Внедрение кода с C #

Question

Можете ли вы использовать хуки Windows или другие методы для внедрения кода с помощью c #? Я видел много вещей о внедрении кода, но все они сделаны на C / C ++. Я не знаю ни одного из этих языков, и мне очень трудно переводить. У кого-нибудь есть идеи как это сделать?

Answer 1

Кевин, это возможно. Вы можете создать библиотеку с помощью обработчика окон, используя управляемый C ++. Все, что вам нужно сделать, это внедрить этот хук в какое-то приложение, используя стандартный WinAPI (SetWindowsHookEx и т. Д.). Внутри этого хука вы можете вызвать метод System :: AppDomain :: CurrentDomain-> Load, чтобы загрузить вашу сборку в AppDomain целевого приложения. Затем вы можете вызывать методы, определенные в вашей сборке, используя отражение. Например, Snoop использует этот метод.

Answer 2

РЕДАКТИРОВАТЬ: Кажется, я неправильно истолковал вопрос .... У меня было впечатление, что вопрос был о внедрении кода в текущий процесс. <Ч /> Я вступаю в партию довольно поздно, но я использовал именно это несколько недель назад:

Делегат содержит закрытые поля IntPtr _methodPtr и IntPtr _methodPtrAux, которые представляют адрес памяти тела. Установив в поле (через отражение) определенные значения, можно изменить адрес памяти, на который будет указывать EIP.
Используя эту информацию, можно сделать следующее:

1. Создать массив с байтами сборки, которые должны быть выполнены
2. Переместить указатель метода делегата на рассматриваемые байты
3. Позвонить делегату
4. Прибыль ???

(Конечно, вы можете изменить значение _methodPtr на любой адрес памяти - даже в пространстве ядра, но для этого могут потребоваться соответствующие привилегии выполнения). <Ч /> У меня есть пример рабочего кода, если вы хотите:

public static unsafe int? InjectAndRunX86ASM(this Func<int> del, byte[] asm)
{
    if (del != null)
        fixed (byte* ptr = &asm[0])
        {
            FieldInfo _methodPtr = typeof(Delegate).GetField("_methodPtr", BindingFlags.NonPublic | BindingFlags.Instance);
            FieldInfo _methodPtrAux = typeof(Delegate).GetField("_methodPtrAux", BindingFlags.NonPublic | BindingFlags.Instance);

            _methodPtr.SetValue(del, ptr);
            _methodPtrAux.SetValue(del, ptr);

            return del();
        }
    else
        return null;
}

Что можно использовать следующим образом:

Func<int> del = () => 0;
byte[] asm_bytes = new byte[] { 0xb8, 0x15, 0x03, 0x00, 0x00, 0xbb, 0x42, 0x00, 0x00, 0x00, 0x03, 0xc3 };
// mov eax, 315h
// mov ebx, 42h
// add eax, ebx
// ret

int res = del.InjectAndRunX86ASM(asm_bytes); // should be 789 + 66 = 855

Конечно, можно также написать следующий метод:

public static unsafe int RunX86ASM(byte[] asm)
{
    Func<int> del = () => 0; // create a delegate variable
    Array.Resize(ref asm, asm.Length + 1);

    // add a return instruction at the end to prevent any memory leaks
    asm[asm.Length - 1] = 0xC3;

    fixed (byte* ptr = &asm[0])
    {
        FieldInfo _methodPtr = typeof(Delegate).GetField("_methodPtr", BindingFlags.NonPublic | BindingFlags.Instance);
        FieldInfo _methodPtrAux = typeof(Delegate).GetField("_methodPtrAux", BindingFlags.NonPublic | BindingFlags.Instance);

        _methodPtr.SetValue(del, ptr);
        _methodPtrAux.SetValue(del, ptr);

        return del();
    }
}

То же самое можно сделать с существующими методами (не делегатами) с помощью отражения:

// UNTESTED //

Action new_method_body = () => { };
MethodInfo nfo = typeof(MyType).GetMethod( ..... );
IntPtr ptr = nfo.MethodHandle.Value; // ptr is a pointer to the method in question

InjectX86ASM(new_method_body, new byte[] { ......., 0xC3 }); // assembly bytes to be injected

int target = new_method_body.Method.MethodHandle.Value.ToInt32();

byte[] redirector = new byte[] {
    0xE8,   // CALL INSTRUCTION + TARGET ADDRESS IN LITTLE ENDIAN
    (byte)(target & 0xff),
    (byte)((target >> 8) & 0xff),
    (byte)((target >> 16) & 0xff),
    (byte)((target >> 24) & 0xff),
    0xC3,   // RETURN INSTRUCTION
};
Marshal.Copy(redirector, 0, ptr, redirector.Length);

<ч /> Используйте любой код на свой страх и риск. Примеры кода должны быть скомпилированы с помощью /unsafe -компилятора .

Answer 3

Mike Stall имеет этот образец , который использует CreateRemoteThread. Преимущество в том, что не требуется никакого C ++.

Answer 4

Вы можете проверить CInject для внедрения кода в сборки .NET на сайте CodePlex http://codeinject.codeplex.com/. Вам не нужно иметь никаких знаний о внедрении кода для внедрения любого кода при использовании CInject.