Я пытаюсь внедрить 64-битную DLL в 64-битный процесс (проводник, если на то пошло).
Я пытался использовать методы Remote-thread\Window Hooks, но некоторые антивирусы определяют мой загрузчик как ложное срабатывание.
Прочитав эту статью: Dll Injection by Darawk, я решил использовать пещеры кода.
Он отлично работал для 32-битных, но поскольку VS не поддерживает встроенную сборку для 64-битных, мне пришлось явно писать коды операций и операнды.
Я просмотрел эту статью: 64-битная инъекция с использованием пещеры кода, как говорится в статье, есть некоторые отличия:
Есть несколько отличий, которые необходимо было включить здесь:
- MASM64 использует fastcall, поэтому аргумент функции должен быть передан в зарегистрироваться, а не в стеке.
- Необходимо учитывать длину адресов — 32 бита против 64 бит.
- MASM64 не имеет инструкций, которые помещает все регистры в стек (например, pushad в 32-битной версии), так что это это можно сделать, явно задав все регистры.
Я следовал этим рекомендациям и запустил пример из статьи, но ничего из того, что я сделал, не сработало.
Целевой процесс просто разбился в тот момент, когда я возобновил основной поток, и я не знаю, как на самом деле разобраться в этом, потому что ollydbg не поддерживает 64-битную версию.
Вот как выглядит код до того, как я его внедрил:
codeToInject:
000000013FACD000 push 7741933Ah
000000013FACD005 pushfq
000000013FACD006 push rax
000000013FACD007 push rcx
000000013FACD008 push rdx
000000013FACD009 push rbx
000000013FACD00A push rbp
000000013FACD00B push rsi
000000013FACD00C push rdi
000000013FACD00D push r8
000000013FACD00F push r9
000000013FACD011 push r10
000000013FACD013 push r11
000000013FACD015 push r12
000000013FACD017 push r13
000000013FACD019 push r14
000000013FACD01B push r15
000000013FACD01D mov rcx,2CA0000h
000000013FACD027 mov rax,76E36F80h
000000013FACD031 call rax
000000013FACD033 pop r15
000000013FACD035 pop r14
000000013FACD037 pop r13
000000013FACD039 pop r12
000000013FACD03B pop r11
000000013FACD03D pop r10
000000013FACD03F pop r9
000000013FACD041 pop r8
000000013FACD043 pop rdi
000000013FACD044 pop rsi
000000013FACD045 pop rbp
000000013FACD046 pop rbx
000000013FACD047 pop rdx
000000013FACD048 pop rcx
000000013FACD049 pop rax
000000013FACD04A popfq
000000013FACD04B ret
По-моему, все в порядке, но я кое-что упускаю.
Мой полный код можно найти здесь: Исходный код
Есть идеи\предложения\альтернативы?