Я хочу внедрить dll в уже запущенный процесс, чтобы проследить за вызовами WINAPI функций в нём. Для этого из книги Джеффри Рихтера Windows via C/C++ я взял функцию для inject'a dll из 22 главы(22-ImgWalk и 22-InjLib). Протестировал функцию: она работает и вижу, что в приложение загрузилась моя инъектированная dll. (Я упоминаю это, чтобы показать,что инжектор работает.)
Для перехвата функций я использую библиотеку detours. Я собрал её через nmake(64 бит), добавил lib-файлы в проект и запустил пробный пример simple через инжектор из книги - всё заработало и вызов sleep перехватился и дополнился "объездной" функцией. (Я это упоминаю,чтобы показать, что библиотека собрана верно.)
Затем хочу запустить пример traceapi (он как раз делает то, что мне нужно). Документация утверждает,что вывод записывается через второе приложение syelog. Nmake собрал все эти примеры и они работают. Я хочу собрать своими руками dll из traceapi и внедрить его через инжектор в нужный процесс и видеть в syelog логи. И тут начинаются проблемы:
1. Исходник trcapi.cpp
, где находится DllMain, включает через #include _win32.cpp
source-файл. Но возникало много ошибок, поэтому содержимое этого _win32.cpp вставил вместо этого include (По определению #include вставляет содержимое файла). Вдобавок оказалось необходимым #pragma comment(lib, "ws2_32.lib")
. Верно ли я собрал dll-файл? Может из-за этого возникнет ошибка в дальнейшем?
Собрав dll, я хочу внедрить её в процесс. Инжектор внедряет только что собранную dll в нужный процесс. И целевой процесс падает. Тогда я присоединяюсь к процессу,куда внедрена моя dll, с помощью отладчика VS и вижу ошибку:
Вызвано исключение по адресу 0x00007FFFB53B832D в notepad.exe: 0xC0000005: нарушение прав доступа при исполнении по адресу 0x00007FFFB53B832D.Необработанное исключение по адресу 0x00007FFFB53B832D в notepad.exe: 0xC0000005: нарушение прав доступа при исполнении по адресу 0x00007FFFB53B832D.
Приложение,пишущее логи, не записало ни одного лога, хоть и функции для отправки сообщения вызывались. Проверяю отладчиком Wingbd:trcapi64.dll: DllMain DLL_PROCESS_ATTACH trcapi64.dll: DllMain DLL_THREAD_DETACH trcapi64.dll: DllMain DLL_THREAD_ATTACH trcapi64.dll: DllMain DLL_PROCESS_DETACH (794c.9440): Access violation - code c0000005 (first chance) First chance exceptions are reported before any exception handling. This exception may be expected and handled. <Unloaded_dl.dll>+0xd832d: 00007fff`b231832d ?? ??? 0:007> g (794c.9440): Access violation - code c0000005 (!!! second chance !!!)
В чём может быть причина такого поведения? Почему происходит краш?
Уровень целостности у инжектора высокий(запущен от администратора), а у внедряемого процесса - средний, поэтому в этом ошибки быть не может.
Исходник инжектора(это было оконное приложение, но я сделал его консольным.PID записывается в переменную)
/******************************************************************************
Module: InjLib.cpp
Notices: Copyright (c) 2008 Jeffrey Richter & Christophe Nasarre
******************************************************************************/
#include "..\CommonFiles\CmnHdr.h" /* See Appendix A. */
#include <windowsx.h>
#include <stdio.h>
#include <tchar.h>
#include <malloc.h> // For alloca
#include <TlHelp32.h>
//#include "Resource.h"
#include <StrSafe.h>
#include<Windows.h>
#include<tlhelp32.h>
#ifdef UNICODE
#define InjectLib InjectLibW
#define EjectLib EjectLibW
#else
#define InjectLib InjectLibA
#define EjectLib EjectLibA
#endif // !UNICODE
BOOL WINAPI InjectLibW(DWORD dwProcessId, PCWSTR pszLibFile) {
BOOL bOk = FALSE; // Assume that the function fails
HANDLE hProcess = NULL, hThread = NULL;
PWSTR pszLibFileRemote = NULL;
__try {
// Get a handle for the target process.
