Code/Dll Injection Tutorial

Einleitung
Hallo Elite PvPer! [Only registered and activated users can see links. Click Here To Register...]
Auf folgende Fragen wirst du in diesem Tutorial Antworten finden:
Was ist eine "Code/Dll injection" und was bringt mir das - kann man das essen? [Only registered and activated users can see links. Click Here To Register...]
Was sind Dll-Dateien (dynamische/statische Bibliotheken) - kann man die ebenfalls essen? [Only registered and activated users can see links. Click Here To Register...]
Wie erstelle ich etwas, was "injected" werden soll?
und das wichtigste,
Wie mache ich so eine "Code injection" (/erstelle einen Injector)?
[Only registered and activated users can see links. Click Here To Register...]

Falls Fragen auftreten, die in diesem Tutorial unbeantwortet bleiben, habt ihr nat�rlich die Erlaubnis sie zu stellen! (doch nur, wenn ihr zuvor eine online Suchmaschine zu Rate gezogen habt. [Only registered and activated users can see links. Click Here To Register...] )

Was ist eine "Code/Dll injection"?
Abgesehen davon, dass die meisten, die dieses Tutorial lesen, es wahrscheinlich schon wissen, erkl�re ich es hier nocheinmal: [Only registered and activated users can see links. Click Here To Register...]
Eine Code Injection ist das Zwischenf�gen von einem Programmcode in einem Fremden Prozess. Stellen wir uns also folgendes vor:
Wir sind mal wieder am Programmieren [Only registered and activated users can see links. Click Here To Register...] und haben uns soeben eine Pizza in den Ofen geschoben - da wir gerade an einem �u�erst kniffligem Algorithmus arbeiten vergessen wir dar�ber die Zeit. Eine volle Stunde sp�ter holen wir dann unsere verbrannte Pizza aus dem Ofen und �rgern uns, dass unser Programmier Editor keinen Wecker hat, der dieses h�tte verhindern k�nnen.
Dank Code Injection k�nn man jedoch in den Editor genau so eine Funktion hinzuf�gen. Neben den Men�ellementen "New", "Open" und "Save" k�nnte dann im Editor zus�tzlich noch "Wecker" stehen und ein Fenster mit einstellbarer Alarmzeit w�rde sich bei einem Draufklicken �ffnen.
Funktionieren tut dies folgenderma�en:
1. Wir schreiben eine Dll (siehe unten), die einige Weckerfunktionen beinhaltet.
2. Wir schreiben einen "Injector" (Spritzer [Only registered and activated users can see links. Click Here To Register...]) , der die Dll zu einem Teil des Editors macht - sprich: Einen von uns selbst erstellten Wecker Code (in form einer Dll) in den Editor schleust.

(F�r wen Bibliotheken & Dll's bereits reine Routine sind, kann diesen Teil �berspringen)

Was sind Dll-Dateien (dynamische/statische Bibliotheken)
"Dll" ist eine abk�rzung f�r "Dynamic Link Library" -> also eine Dynamisch verbindbare Bibliothek. [Only registered and activated users can see links. Click Here To Register...]
Es gibt 2 g�ngige Arten von Bibliotheken (Bibliotheken = Dateien welche f�r andere Programme nutzbare Funktionen endhalten):
Die statischen (Static; meist die Dateiendungen ".o" und ".lib") und die dynamischen (Dynamic; ".dll") Librarys (Bibliotheken) [Only registered and activated users can see links. Click Here To Register...] .

