原文地址：http://home.inf.fh-rhein-sieg.de/~ikarim2s/how2injectcode/code_inject.html
前期準(zhǔn)備：
首先，我們需要一個(gè)調(diào)試器，這里我比較喜歡OLLYDBG ---我認(rèn)為他是這個(gè)世界上最好的調(diào)試器 :P)
第二，我們需要一個(gè)拿來注入我們代碼的應(yīng)用程序，我選擇的是windows的記事本（notepad.exe），把notepad.exe拷貝到一個(gè)新的目錄下，
并把它重命名為CodeInjectTest。
開始
我們的目標(biāo)是往Notepad.EXE 注入一些我們想要的代碼，在例子中我們將在Notepad.EXE啟動(dòng)的時(shí)候注入一個(gè)簡(jiǎn)單的對(duì)話框。
啟動(dòng)記事本，如下是原本的記事本的樣子。
用OD打開原始的notepad，如果沒什么差錯(cuò)的話，你應(yīng)該會(huì)看到下面的窗口。
因?yàn)槲覀冃枰?font face="Tahoma">exe中注入自己的代碼，因此需要遭到應(yīng)用程序的空白處，這個(gè)空白處我們把它叫做CodeCaves。滾動(dòng)od中的cpu窗口，
知道我們找到CodeCaves。如下：
地址從01008747開始。
在標(biāo)紅的區(qū)域中，就是notepad的CodeCave。在這里我們可以寫一些自己想要的代碼，而且他不會(huì)影響程序的正常運(yùn)行。如果我們想要調(diào)用 Messagebox，
你需要知道一下關(guān)于Messagebox的介紹：
int MessageBox(
HWND hWnd, // handle of owner window
LPCTSTR lpText, // address of text in message box
LPCTSTR lpCaption, // address of title of message box
UINT uType // style of message box
);
這些就是你必須知道的一些關(guān)于MessageBox的東西，現(xiàn)在我們可以在CodeCaves 下做一些自己的事情了。首先，我們要?jiǎng)?chuàng)建MessageBox里顯示的
提示信息的字符串，這里我們選擇幾行CodeCaves，如下：
點(diǎn)擊 Binary=>Edit or (CTRL+E)你將看到如下的窗口，在窗口中輸入你自己想填寫的：
點(diǎn)擊ok，你將會(huì)看到那些紅色代碼就是你修改的：
現(xiàn)在用CTRL+A 在分析一下代碼。
Ok，如果你希望MessageBox ，有不同的標(biāo)題屬性，你可以重復(fù)上述的操作，創(chuàng)建另外一個(gè)字符串，如"INJECTED NOTEPAD"。
現(xiàn)在是時(shí)候編寫 asm代碼的時(shí)候了 ;)
我們需要編寫觸發(fā)MessageBox 的asm代碼。這是一些快速的例子如下：
PUSH 0 ; BUTTONS = <OK ONLY>
PUSH 1008751 ; CAPTION = Our adress of the "INJECTED NOTEPAD"
PUSH 1008751 ; MESSAGE = Same like above.
PUSH 0 ; ICON = <NO ICON>
CALL MessageBoxA ; Run MessageBoxA with the Params above.
這些代碼在od上看起來應(yīng)該是這個(gè)樣子的：
看到上面的箭頭了沒，接下來是重要的一步！如果你現(xiàn)在保存它并運(yùn)行它，你將看不到任何的效果，為什么呢？
因?yàn)檫@段代碼并沒有被調(diào)用。
我們必須記住" PUSH 0" 的偏移位置，因?yàn)槲覀冃枰獜某绦虻拈_始位置跳轉(zhuǎn)過來，然后在跳回去 ;)
再記住了這個(gè)地址以后，跳轉(zhuǎn)到程序的開頭位置如下：
現(xiàn)在來到了程序開始執(zhí)行的位置。還記得我們一開始我們想往程序里加入什么嗎？ ;) 從開始選擇幾段的代碼，拷貝到剪貼板中。
把這些代碼保存在文件中去，可能等下我們會(huì)使用到它。回到剛才程序的開頭位置 （在圖片中是 PUSH 70）
雙擊它，在彈出來的地方下 編寫如下的代碼"JMP <adress of your first push>"
按下Assemble 按鈕，將看到如下紅色的代碼。
注意下紅色盒子里的地址，這是我們等下需要跳回來的地方。
對(duì)比一下新的代碼和剛才拷貝到剪貼板的代碼，你會(huì)發(fā)現(xiàn)原來的一些代碼被覆蓋帶了，為了保持程序可執(zhí)行我們必須補(bǔ)上這些被重寫的代碼。
在這個(gè)例子中，被覆蓋掉的代碼如下：
PUSH 70
PUSH NOTEPAD.01001898
在 CALL MessageBoxA的后面，補(bǔ)上這段代碼，然后跳回到原處。
一切都已經(jīng)就緒了。
如下，保存一下新的記事本：
選擇"All modifications"，在彈出來的對(duì)話框中選擇"Copy All" ，給程序去一個(gè)名字，保存它，如果你成功的話，你講看到如下的窗體。
點(diǎn)擊
ok，記事本將正常啟動(dòng)了。
總結(jié)：
1.明白要注入的代碼該怎么編寫
2.記得恢復(fù)原來被代替掉的代碼。
posted on 2013-07-02 15:38
漂漂 閱讀(24927)
評(píng)論(0) 編輯 收藏 引用