hProcess = OpenProcess(
PROCESS_QUERY_INFORMATION | // Required by Alpha
PROCESS_CREATE_THREAD | // For CreateRemoteThread
PROCESS_VM_OPERATION | // For VirtualAllocEx/VirtualFreeEx
PROCESS_VM_WRITE, // For WriteProcessMemory
FALSE, dwProcessId);
if (hProcess == NULL) __leave;
// Calculate the number of bytes needed for the DLL's pathname
int cch = 1 + lstrlenW(pszLibFile);
int cb = cch * sizeof(wchar_t);
// Allocate space in the remote process for the pathname
pszLibFileRemote = (PWSTR)
VirtualAllocEx(hProcess, NULL, cb, MEM_COMMIT, PAGE_READWRITE);
if (pszLibFileRemote == NULL) __leave;
// Copy the DLL's pathname to the remote process' address space
if (!WriteProcessMemory(hProcess, pszLibFileRemote,
(PVOID)pszLibFile, cb, NULL)) __leave;
// Get the real address of LoadLibraryW in Kernel32.dll
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "LoadLibraryW");
if (pfnThreadRtn == NULL) __leave;
// Create a remote thread that calls LoadLibraryW(DLLPathname)
hThread = CreateRemoteThread(hProcess, NULL, 0,
pfnThreadRtn, pszLibFileRemote, 0, NULL);
if (hThread == NULL) __leave;
// Wait for the remote thread to terminate
WaitForSingleObject(hThread, INFINITE);
bOk = TRUE; // Everything executed successfully
}
__finally { // Now, we can clean everything up
// Free the remote memory that contained the DLL's pathname
if (pszLibFileRemote != NULL)
VirtualFreeEx(hProcess, pszLibFileRemote, 0, MEM_RELEASE);
if (hThread != NULL)
CloseHandle(hThread);
if (hProcess != NULL)
CloseHandle(hProcess);
}
return(bOk);
}
BOOL WINAPI InjectLibA(DWORD dwProcessId, PCSTR pszLibFile) {
// Allocate a (stack) buffer for the Unicode version of the pathname
SIZE_T cchSize = lstrlenA(pszLibFile) + 1;
PWSTR pszLibFileW = (PWSTR)
_alloca(cchSize * sizeof(wchar_t));
// Convert the ANSI pathname to its Unicode equivalent
StringCchPrintfW(pszLibFileW, cchSize, L"%S", pszLibFile);
// Call the Unicode version of the function to actually do the work.
return(InjectLibW(dwProcessId, pszLibFileW));
}
BOOL WINAPI EjectLibW(DWORD dwProcessId, PCWSTR pszLibFile) {
BOOL bOk = FALSE; // Assume that the function fails
HANDLE hthSnapshot = NULL;
HANDLE hProcess = NULL, hThread = NULL;
__try {
// Grab a new snapshot of the process
hthSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, dwProcessId);
if (hthSnapshot == INVALID_HANDLE_VALUE) __leave;
// Get the HMODULE of the desired library
MODULEENTRY32W me = { sizeof(me) };
BOOL bFound = FALSE;
BOOL bMoreMods = Module32FirstW(hthSnapshot, &me);
for (; bMoreMods; bMoreMods = Module32NextW(hthSnapshot, &me)) {
bFound = (_wcsicmp(me.szModule, pszLibFile) == 0) ||
(_wcsicmp(me.szExePath, pszLibFile) == 0);
if (bFound) break;
}
if (!bFound) __leave;
// Get a handle for the target process.
hProcess = OpenProcess(
PROCESS_QUERY_INFORMATION |
PROCESS_CREATE_THREAD |
PROCESS_VM_OPERATION, // For CreateRemoteThread
FALSE, dwProcessId);
if (hProcess == NULL) __leave;
// Get the real address of FreeLibrary in Kernel32.dll
PTHREAD_START_ROUTINE pfnThreadRtn = (PTHREAD_START_ROUTINE)
GetProcAddress(GetModuleHandle(TEXT("Kernel32")), "FreeLibrary");
if (pfnThreadRtn == NULL) __leave;
// Create a remote thread that calls FreeLibrary()
hThread = CreateRemoteThread(hProcess, NULL, 0,
pfnThreadRtn, me.modBaseAddr, 0, NULL);
if (hThread == NULL) __leave;
// Wait for the remote thread to terminate
WaitForSingleObject(hThread, INFINITE);
bOk = TRUE; // Everything executed successfully
}
__finally { // Now we can clean everything up
if (hthSnapshot != NULL)
CloseHandle(hthSnapshot);
if (hThread != NULL)
CloseHandle(hThread);
if (hProcess != NULL)
CloseHandle(hProcess);
}
return(bOk);
}
BOOL WINAPI EjectLibA(DWORD dwProcessId, PCSTR pszLibFile) {
// Allocate a (stack) buffer for the Unicode version of the pathname
SIZE_T cchSize = lstrlenA(pszLibFile) + 1;
PWSTR pszLibFileW = (PWSTR)
_alloca(cchSize * sizeof(wchar_t));
// Convert the ANSI pathname to its Unicode equivalent
StringCchPrintfW(pszLibFileW, cchSize, L"%S", pszLibFile);
// Call the Unicode version of the function to actually do the work.