Static library:
Eine Static library ist eine Datei, in der sich von andern Endwicklern vorgefertigte (compilite) Funktionen befinden. Diese Datein haben unter Windows meist die Datei-Endungen .o oder .lib und werden beim Erstellen einer .exe (ausf�hrbaren Datei) die dessen Funktionen benutzt in das Programm (per Linker[=siehe Google oder einfach weiterlesen]) eingebunden [Only registered and activated users can see links. Click Here To Register...]. Man hat also nun eine ausf�hrbare Datei.
Warum Leute soetwas machen -> gen�gt der source code denn nicht? [Only registered and activated users can see links. Click Here To Register...]
Wenn ein Entwickler anderen Leuten viele Funktionen zur Verf�gung stellen will, dauert es lange, bis der Computer diese in Maschinencode �bersetzt hat. Darum werden sie schon vor�bersetzt mitgeliefert und man kann sie wesentlich schneller in sein neues Programm integrieren. [Only registered and activated users can see links. Click Here To Register...].
Vorteil einer Static library [Only registered and activated users can see links. Click Here To Register...] :
->Immer erreichbar und blo� 1 File, statt vieler. Au�erdem bei erster Benutzung geringf�gig schneller als eine dynamische Bibliothek, da die funktionen sich im Programm selbst befinden. und nicht erst eingef�gt werden m�ssen.
->Schnelleres einbinden des Maschinen Codes in das Programm, als bei reinem Sourcecode - Somit ein schnelleres Erstellen
Nachteile [Only registered and activated users can see links. Click Here To Register...] :
->Die Static Library muss von jeder Datei, die dessen Funktionen nutzen will beim erstellen mit dem Linker eingebunden werden und erh�ht so unn�tig die Programmgr��e, falls sie von mehr als nur einer .exe benutzt wird.
Und jetzt habt ihr die Erlaubnis laut aufzust�hnen, denn die static library ist f�r eine Dll injection nicht von Relevanz [Only registered and activated users can see links. Click Here To Register...] . Jedoch Solltet ihr �ber ein Gegenst�ck zu Dll-Datein informiert sein und die Dll l�sst sich wesentlich leichter verstehen [Only registered and activated users can see links. Click Here To Register...], wenn man auch die static library kennt. Lieber zu viel wissen, als zu wenig :P

Dynamic Link Library (.dll):
Eine Dll enth�lt wie die Static library ebenfalls schon fertige (compilite) Funktionen, doch kann die Dll nicht (durch einen Linker) in die exe integriert werden, sondern muss vom laufendem Programm geladen werden werden.
Vorteile [Only registered and activated users can see links. Click Here To Register...] :
->Keine �berfl�ssige Filegr��e, wenn die funktionen von mehreren datein genutzt werden sollen.
->Leichter wartbar, da man wenn neue funktionen bei einem Update kommen man nicht das ganze programm neu ersetzen muss, sondern nur einige kleine Dll's.
->Die funktionen k�nnen zur Laufzeit geladen werden und m�ssen nicht beim erstellen der Datei eingebunden sein. Dies hat zum einen einen Resourcen Vorteil und zum anderen ist es f�r eine Code Injection ideal. [Only registered and activated users can see links. Click Here To Register...]
->Durch die Funktion DllMain kann die Dll beim eingebunden werden noch Vorkehrungen zum Initialisieren der Funktionen treffen.
Nachteile:
->Man hat mehrere Datein und es wird unter Umst�nden un�bersichtlich [Only registered and activated users can see links. Click Here To Register...]
->Eine EXTRA Datei verbraucht geringf�gig mehr Speicher als eine eingebundene und lohnt sich so gesehen also nur bei Benutzung von verschiedenen Prozessen.
Sie m�ssen extra in den Prozess geladen werden, bevor man dessen Funktionen nutzen kann -> was Zeit kostet. [Only registered and activated users can see links. Click Here To Register...]

