injdrv

injdrv

injdrv 是一个概念验证的 Windows 驱动程序,用于利用 APC 将 DLL 注入用户模式进程中。

理由

尽管 [APCs][apc] 在 [相当程度上未记录][inside-apc]，但使用它们注入 DLL 的技术却已被证明是可行的。 将进程转换为用户模式并不是新事物,此前已多次讨论过。这种 APC 可以从常规进程队列中进行调度。 用户模式进程(见 [Cuckoo][apc-cuckoo])以及内核模式驱动程序(见 [Blackbone][apc-blackbone])。 尽管它很受欢迎,但要找到小型、易于理解且实际可行的项目来展示其使用情况并不容易。 这种技术并不容易。本项目试图填补这一空白。

特性

• 支持 Windows 7 到 Windows 10
• 支持 x86、 x64、 ARM32 和 ARM64 架构
• 能够注入 Wow64 进程
• 使用与 被注入的进程 相同架构的 DLL（例如，将 x86 DLL 注入到 x86 Wow64 进程中）
• 使用与操作系统相同架构的 DLL（例如，将 x64 DLL 注入到 Windows x64 上的 Wow64 进程中）
• DLL 在非常早期的进程初始化阶段被注入
• 注入是通过 PsSetLoadImageNotifyRoutine 回调函数实现的
• 本地进程（例如，在 Windows x86 上的 x86 进程，在 Windows x64 上的 x64 进程等）在 ntdll.dll 加载后的下一次 DLL 加载时被注入
• Wow64 进程在 Wow64-DLL 加载后的下一次 DLL 加载时被注入
• 由于这些原因，注入的 DLL 必须只依赖于 ntdll.dll
• 演示性 DLL 执行了对几个 ntdll.dll 函数的钩子处理
• 使用 [DetoursNT][DetoursNT] 实现了这些功能
• 被拦截的函数使用 ETW 来跟踪被钩子函数的调用

编译