《Windows API巡礼》--CreateRemoteThread和WriteProcessMemory

CreateRemoteThread函数用于为指定进程创建线程，该线程将会在其他进程的地址空间中执行，访问其他进程的资源：

HANDLE WINAPI CreateRemoteThread(

__in HANDLE hProcess, //需要为其创建线程的目标进程句柄，该目标进程需要具有如下权限：

//PROCESS_CREATE_THREAD、PROCESS_QUERY_INFORMATION、

//PROCESS_VM_OPERATION、PROCESS_VM_WRITE、PROCESS_VM_READ

__in LPSECURITY_ATTRIBUTES lpThreadAttributes, //指向安全描述符的指针，NULL为默认

__in SIZE_T dwStackSize, //线程堆栈大小，0表示使用默认值

__in LPTHREAD_START_ROUTINE lpStartAddress, //函数指针，指向存在与目标进程中的线程函数

__in LPVOID lpParameter, //传给线程函数的参数

__in DWORD dwCreationFlags, //0---线程创建后立即运行；

//CREATE_SUSPENDED---线程创建后挂起，知道ResumeThread函数调用才开始运行；

//STACK_SIZE_PARAM_IS_A_RESERVATION---dwStackSize参数指定初始保留的堆栈大小

//不指定该标志时，dwStackSize表示提交的大小（commit size）

__out LPDWORD lpThreadId //指向存放线程ID的缓冲区的指针，为NULL表示不保存线程ID

);

返回值：

成功时，返回新线程的句柄；

失败时，返回NULL。

WriteProcessMemory函数用于将数据写入到目标进程的虚拟地址空间中：

BOOL WINAPI WriteProcessMemory(

__in HANDLE hProcess, //目标进程句柄，操作进程需要有目标进程的PROCESS_VM_WRITE和

//PROCESS_VM_OPERATION权限

__in LPVOID lpBaseAddress, //写入数据的地址，目标进程虚拟地址空间中的地址

__in LPCVOID lpBuffer, //指向需要写入的数据

__in SIZE_T nSize, //写入数据的字节大小

__out SIZE_T *lpNumberOfBytesWritten //用于保存实际写入的数据的大小

);

返回值：

成功时，返回非零值；

失败时，返回零值。

实例代码：直接将远程进程地址空间中的API函数LoadLibraryW作为线程函数调用：

#include <windows.h>

/***********************************************************

* 功能：通过创建远程线程给其他进程加载DLL

* 参数：dwProcessId--目标进程PID

* lpszLibName--DLL的路径

* 返回值：是否成功

***********************************************************/

BOOL LoadRemoteDll(DWORD dwProcessId, LPTSTR lpszLibName)

{

BOOL bResult = FALSE;

HANDLE hProcess = NULL;

HANDLE hThread = NULL;

PTSTR pszLibFileRemote = NULL;

DWORD cch;

PTHREAD_START_ROUTINE pfnThreadRtn;

__try

{

//获得想要注入代码的进程的句柄

hProcess = OpenProcess(PROCESS_ALL_ACCESS,

FALSE, dwProcessId);

if(hProcess == NULL)

{

__leave;

}

//计算DLL路径名需要的字节数

cch = lstrlen(lpszLibName) + 1;

//在远程线程中为路径名分配空间

pszLibFileRemote = (PTSTR)VirtualAllocEx(

hProcess, NULL, cch,

MEM_COMMIT, PAGE_READWRITE);

if(pszLibFileRemote == NULL)

{

__leave;

}

//将DLL的路径名复制到远程进程的内存空间

if(!WriteProcessMemory(hProcess,

(PVOID)pszLibFileRemote,

(PVOID)lpszLibName,

cch,

NULL))

{

__leave;

}

//获得LoadLibrary在Kernel32.dll中的真实地址

pfnThreadRtn = (PTHREAD_START_ROUTINE)GetProcAddress(

GetModuleHandle(TEXT("Kernel32")), TEXT("LoadLibraryW"));

if(pfnThreadRtn == NULL)

{

__leave;

}

//创建远程线程，并通过远程线程调用用户的DLL文件

hThread = CreateRemoteThread(hProcess, NULL,

0, pfnThreadRtn, (PVOID)pszLibFileRemote,

0, NULL);

if(hThread == NULL)

{

__leave;

}

//等待远程线程终止

WaitForSingleObject(hThread, INFINITE);

bResult = TRUE;

}

__finally

{

//关闭句柄

if(pszLibFileRemote != NULL)

{

VirtualFreeEx(hProcess, (PVOID)pszLibFileRemote, 0, MEM_RELEASE);

pszLibFileRemote = NULL;

}

if(hThread != NULL)

{

CloseHandle(hThread);

hThread = NULL;

}

if(hProcess != NULL)

{

CloseHandle(hProcess);

hProcess = NULL;

}

}

return bResult;

}