Fazit:
Bei einer Dll injection macht man sich zum Vorteil, dass Dll-Dateien w�hrend der Laufzeit eingebunden werden k�nnen und spart somit beim Ab�ndern eines fremden Prozesses eine menge Arbeit:
Statt, dass man seine "neuen" Funktionen komplett in Assembler (siehe Google) in den Prozess einf�gen muss, muss man einfach nur den fremden Prozess die Dll laden lassen und dann in der DllMain funktion einen neuen Thread (Unterprozess des fremden Programmes, der parallele zum Hauptprozess ausgef�hrt wird) erstellen, der die gw�nschten Funktionen aus der Dll aufruft. In unserem Hack beispiel, w�re das eine Funktion, die ein Men� Ellement hinzuf�gt und beim anklicken von diesem einen Wecker erstellt.
Praktisch ist hierbei, dass nahezu jeder Windows Prozess die kernel32.dll (n�heres wie immer [Only registered and activated users can see links. Click Here To Register...]) benutzen muss, in der die Funktionen zum Dll laden vordefiniert sind.
Man muss also nur einen Aufruf dieser Kernel Funktionen mit der zu ladenen Dll als Parametern in das fremde Programm einf�gen und schwups hat man seine Dll (bzw. Code) Injection! [Only registered and activated users can see links. Click Here To Register...].

Wie erstelle ich etwas, was "injected" werden soll?
So viel zur Theorie... die Praxis ist da leider etwas komplizierter [Only registered and activated users can see links. Click Here To Register...]
Wir brauchen also einen Injector (ein Programm, dass den fremden Prozess so ver�ndert, dass die gew�nschte Dll geladen wird) und eine Dll, die wir injecten k�nnen.
Als erstes erstellen wir die Dll. Ich benutze hier die Programmiersprache C++, doch kann auch eine beliebig andere Sprache zum erstellen von Dll-Datein verwendet werden [Only registered and activated users can see links. Click Here To Register...]

Spoiler

Ich habe die Dll �brigens auch angeh�ngt.
Wer bereits einen Injector wie z.B. winject17b besitzt kann einmal probieren die Dll in NotePad zu injitieren und wird sehen, dass Notepad pl�tzlich f�hig ist, eine Message Box auszugeben [Only registered and activated users can see links. Click Here To Register...]

Wie mache ich so eine "Code injection" (/erstelle einen Injector)?
Unser zweites Ziel ist es jetzt aber, selbst einen Injector zu basteln, der unsere Dll in einen fremden Prozess (ich nehme Notepad [Only registered and activated users can see links. Click Here To Register...] ) l�d.
Dabei gehen wir nach folgendem Konzepte:
1. Wir schreiben den Pfad unserer Dll in das fremde Programm
2. Wir rufen die "LoadLibraryA" Funktion der Kernel Dll auf und �bergeben ihr den Dll-Pfad als Parameter
3. Wir warten, bis alles geklappt hat und l�schen dann den nicht mehr l�nger ben�tigten Dll Pfad aus dem fremden Prozess

Wir beginnen also mit einer schlichten Konsolen Anwendung - dem Grundger�st eines solchen Programmes:

Code:

#include "windows.h"//F�r sp�tere Funktionen n�tig
#include <iostream>//F�r sp�tere Funktionen n�tig

using namespace std;//F�r sp�tere Funktionen n�tig

int main(int argc, char* argv)//Programm Einstieg
{
    
}

Dann brauchen wir nat�rlich den Pfad zu unserer Dll und eine Prozess ID des Programmes, in das wir den Code einschleusen wollen. Ich hole mir die PID �ber den Fensternamen, doch kann man sie alternativ nat�rlich auch eingeben lassen. [Only registered and activated users can see links. Click Here To Register...]

Code:

#include "windows.h"
#include <iostream>

using namespace std;

char const Path[]="C:\\Message Box.dll";//deklariert den Pfad zu unserer dll

int main(int argc, char* argv)
{
    HANDLE hWnd;
    DWORD PID;

    hWnd = FindWindow(0, "Unbenannt - Editor");//sucht nach dem angegebenen Fenster und gibt das Hwnd zur�ck
//Parameter 1: evtl. Klasse des Fensters;     Parameter 2: Titel des Fensters
    GetWindowThreadProcessId((HWND)hWnd, &PID);//legt die PID in der Variable PID ab
//Parameter 1: hWnd eines Fensters des Prozesses;    Parameter 2: Variable, in die die PID abgelegt werden soll
}

Jetzt m�ssen wir den Ziel Prozess f�r uns zum bearbeiten freigeben. Dies kann man mit der Funktion "OpenProcess" machen, die ein verwaltendes Handle zur�ck gibt.
Wir m�ssen also zu unseren Variablen noch eine weitere Variable vom Typ "HANDLE" hinzuf�gen. [Only registered and activated users can see links. Click Here To Register...]

