好的，我正在学习 Windows API 以及如何创建线程/进程和获得调试权限等。非常新，如果这是一个愚蠢的问题，我深表歉意。

无论如何，我正在创建一个 .dll 注入(inject)器来玩，并且已经成功地能够注入(inject) 32 位和 64 位进程，包括通过注入(inject)我的 .dll 文件的 explorer.exe。但是，我试图在标准用户模式下对此进行测试，但在弄清楚如何进行时遇到了问题。

现在我正在为 .dll 和 injector.exe 编译为 x64。我正在尝试注入(inject) x64 进程，主要是 explorer.exe(适用于管理员)。使用 Visual Studio 2012，进行了一些优化，没有 list ，没有调试(仅在需要时)。 操作系统= Win 7 x64

此外，我尝试从多个位置访问 .dll，E:\驱动器只是我硬盘上的另一个分区。

1. 为什么会发生这种情况？
2. 有哪些方法可以解决这个问题？ (如果可能，需要引用、解释和示例)

NtCreateThreadEx();调用返回一个线程 0。因此它没有正确加载。

#include <windows.h>
#include <iostream>
#include <stdlib.h>
#include <tlhelp32.h>

#define CREATE_THREAD_ACCESS (PROCESS_CREATE_THREAD | PROCESS_QUERY_INFORMATION | PROCESS_VM_OPERATION | PROCESS_VM_WRITE | PROCESS_VM_READ) 

using namespace std;

DWORD getPid(string procName);
int privileges();

typedef struct _UNICODE_STRING {
    USHORT Length;
    USHORT MaximumLength;
    PWSTR  Buffer;
} UNICODE_STRING;
typedef UNICODE_STRING *PUNICODE_STRING;

typedef struct _OBJECT_ATTRIBUTES {
    ULONG Length;
    HANDLE RootDirectory;
    PUNICODE_STRING ObjectName;
    ULONG Attributes;
    PVOID SecurityDescriptor;
    PVOID SecurityQualityOfService;
} OBJECT_ATTRIBUTES;
typedef OBJECT_ATTRIBUTES *POBJECT_ATTRIBUTES;

typedef DWORD(WINAPI *NTCREATETHREADEX)
(
PHANDLE ThreadHandle,
ACCESS_MASK DesiredAccess,
POBJECT_ATTRIBUTES ObjectAttributes,
HANDLE ProcessHandle,
LPTHREAD_START_ROUTINE lpStartAddress,
LPVOID lpParameter,
BOOL CreateSuspended,
DWORD dwStackSize,
DWORD dw1,
DWORD dw2,
LPVOID Unknown
);

int main()
{
    cout << sizeof(void*) << endl;
    privileges();  //don't mind of the result, because maybe it fails because you already have that privilege

    DWORD pid = getPid("explorer.exe");
    if (pid == 0) return 1; //error

    HANDLE p;
    p = OpenProcess(CREATE_THREAD_ACCESS, false, pid);
    if (p == NULL) return 1; //error

    char * dll = "E:\\logger_mailer.dll";
    BOOL is32 = FALSE;
    BOOL fnWow64Ret = IsWow64Process(p, &is32);

    if (!fnWow64Ret)
    {
        cout<<"Error!!!!!!"<<endl;
        return 1;
    }

    //if (is32)  //If true process is 32 bit
    //  dll = "D:\\logger_mailer.dll";
    //else
    //{
    //  dll = "D:\\logger_mailer.dll";
    //  //cout<<"Error"<<endl;
    //}

    unsigned long LoadLib = (unsigned long)GetProcAddress(GetModuleHandle("kernel32.dll"), "LoadLibraryA");

    LPVOID DataAddress = VirtualAllocEx(p, NULL, strlen(dll) + 1, MEM_RESERVE | MEM_COMMIT, PAGE_READWRITE);

    WriteProcessMemory(p, DataAddress, dll, strlen(dll), NULL);