return(EjectLibW(dwProcessId, pszLibFileW));
}
void Dlg_OnCommand()
{
// тут PID
DWORD dwProcessId = 12744;//GetDlgItemInt(hWnd, IDC_PROCESSID, NULL, FALSE);
if (dwProcessId == 0) {
// A process ID of 0 causes everything to take place in the
// local process; this makes things easier for debugging.
dwProcessId = GetCurrentProcessId();
}
TCHAR szLibFile[MAX_PATH];
GetModuleFileName(NULL, szLibFile, _countof(szLibFile));
PTSTR pFilename = _tcsrchr(szLibFile, TEXT('\\')) + 1;
_tcscpy_s(pFilename, _countof(szLibFile) - (pFilename - szLibFile),
TEXT("dl.dll"));
if (InjectLib(dwProcessId, szLibFile))
{
//chVERIFY(EjectLib(dwProcessId, szLibFile));
EjectLib(dwProcessId, szLibFile);
//chMB("DLL Injection/Ejection successful.");
printf("DLL Injection/Ejection successful.");
}
else {
//chMB("DLL Injection/Ejection failed.");
printf("DLL Injection/Ejection failed.");
}
}
int main()
{
Dlg_OnCommand();
return(0);
}
И сама dll(она очень большая). (Это файл trcapi.cpp, но вместо include_win32.cpp вставлено содержимое файла win32.cpp)
//////////////////////////////////////////////////////////////////////////////
//
// Detours Test Program (trcapi.cpp of trcapi.dll)
//
// Microsoft Research Detours Package
//
// Copyright (c) Microsoft Corporation. All rights reserved.
//
#undef WIN32_LEAN_AND_MEAN
#define _WIN32_WINNT 0x400
#define WIN32
#define NT
#define _WINSOCK_DEPRECATED_NO_WARNINGS
#pragma comment(lib, "ws2_32.lib")
#define DBG_TRACE 0
#if _MSC_VER >= 1300
#include <winsock2.h>
//#include<winsock.h>
#endif
#include <Windows.h>
#include <stdio.h>
#pragma warning(push)
#if _MSC_VER > 1400
#pragma warning(disable:6102 6103) // /analyze warnings
#endif
#include <strsafe.h>
#pragma warning(pop)
#include"../detour/include/detours.h"
#include "../detour/include/syelog.h"
#if (_MSC_VER < 1299)
#define LONG_PTR LONG
#define ULONG_PTR ULONG
#define PLONG_PTR PLONG
#define PULONG_PTR PULONG
#define INT_PTR INT
#define UINT_PTR UINT
#define PINT_PTR PINT
#define PUINT_PTR PUINT
#define DWORD_PTR DWORD
#define PDWORD_PTR PDWORD
#endif
#pragma warning(disable:4996) // We don't care about deprecated APIs.
//////////////////////////////////////////////////////////////////////////////
#pragma warning(disable:4127) // Many of our asserts are constants.