Code:

    HANDLE hWnd, hProcess;
    DWORD PID;

    hWnd = FindWindow(0, "Unbenannt - Editor");
    GetWindowThreadProcessId((HWND)hWnd, &PID);
    
    hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, PID);//�ffnet den Prozess mit den Berechtigungen, zum schreiben, lesen, ausf�hren, etc. (PROCESS_ALL_ACCESS)
//Parameter 1: Zugriffs Berechtigungen;    Parameter 2: unwichtig, aber auf google nachlesbar;   Parameter 3: Die PID des Prozesses, der ge�ffnet werden soll

Nun brauchen wir freien Speicherplatz im Ziel Prozess , um unseren Pfad in das Programm zu schreiben - t�ten wir das nicht, �berschrieben wir im Ernstfall andere wichtige Funktionen oder Variablen. [Only registered and activated users can see links. Click Here To Register...] Diesen freien Platz kann man mit der Funktion "VirtualAllocEx" anfordern (alternativ kann man aber auch Code Caves benutzen), die uns die Adresse des Speichers �bergibt und die wir wieder in einem HANDLE speichern.

Code:

    HANDLE hWnd, hProcess, AllocAdresse;
    DWORD PID;

    hWnd = FindWindow(0,"Unbenannt - Editor");
    GetWindowThreadProcessId((HWND)hWnd, &PID);
    
    hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, PID);

    AllocAdresse = VirtualAllocEx(hProcess, 0, sizeof(Path), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
//Parameter 1: Handle zum Prozess;    Parameter 2: Adresse ab der nach freiem Speicher gesucht werden soll
//Parameter 3: Gr��e des anzuvordernen Speichers;   Parameter 4: siehe [url=http://msdn.microsoft.com/en-us/library/aa366890%28VS.85%29.aspx]VirtualAllocEx Function (Windows)[/url]
//Parameter 5: Wof�r der Speicher verwendet werden soll (siehe [url=http://msdn.microsoft.com/en-us/library/aa366786%28VS.85%29.aspx]Memory Protection Constants (Windows)[/url])

Da uns jetzt nichts mehr im Wege steht den Pfad in den Prozess zu schreiben tun wir dies nun mit der Funktion "WriteProcessMemory":

Code:

WriteProcessMemory(hProcess, (void*)AllocAdresse, (void*)Path, sizeof(Path), 0);
//Parameter 1: Handle zum Prozess;    Parameter 2: StartAdresse, des zu beschreibenen Speichers
//Parameter 3: der Wert, der in den Speicher geschrieben werden soll;     Parameter 4: Speichergr��e des Wertes
//Parameter 5: unwichtig - siehe [url=http://msdn.microsoft.com/en-us/library/ms681674%28VS.85%29.aspx]WriteProcessMemory Function (Windows)[/url]

Jetzt haben wir endlich den Pfad in den fremden Prozess geschleust und einem Aufruf der "LoadLibraryA" Funktion steht nichts mehr im Wege. Da dies jedoch im Ziel Prozess gemacht werden muss, bedienen wir uns der "CreateRemoteThread" Funktion und speichern wie gewohnt die R�ckgabe in einem Handle. [Only registered and activated users can see links. Click Here To Register...]

