-
-
[原创]x86与x64下内核APC注入（有码）
-
发表于: 2017-10-31 15:48
-
APC，即异步过程调用，是针对具体线程、要求由具体线程在某一时刻加以执行的函数信息集合。
所以每一个线程都有自己的APC队列，APC队列相关信息保存在KTHREAD中
dt _kthread
nt!_KTHREAD
+0x000 Header : _DISPATCHER_HEADER
……
+0x040 ApcState : _KAPC_STATE
+0x040 ApcStateFill : [23] UChar
+0x057 Priority : Char
+0x058 NextProcessor : Uint4B
+0x05c DeferredProcessor : Uint4B
+0x060 ApcQueueLock : Uint4B
……
+0x130 CallbackDepth : Uint4B
+0x134 ApcStateIndex : UChar
……
+0x168 ApcStatePointer : [2] Ptr32 _KAPC_STATE
+0x170 SavedApcState : _KAPC_STATE
+0x170 SavedApcStateFill : [23] UChar
+0x187 WaitReason : UChar
……
+0x194 SuspendApc : _KAPC
……
APC队列存放于结构体_KAPC_STATE中
kd> dt _KAPC_STATE
nt!_KAPC_STATE
+0x000 ApcListHead : [2] _LIST_ENTRY
+0x010 Process : Ptr32 _KPROCESS
+0x014 KernelApcInProgress : UChar
+0x015 KernelApcPending : UChar
+0x016 UserApcPending : UChar
在ApcListHead就是APC的队列头，由此结构可以看出，该队列有两条，分别为内核APC队列和用户层APC队列，两个队列中的函数分别只在内核或用户空间执行。在KTHREAD中还有ApcStatePointer , SavedApcState, ApcStateIndex 这些结构，当一个进程挂靠到另一个进程时这些结构用于保存当前的APC信息ApcStateIndex代表当前前程是出于挂靠状态还是原始状态。不管是插入内核apc还是用户apc，系统都需要将一个KAPC结构挂入相应队列中
kd> dt _kapc
nt!_KAPC
+0x000 Type : UChar
+0x001 SpareByte0 : UChar
+0x002 Size : UChar
+0x003 SpareByte1 : UChar
+0x004 SpareLong0 : Uint4B
+0x008 Thread : Ptr32 _KTHREAD
+0x00c ApcListEntry : _LIST_ENTRY
+0x014 KernelRoutine : Ptr32 void
+0x018 RundownRoutine : Ptr32 void
+0x01c NormalRoutine : Ptr32 void
+0x020 NormalContext : Ptr32 Void
+0x024 SystemArgument1 : Ptr32 Void
+0x028 SystemArgument2 : Ptr32 Void
+0x02c ApcStateIndex : Char
+0x02d ApcMode : Char
+0x02e Inserted : UChar
这里的NormalRoutine就是需要执行的APC函数，KernelRoutine需要用来释放apc结构，而且KernelRoutine总是会得到执行的，而且无论是内核apc还是用户apc，KernelRoutine的执行时机总是在NormalRoutine之前。
内核APC总是在用户APC之前执行，而且内核apc是在线程降低运行级别，或者进程切换时执行的，而用户APC是在线程由内核返回到用户层时得到执行的。
内核apc kernelRoutine -> 内核apc normalRoutine -> 用户apc kernelRoutine -> 用户apc normalRoutine
内核apc是一次执行队列中所有的内核apc函数（一个while循环依次执行），而用户apc则一次只执行第一项apc请求。而且用户APC的执行流程相对来说比较复杂，毛老师的书里面说的很详细。
APC注入流程：
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
收藏，学习
|
|
|
|
|
|
好的，设置成警醒线程我看别人代码里有用到，我插入apc成功一段时间后explorer也崩溃过几次，不晓得是不是这个原因，我回去试一下，WOW64 进程执行shellcode正好有帖子 
|
|
|
|
|
|
|
|
|
以上，在x86上注入和在x64上注入64位都没有问题。但是！在64位上注入32位的时候，还是出了点问题，以注入目标进程就崩了（可以用来杀进程了= =），一试一个准。
看到这个笑了。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我在win7x64上注入到x64的进程，不行，为什么 |
|
|
|
|
|
这是什么意思？怎么设置成警醒线程，不想代入一堆的偏移。 |
|
|
|
库尔