    HANDLE thread;
    NTCREATETHREADEX NtCreateThreadEx = (NTCREATETHREADEX)GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtCreateThreadEx");
    if (NtCreateThreadEx) {
        NtCreateThreadEx(&thread, GENERIC_ALL, NULL, p, (LPTHREAD_START_ROUTINE)LoadLib, DataAddress, FALSE, NULL, NULL, NULL, NULL);
    }
    else {
        thread = CreateRemoteThread(p, NULL, NULL, (LPTHREAD_START_ROUTINE)LoadLib, DataAddress, NULL, NULL);
    }

    if (thread != 0){
        //injection completed
        WaitForSingleObject(thread, INFINITE);   //this waits untill thread thread has finished
        VirtualFree(dll, 0, MEM_RELEASE); //free myFunc memory
        VirtualFree(DataAddress, 0, MEM_RELEASE); //free data memory
        CloseHandle(thread);
        CloseHandle(p);  //don't wait for the thread to finish, just close the handle to the process
        cout << "Injection completed!" << endl;
    }
    else{
        cout << "Error!" << endl;
    }


    system("PAUSE");
    return EXIT_SUCCESS;
}

DWORD getPid(string procName){
    HANDLE hsnap;
    PROCESSENTRY32 pt;
    hsnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    pt.dwSize = sizeof(PROCESSENTRY32);
    do{
        if (!strcmp(pt.szExeFile, procName.c_str())){
            DWORD pid = pt.th32ProcessID;
            CloseHandle(hsnap);
            return pid;
        }
    } while (Process32Next(hsnap, &pt));
    CloseHandle(hsnap);
    return 0;
}

int privileges(){
    HANDLE Token;
    TOKEN_PRIVILEGES tp;
    if (OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &Token))
    {
        LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &tp.Privileges[0].Luid);
        tp.PrivilegeCount = 1;
        tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
        if (AdjustTokenPrivileges(Token, 0, &tp, sizeof(tp), NULL, NULL) == 0){
            return 1; //FAIL
        }
        else{
            return 0; //SUCCESS
        }
    }
    return 1;
}

编辑:所以，在 David 和 Harry 基本上通过一些东西来哄我之后，我发现是我的 .dll 代码失败了。此外，我不需要使用 NtCreateThreadEx()，因为 CreateRemoteThread() 确实适用于 win 7 x64。 SO 和其他网站上的许多帖子另有说明。显示一个简单的消息框以进行验证。

奇怪的是 NtCreateThreadEx() 在管理模式下工作，但在标准模式下不工作。

最佳答案

我可以看到以下问题:

1. 在对 WriteProcessMemory 的调用中，您传递了错误的长度。您需要传递 strlen(...)+1 才能编写空终止符。
2. 无需使用未记录的 NtCreateThreadEx。使用 CreateRemoteThread 非常适合注入(inject)。
3. 您只检查了一些 API 调用的错误。您需要检查所有 API 调用的错误。如果你不这样做，没有人知道他们是否成功。

就其值(value)而言，我从来不必使用 AdjustTokenPrivileges 进行注入(inject)。我相信您可以跳过这一步。

在评论中，您声明您正在注入(inject)到不同的 session 中。而且您发现您需要 NtCreateThreadEx 而不是 CreateRemoteThread，并且该注入(inject)仅在提升时有效。当然，在不同 session 中注入(inject)进程的要求非常重要。这应该包含在问题中而不是出现在评论中。

但是，对于需要提升才能注入(inject)到不同 session 中的进程，您不应该感到惊讶。对于这种情况，很可能需要添加 SE_DEBUG_NAME。

简而言之，在我看来，系统告诉您以提升的方式运行，以便注入(inject)不同 session 中的进程。这似乎很合理。

另一方面，您还在注释中声明 CreateRemoteThread 返回一个非零值。这表明成功。这似乎是说你误诊了问题。如果 CreateRemoteThread 成功，则远程线程将运行。接下来您需要找出失败的原因。

而且你还说你正试图注入(inject) explorer 进程，它不在 session 0 中运行。所以这里有很多困惑。也许我草率地添加了这个答案。

无论如何，为了让您继续，我建议:

1. 修复对 WriteProcessMemory 的调用。
2. 找出目标进程所在的 session 。
3. 添加错误检查。

关于Windows 权限，在不是管理员时获取 .dll 的句柄，不确定，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/23211328/