Code:

    HANDLE hWnd, hProcess, AllocAdresse, hRemoteThread;
    DWORD PID;

    hWnd = FindWindow(0,"Unbenannt - Editor Editor");
    GetWindowThreadProcessId((HWND)hWnd, &PID);
    
    hProcess = OpenProcess(PROCESS_ALL_ACCESS, false, PID);

    AllocAdresse = VirtualAllocEx(hProcess, 0, sizeof(Path), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    WriteProcessMemory(hProcess, (void*)AllocAdresse, (void*)Path, sizeof(Path), 0);
    hRemoteThread=CreateRemoteThread(hProcess, 0, 0, (LPTHREAD_START_ROUTINE) GetProcAddress(GetModuleHandle("kernel32.dll"),"LoadLibraryA"), AllocAdresse, 0, 0);
//Parameter 1: Prozess Handle;    Parameter 2: unwichtig - siehe [url=http://msdn.microsoft.com/en-us/library/ms682437%28VS.85%29.aspx]CreateRemoteThread Function (Windows)[/url]
//Parameter 3: Thread Stack Gr��e (siehe [url=http://msdn.microsoft.com/en-us/library/ms686774(VS.85).aspx]Thread Stack Size (Windows)[/url])
//Parameter 4: Die Adresse der Funktion, die aufgerufen werden soll;   Parameter 5: �bergebene Parameter
//Parameter 5&6: unwichtig -> siehe [url=http://msdn.microsoft.com/en-us/library/ms682437%28VS.85%29.aspx]CreateRemoteThread Function (Windows)[/url]

Bravo[Only registered and activated users can see links. Click Here To Register...]! Der wichtigste Teil ist geschafft. Jetzt m�ssen wir nur noch warten bis die "LoadLibraryA" Funktion beendet und unsere Dll geladen ist und wir k�nnen die benutzen Resourcen weder freigeben. Zum warten eignet sich die Funktion "WaitForSingleObject", zum Speicherplatz freigeben die "VirtualFreeEx" Funktion und zum beenden der Prozessbearbeitung die "CloseHandle" Funktion. [Only registered and activated users can see links. Click Here To Register...]

Code:

WaitForSingleObject(hRemoteThread, INFINITE);
//Parameter 1: Handle zum Object;   Parameter 2: Wartezeit in Millisekunden (INFINITE steht f�r unendlich lang, ist aber einfach nur eine sehr hohe Zahl)
    VirtualFreeEx(hProcess, AllocAdresse, sizeof(Path), MEM_DECOMMIT);
//Parameter 1: Handle zum Prozess;    Parameter 2: freizugebende Startadresse;    Parameter 3: gr��e des freizugebenden Speichers
//Parameter 4: Typ des freizugebenden Speichers (siehe [url=http://msdn.microsoft.com/en-us/library/aa366894%28VS.85%29.aspx]VirtualFreeEx Function (Windows)[/url])
    CloseHandle(hProcess);
//Parameter 1: Handle zum Prozess

Herzlichen Gl�ckwunsch! Du du hast soeben einen eigenen Code Injector programmiert! [Only registered and activated users can see links. Click Here To Register...]
zusammengef�gt sollte der Code etwa folgenderma�en aussehen:

Spoiler

Debug Rechte setzen:
Wenn wir unseren Injector an mehreren Programmen testen, merken wir jedoch, dass es Prozesse gibt, in die wir nicht injecten k�nnen [Only registered and activated users can see links. Click Here To Register...]
Doch keine Sorge, denn es ist nur unser Betriebssystem, das der meinung ist, unser Programm sei noch viel zu klein um �ber andere Programme bestimmen zu k�nnen :werderw:
Wir m�ssen uns also einfach nur das besondere Pivileg verleihen, fremde Prozesse bearbeiten zu d�rfen. [Only registered and activated users can see links. Click Here To Register...] Dieses Privileg wird auch "Debug Privilege" genannt, da es in erster Linie von Debuggern (Wartungsprogramme; Eines der bekanntesten Debugger ist OllyDbg) benutzt wird.
Da wir also ein Debug Recht setzen m�ssen, hei�t unsere Funktion:

Code:

void SetDebugPrivilege() {}

Bei der Anmeldung eines Benutzers, wird ein Token (das unter anderem die Debug Privileg Information enth�lt) erstellt, in dem steht, was der User (und somit auch die Programme) darf oder nicht darf. Jeder Prozess bekommt eine Kopie dieses Tokens zugewiesen und eben diese nutzen wir jetzt um unser Recht durchzusetzen. (man beachte den Wortwitz [Only registered and activated users can see links. Click Here To Register...])
Wir brauchen also eine Variable f�r das Handle unsere Prozesses und eine f�r das Handle des Tokens.

