如何进行dll注入

Question

我尝试使用 Go 进行 DLL 注入，但失败了。

我正在准备将用 C++ 注入的 DLL 文件。那是问题吗？

用 C++ 编写的 DLL：

我厌倦了像这样用 Go 注入 DLL 文件：

但是当CreateRemoteThread()函数工作时，Notepad++ 被关闭了。

为什么我失败了？我哪里做错了？

TestD.dll 代码：

#include "pch.h"    

BOOL APIENTRY DllMain(HMODULE hModule,

    DWORD  ul_reason_for_call,

    LPVOID lpReserved

)

{

    switch (ul_reason_for_call)

    {

    case DLL_PROCESS_ATTACH:

    {

        MessageBox(NULL, L"DLL_PROCESS_ATTACH STARTED", L"DLL_PROCESS_ATTACH TITLE", MB_RETRYCANCEL);

    }

    case DLL_THREAD_ATTACH:

    case DLL_THREAD_DETACH:

    case DLL_PROCESS_DETACH:

        break;

    }

    return TRUE;

}

Go InjectApp 代码：

var dllPath = "C:\\Users\\RecaiCingoz\\go\\src\\TestD.dll"

    className := syscall.StringToUTF16Ptr("Notepad++")

    hwnd := win32services.FindWindowW(className, nil)

    fmt.Println("Process HWND", hwnd)

    _, processID := win32services.GetWindowThreadProcessId(hwnd)

    hProcess, _ := win32services.OpenProcess(win32services.PROCESS_ALL_ACCESS, false, uint32(processID))

    baseAddress, _ := win32services.VirtualAllocEx(hProcess, 0, len(dllPath), win32services.MEM_COMMIT, win32services.PAGE_READWRITE)

    err := win32services.WriteProcessMemory(hProcess, uint32(baseAddress), []byte(dllPath), 0)

    if err != nil {

        fmt.Println(err)

    }

    modLib, _ := syscall.LoadLibrary("kernel32.dll")

    loadLib, err := syscall.GetProcAddress(modLib, "LoadLibraryA")

    if err != nil {

        fmt.Println(err)

    }

    hRemoteThread, _, err := win32services.CreateRemoteThread(hProcess, nil, 0, loadLib, baseAddress, 0)

fmt.Println(hRemoteThread)

}

CreateRemoteProcess 函数：

func CreateRemoteThread(hprocess HANDLE, sa *syscall.SecurityAttributes,

    stackSize uint32, startAddress uintptr, parameter uintptr, creationFlags uint32) (HANDLE, uint32, error) {

    var threadId uint32

    if int(r1) == 0 {

        return INVALID_HANDLE, 0, e1

    }

    return HANDLE(r1), threadId, e1

}

如何在 Go 中进行 DLL 注入？谁能帮我？

Answer 1

LoadLibrary 返回类型：syscall.Handle - 类型句柄 uintptr 。返回值：140715276042240 GetProcAddress 返回类型 uintptr。返回值：140715276174480140715276042240 和 140715276174480 是截断的 x64 地址。x86的最大地址是0xFFFFFFFF，转换成十进制后变成4294967295。你使用 GO(x64 版本) 编译程序，并使用uint32将地址转换为 x86 地址。最后，你得到一个无效的地址。这就是notepad++崩溃的原因。解决方案：使用 GO(x86) 编译程序。