原文地址：http://home.inf.fh-rhein-sieg.de/~ikarim2s/how2injectcode/code_inject.html
前期準備：
首先，我們需要一個調試器，這里我比較喜歡OLLYDBG ---我認為他是這個世界上最好的調試器 :P)
第二，我們需要一個拿來注入我們代碼的應用程序，我選擇的是windows的記事本（notepad.exe），把notepad.exe拷貝到一個新的目錄下，
并把它重命名為CodeInjectTest。
開始
我們的目標是往Notepad.EXE 注入一些我們想要的代碼，在例子中我們將在Notepad.EXE啟動的時候注入一個簡單的對話框。
啟動記事本，如下是原本的記事本的樣子。
用OD打開原始的notepad，如果沒什么差錯的話，你應該會看到下面的窗口。
因為我們需要往exe中注入自己的代碼，因此需要遭到應用程序的空白處，這個空白處我們把它叫做CodeCaves。滾動od中的cpu窗口，
知道我們找到CodeCaves。如下：
地址從01008747開始。
在標紅的區域中，就是notepad的CodeCave。在這里我們可以寫一些自己想要的代碼，而且他不會影響程序的正常運行。如果我們想要調用 Messagebox，
你需要知道一下關于Messagebox的介紹：
int MessageBox(
HWND hWnd, // handle of owner window
LPCTSTR lpText, // address of text in message box
LPCTSTR lpCaption, // address of title of message box
UINT uType // style of message box
);
這些就是你必須知道的一些關于MessageBox的東西，現在我們可以在CodeCaves 下做一些自己的事情了。首先，我們要創建MessageBox里顯示的
提示信息的字符串，這里我們選擇幾行CodeCaves，如下：
點擊 Binary=>Edit or (CTRL+E)你將看到如下的窗口，在窗口中輸入你自己想填寫的：
點擊ok，你將會看到那些紅色代碼就是你修改的：
現在用CTRL+A 在分析一下代碼。
Ok，如果你希望MessageBox ，有不同的標題屬性，你可以重復上述的操作，創建另外一個字符串，如"INJECTED NOTEPAD"。
現在是時候編寫 asm代碼的時候了 ;)
我們需要編寫觸發MessageBox 的asm代碼。這是一些快速的例子如下：
PUSH 0 ; BUTTONS = <OK ONLY>
PUSH 1008751 ; CAPTION = Our adress of the "INJECTED NOTEPAD"
PUSH 1008751 ; MESSAGE = Same like above.
PUSH 0 ; ICON = <NO ICON>
CALL MessageBoxA ; Run MessageBoxA with the Params above.
這些代碼在od上看起來應該是這個樣子的：
看到上面的箭頭了沒，接下來是重要的一步！如果你現在保存它并運行它，你將看不到任何的效果，為什么呢？
因為這段代碼并沒有被調用。
我們必須記住" PUSH 0" 的偏移位置，因為我們需要從程序的開始位置跳轉過來，然后在跳回去 ;)
再記住了這個地址以后，跳轉到程序的開頭位置如下：
現在來到了程序開始執行的位置。還記得我們一開始我們想往程序里加入什么嗎？ ;) 從開始選擇幾段的代碼，拷貝到剪貼板中。
把這些代碼保存在文件中去，可能等下我們會使用到它?；氐絼偛懦绦虻拈_頭位置 （在圖片中是 PUSH 70）
雙擊它，在彈出來的地方下 編寫如下的代碼"JMP <adress of your first push>"
按下Assemble 按鈕，將看到如下紅色的代碼。
注意下紅色盒子里的地址，這是我們等下需要跳回來的地方。
對比一下新的代碼和剛才拷貝到剪貼板的代碼，你會發現原來的一些代碼被覆蓋帶了，為了保持程序可執行我們必須補上這些被重寫的代碼。
在這個例子中，被覆蓋掉的代碼如下：
PUSH 70
PUSH NOTEPAD.01001898
在 CALL MessageBoxA的后面，補上這段代碼，然后跳回到原處。
一切都已經就緒了。
如下，保存一下新的記事本：
選擇"All modifications"，在彈出來的對話框中選擇"Copy All" ，給程序去一個名字，保存它，如果你成功的話，你講看到如下的窗體。
點擊
ok，記事本將正常啟動了。
總結：
1.明白要注入的代碼該怎么編寫
2.記得恢復原來被代替掉的代碼。
posted on 2013-07-02 15:38
漂漂 閱讀(25561)
評論(0) 編輯 收藏 引用