Code:

void SetDebugPrivilege() 
{
	HANDLE hProcess=GetCurrentProcess(), hToken;
}

Jetzt brauchen wir noch das neue Debug Privileg, dass wir in das Token statt des alten einsetzen k�nnen. [Only registered and activated users can see links. Click Here To Register...]

Code:

void SetDebugPrivilege() 
{
	HANDLE hProcess=GetCurrentProcess(), hToken;
	TOKEN_PRIVILEGES priv;
}

und eine LUID (Locally Unique Identifier). Dies ist eine Variable, die nur einmal auf dem PC vorkommt und in der eine art Privilegien-Erkennungsnummer abgespeichert wird, die wir brauchen, um festzulegen, was genau unser "neues" privileg bewirken soll. In unserem Falle w�re das die LUID von "seDebugPrivilege". [Only registered and activated users can see links. Click Here To Register...]

Code:

void SetDebugPrivilege() 
{
	HANDLE hProcess=GetCurrentProcess(), hToken;
	TOKEN_PRIVILEGES priv;
	LUID luid;

	OpenProcessToken(hProcess, TOKEN_ADJUST_PRIVILEGES, &hToken);//�ffnet unser Prozess token zum "anpassen"(adjust) und speichert ein handle zum verwalten in hToken ab.
	LookupPrivilegeValue(0, "seDebugPrivilege", &luid)/*speichert den LUID wert von "seDebugPrivilege" in die LUID-Variable. 0 hei�t, 
	dass es die LUID von unserem System und nicht etwa die eines remote-systems sein soll*/
}

Da wir jetzt die LUID besitzen und unser token zum bearbeiten freigegeben haben, k�nnen wir jetzt endlich unser privileg konkretisieren und anpassen. F�r den Fall, dass man mehrere Rechte auf einmal setzen will, ist das struct "[Only registered and activated users can see links. Click Here To Register...]" in ein Privilegien array und ein integer mit der anzahl der Privilegien, die man hinzuf�gen will, eingeteilt.
wir m�ssen also die Anzahl der zusetzenden Privilegen angeben (in unserem Fall nur eins) und dann noch schnell das Privileg beschreiben, bevor wir es dann setzen. [Only registered and activated users can see links. Click Here To Register...]

Spoiler

zum Schluss m�ssen wir nurnoch unsere beiden Handle wieder schlie�en und wir haben unsere funktion fertig! :burns:

Spoiler

Diese Funktion rufen wir dann am Anfang der "Main"-Funktion des injectors auf und k�nnen neue erfolgreichere Testversuche machen. [Only registered and activated users can see links. Click Here To Register...]
ACHTUNG: Der Injector muss mit Administratorrechten ausgef�hrt werden!

Ich hoffe sehr, dass euch das Tutorial gefallen hat und epvp&AutoitBot (Das Original Tutorial habe ich heir ver�ffentlicht: [Only registered and activated users can see links. Click Here To Register...]) freuen sich selbstverst�ndlich �ber Ergebnisse! [Only registered and activated users can see links. Click Here To Register...]
MFG,
Deathly Assassin

Anmerkung: Im Anhang Befindet sich die im Tutorial benutzte Dll und eine Autoit UDF, die es erm�glicht in der Scriptsprache Autoit einen Injector zu erstellen (enthaltene Funktionen: _InjectAttachDll; _InjectDetachDllEx; _InjectDetachDll; _InjectModulInfo)