#define ASSERT_ALWAYS(x) \
do { \
if (!(x)) { \
AssertMessage(#x, __FILE__, __LINE__); \
DebugBreak(); \
} \
} while (0)
#ifndef NDEBUG
#define ASSERT(x) ASSERT_ALWAYS(x)
#else
#define ASSERT(x)
#endif
#define UNUSED(c) (c) = (c)
//////////////////////////////////////////////////////////////////////////////
static HMODULE s_hInst = NULL;
static WCHAR s_wzDllPath[MAX_PATH];
static CHAR s_szDllPath[MAX_PATH];
BOOL ProcessEnumerate();
BOOL InstanceEnumerate(HINSTANCE hInst);
VOID _PrintEnter(const CHAR *psz, ...);
VOID _PrintExit(const CHAR *psz, ...);
VOID _Print(const CHAR *psz, ...);
VOID _VPrint(PCSTR msg, va_list args, PCHAR pszBuf, LONG cbBuf);
VOID AssertMessage(const char* pszMsg, const char* pszFile, ULONG nLine);
//////////////////////////////////////////////////////////////////////////////
//
// Trampolines
//
extern "C" {
// Trampolines for SYELOG library.
//
extern HANDLE(WINAPI *Real_CreateFileW)(LPCWSTR a0, DWORD a1, DWORD a2,
LPSECURITY_ATTRIBUTES a3, DWORD a4, DWORD a5,
HANDLE a6);
extern BOOL(WINAPI *Real_WriteFile)(HANDLE hFile,
LPCVOID lpBuffer,
DWORD nNumberOfBytesToWrite,
LPDWORD lpNumberOfBytesWritten,
LPOVERLAPPED lpOverlapped);
extern BOOL(WINAPI *Real_FlushFileBuffers)(HANDLE hFile);
extern BOOL(WINAPI *Real_CloseHandle)(HANDLE hObject);
extern BOOL(WINAPI *Real_WaitNamedPipeW)(LPCWSTR lpNamedPipeName, DWORD nTimeOut);
extern BOOL(WINAPI *Real_SetNamedPipeHandleState)(HANDLE hNamedPipe,
LPDWORD lpMode,
LPDWORD lpMaxCollectionCount,
LPDWORD lpCollectDataTimeout);
extern DWORD(WINAPI *Real_GetCurrentProcessId)(VOID);
extern VOID(WINAPI *Real_GetSystemTimeAsFileTime)(LPFILETIME lpSystemTimeAsFileTime);
VOID(WINAPI * Real_InitializeCriticalSection)(LPCRITICAL_SECTION lpSection)
= InitializeCriticalSection;
VOID(WINAPI * Real_EnterCriticalSection)(LPCRITICAL_SECTION lpSection)
= EnterCriticalSection;
VOID(WINAPI * Real_LeaveCriticalSection)(LPCRITICAL_SECTION lpSection)
= LeaveCriticalSection;
}
//////////////////////////////////////////////////////////////////////////////
//
// Detours Test Program (_win32.cpp of traceapi.dll)
//
// Microsoft Research Detours Package
//
// Copyright (c) Microsoft Corporation. All rights reserved.
//
///////////////////////////////////////////////////////////////// Trampolines.
//
int(__stdcall * Real_AbortDoc)(HDC a0)
= AbortDoc;
BOOL(__stdcall * Real_AbortPath)(HDC a0)
= AbortPath;
HKL(__stdcall * Real_ActivateKeyboardLayout)(HKL a0,
UINT a1)
= ActivateKeyboardLayout;
ATOM(__stdcall * Real_AddAtomA)(LPCSTR a0)
= AddAtomA;
ATOM(__stdcall * Real_AddAtomW)(LPCWSTR a0)
= AddAtomW;
int(__stdcall * Real_AddFontResourceA)(LPCSTR a0)
= AddFontResourceA;
int(__stdcall * Real_AddFontResourceW)(LPCWSTR a0)
= AddFontResourceW;
BOOL(__stdcall * Real_AdjustWindowRect)(LPRECT a0,
DWORD a1,
BOOL a2)
= AdjustWindowRect;
BOOL(__stdcall * Real_AdjustWindowRectEx)(LPRECT a0,
DWORD a1,
BOOL a2,
DWORD a3)
= AdjustWindowRectEx;
BOOL(__stdcall * Real_AllocConsole)(void)
= AllocConsole;
BOOL(__stdcall * Real_AngleArc)(HDC a0,
int a1,
int a2,
DWORD a3,
FLOAT a4,
FLOAT a5)
= AngleArc;
BOOL(__stdcall * Real_AnimatePalette)(HPALETTE a0,
UINT a1,
UINT a2,
CONST PALETTEENTRY* a3)
= AnimatePalette;
здесь и далее будут указатели на функции..
Затем их "объезды"
...
