:05 0
wumnkx 雪币： 137 活跃值： (1548) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 109 粉丝 6 关注私信	wumnkx 18 楼 no can in win10， i build use wdk7600. [KernelImportInject] DriverEntry Get Called [KernelImportInject] Init Get Called [KernelImportInject] Init g_ZwQueryVirtualMemory:72bcc230 [KernelImportInject] GetNativeApiAddress ulNativeApiIndex : ffffffff [KernelImportInject] Init g_ZwReadVirtualMemory:0000000000000000 OS 名称: Microsoft Windows 10 家庭中文版 OS 版本: 10.0.17763 暂缺 Build 17763 OS 制造商: Microsoft Corporation 2019-5-9 13:04 0
紫梦寒雪币： 43 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 67 粉丝 4 关注私信	紫梦寒 19 楼给力呀，支持一下 2019-5-9 14:37 0
chengqiyan 雪币： 261 活跃值： (547) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 163 粉丝 15 关注私信	chengqiyan 20 楼 1024 2019-5-26 00:54 0
cheating 雪币： 46 活跃值： (1740) 能力值： ( LV2，RANK：10 ) 在线值：发帖 46 回帖 160 粉丝 8 关注私信	cheating 21 楼大神，有没有XP - WIN7 x86、x64的OEP注入？可更改DLL路径的那种，网上的那些BUG太多了 2019-5-27 19:01 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

FaEry

发帖

回帖

290

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (20)
sorrywyb 雪币： 3110 活跃值： (143) 能力值： ( LV3，RANK：20 ) 在线值：发帖 3 回帖 82 粉丝 13 关注私信	sorrywyb 2 楼给力呀，支持一下 2017-3-26 17:05 0
shinemiser 雪币： 30 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	shinemiser 3 楼大神,这么快就出货！ 2017-3-26 21:55 0
hzqst 雪币： 12848 活跃值： (9147) 能力值： ( LV9，RANK：280 ) 在线值：发帖 47 回帖 1793 粉丝 569 关注私信	hzqst 3 4 楼注入狂魔。。。 2017-3-27 10:10 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 5 楼 hzqst 注入狂魔。。。搞完了，开开Hips系列的 2017-3-27 10:25 0
leeqwind 雪币： 190 活跃值： (84) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 48 粉丝 1 关注私信	leeqwind 6 楼 2017-3-27 23:15 0
银雁冰雪币： 9662 活跃值： (4588) 能力值： ( LV15，RANK：800 ) 在线值：发帖 32 回帖 94 粉丝 151 关注私信	银雁冰 16 7 楼 leeqwind [em_41] 2017-3-28 00:33 0
panti 雪币： 1602 活跃值： (14) 能力值： ( LV2，RANK：10 ) 在线值：发帖 18 回帖 254 粉丝 0 关注私信	panti 8 楼等待下一篇 2017-3-30 05:20 0
isdebug 雪币： 95 活跃值： (144) 能力值： ( LV2，RANK：15 ) 在线值：发帖 5 回帖 55 粉丝 3 关注私信	isdebug 9 楼 mark,lz'分析的很透彻 2017-3-31 07:15 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 10 楼 isdebug mark,lz'分析的很透彻[em_13] 版主不加精，不开心 2017-3-31 18:35 0
liushujie 雪币： 351 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	liushujie 11 楼支持源源 2017-4-19 11:02 0
ielts 雪币： 965 活跃值： (89) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 254 粉丝 1 关注私信	ielts 12 楼支持一下 2017-6-7 22:29 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 13 楼 Win10 Pro X64好像不行 2017-6-26 20:25 0
FaEry 雪币： 5039 活跃值： (2626) 能力值： ( LV12，RANK：290 ) 在线值：发帖 13 回帖 90 粉丝 123 关注私信	FaEry 6 14 楼 kanxueuser Win10 Pro X64好像不行是Win10的哪个版本，我看下 2017-6-28 13:10 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 15 楼 Windows 10 Pro 64-bit (10.0, Build 15063) (15063.rs2_release.170317-1834) 2017-7-3 09:42 0
kanxueuser 雪币： 3 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	kanxueuser 16 楼我使用VS2015+WDK10编译 2017-7-3 09:44 0
crackJ 雪币： 159 活跃值： (80) 能力值： ( LV4，RANK：50 ) 在线值：发帖 19 回帖 108 粉丝 0 关注私信	crackJ 1 17 楼 win10 16299 不行 2018-4-19 17:05 0
wumnkx 雪币： 137 活跃值： (1548) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 109 粉丝 6 关注私信	wumnkx 18 楼 no can in win10， i build use wdk7600. [KernelImportInject] DriverEntry Get Called [KernelImportInject] Init Get Called [KernelImportInject] Init g_ZwQueryVirtualMemory:72bcc230 [KernelImportInject] GetNativeApiAddress ulNativeApiIndex : ffffffff [KernelImportInject] Init g_ZwReadVirtualMemory:0000000000000000 OS 名称: Microsoft Windows 10 家庭中文版 OS 版本: 10.0.17763 暂缺 Build 17763 OS 制造商: Microsoft Corporation 2019-5-9 13:04 0
紫梦寒雪币： 43 能力值： ( LV1，RANK：0 ) 在线值：发帖 3 回帖 67 粉丝 4 关注私信	紫梦寒 19 楼给力呀，支持一下 2019-5-9 14:37 0
chengqiyan 雪币： 261 活跃值： (547) 能力值： ( LV4，RANK：50 ) 在线值：发帖 21 回帖 163 粉丝 15 关注私信	chengqiyan 20 楼 1024 2019-5-26 00:54 0
cheating 雪币： 46 活跃值： (1740) 能力值： ( LV2，RANK：10 ) 在线值：发帖 46 回帖 160 粉丝 8 关注私信	cheating 21 楼大神，有没有XP - WIN7 x86、x64的OEP注入？可更改DLL路径的那种，网上的那些BUG太多了 2019-5-27 19:01 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复