INT __stdcall Mine_WSAInstallServiceClassW(LPWSASERVICECLASSINFOW a0)
{
_PrintEnter("WSAInstallServiceClassW(%p)\n", a0);
INT rv = 0;
__try {
rv = Real_WSAInstallServiceClassW(a0);
}
__finally {
_PrintExit("WSAInstallServiceClassW() -> %p\n", rv);
};
return rv;
}
...
BOOL ThreadAttach(HMODULE hDll)
{
(void)hDll;
if (s_nTlsIndent >= 0) {
TlsSetValue(s_nTlsIndent, (PVOID)0);
}
if (s_nTlsThread >= 0) {
LONG nThread = InterlockedIncrement(&s_nThreadCnt);
TlsSetValue(s_nTlsThread, (PVOID)(LONG_PTR)nThread);
}
return TRUE;
}
BOOL ThreadDetach(HMODULE hDll)
{
(void)hDll;
if (s_nTlsIndent >= 0) {
TlsSetValue(s_nTlsIndent, (PVOID)0);
}
if (s_nTlsThread >= 0) {
TlsSetValue(s_nTlsThread, (PVOID)0);
}
return TRUE;
}
BOOL ProcessAttach(HMODULE hDll)
{
s_bLog = FALSE;
s_nTlsIndent = TlsAlloc();
s_nTlsThread = TlsAlloc();
ThreadAttach(hDll);
WCHAR wzExeName[MAX_PATH];
s_hInst = hDll;
Real_GetModuleFileNameW(hDll, s_wzDllPath, ARRAYSIZE(s_wzDllPath));
Real_GetModuleFileNameW(NULL, wzExeName, ARRAYSIZE(wzExeName));
StringCchPrintfA(s_szDllPath, ARRAYSIZE(s_szDllPath), "%ls", s_wzDllPath);
SyelogOpen("trcapi" DETOURS_STRINGIFY(DETOURS_BITS), SYELOG_FACILITY_APPLICATION);
ProcessEnumerate();
LONG error = AttachDetours();
if (error != NO_ERROR) {
Syelog(SYELOG_SEVERITY_FATAL, "### Error attaching detours: %d\n", error);
}
s_bLog = TRUE;
return TRUE;
}
BOOL ProcessDetach(HMODULE hDll)
{
ThreadDetach(hDll);
s_bLog = FALSE;
LONG error = DetachDetours();
if (error != NO_ERROR) {
Syelog(SYELOG_SEVERITY_FATAL, "### Error detaching detours: %d\n", error);
}
Syelog(SYELOG_SEVERITY_NOTICE, "### Closing.\n");
SyelogClose(FALSE);
if (s_nTlsIndent >= 0) {
TlsFree(s_nTlsIndent);
}
if (s_nTlsThread >= 0) {
TlsFree(s_nTlsThread);
}
return TRUE;
}
BOOL APIENTRY DllMain(HINSTANCE hModule, DWORD dwReason, PVOID lpReserved)
{
(void)hModule;
(void)lpReserved;
BOOL ret;
if (DetourIsHelperProcess()) {
return TRUE;
}
switch (dwReason) {
case DLL_PROCESS_ATTACH:
DetourRestoreAfterWith();
OutputDebugStringA("trcapi" DETOURS_STRINGIFY(DETOURS_BITS) ".dll:"
" DllMain DLL_PROCESS_ATTACH\n");
return ProcessAttach(hModule);
case DLL_PROCESS_DETACH:
ret = ProcessDetach(hModule);
OutputDebugStringA("trcapi" DETOURS_STRINGIFY(DETOURS_BITS) ".dll:"
" DllMain DLL_PROCESS_DETACH\n");
return ret;
case DLL_THREAD_ATTACH:
OutputDebugStringA("trcapi" DETOURS_STRINGIFY(DETOURS_BITS) ".dll:"
" DllMain DLL_THREAD_ATTACH\n");
return ThreadAttach(hModule);
case DLL_THREAD_DETACH:
OutputDebugStringA("trcapi" DETOURS_STRINGIFY(DETOURS_BITS) ".dll:"
" DllMain DLL_THREAD_DETACH\n");
return ThreadDetach(hModule);
}
return TRUE;
}
Я постарался очень подробно описать,что я делал, но я не могу понять,почему происходит ошибка. Можете помочь?