c# - 为远程进程从外部调用 FreeLibraryAndExitThread
问题描述
我试图在另一个进程(使用 CreateRemoteThread)中从外部调用 FreeLibraryAndExitThread,以便我可以卸载通过 LoadLibrary 从外部加载的模块。
我知道,虽然 CreateRemoteThread 需要 1 个参数,但如果您需要多个参数,则可以为其提供多个参数的结构。
如果尝试了以下没有卸载模块。事实上,它似乎什么也没做。
注意我已经删除了所有错误检查以保持这篇文章的简单和简短
[DllImport("kernel32.dll", SetLastError = true)]
internal static extern IntPtr GetModuleHandle(string moduleName);
[DllImport("kernel32.dll", SetLastError = true)]
internal static extern IntPtr GetProcAddress(IntPtr moduleHandle, string procName);
[DllImport("kernel32.dll", SetLastError = true)]
internal static extern IntPtr VirtualAllocEx(IntPtr processHandle, IntPtr baseAddress, int size, int allocationType, int protection);
[DllImport("kernel32.dll", SetLastError = true)]
internal static extern bool WriteProcessMemory(IntPtr processHandle, IntPtr baseAddress, byte[] buffer, int size, int bytesWritten);
[DllImport("kernel32.dll", SetLastError = true)]
internal static extern IntPtr CreateRemoteThread(IntPtr processHandle, IntPtr threadAttributes, int stackSize, IntPtr startAddress, IntPtr parameter, int creationFlags, int threadId);
private struct FreeLibraryAndExitThreadParameters
{
internal IntPtr ModuleAddress;
internal int ExitCode;
}
var process = Process.GetProcessesByName("notepad")[0];
var freeLibraryAndExitThreadAddress = GetProcAddress(GetModuleHandle("kernel32.dll"), "FreeLibraryAndExitThread");
// Get an instance of the module - dllName is the name of the module I am trying to unload
var module = process.Modules.Cast<ProcessModule>().SingleOrDefault(m => string.Equals(m.ModuleName, dllName, StringComparison.OrdinalIgnoreCase));
var freeLibraryAndExitThreadParameters = new FreeLibraryAndExitThreadParameters { ModuleAddress = module.BaseAddress, ExitCode = 0 };
// This code turns the struct into a byte array
var structureSize = Marshal.SizeOf(freeLibraryAndExitThreadParameters);
var structureBytes = new byte[structureSize];
var buffer = Marshal.AllocHGlobal(structureSize);
Marshal.StructureToPtr(freeLibraryAndExitThreadParameters, buffer, true);
Marshal.Copy(buffer, structureBytes, 0, structureSize);
Marshal.FreeHGlobal(buffer);
// Allocate memory in the remote process with commit and reserve allocation type and PageExecuteReadWrite permissions
var remoteAddress = VirtualAllocEx(process.Handle, IntPtr.Zero, structureSize, 0x01000 | 0x02000, 0x040);
// Write the structure into the remote process
WriteProcessMemory(process.Handle, remoteAddress, buffer, structureSize, 0);
// Finally call CreateRemoteThread to execute the function in the remote process
CreateRemoteThread(process.Handle, IntPtr.Zero, 0, freeLibraryAndExitThreadAddress, remoteAddress, 0, 0);
所有 pinvoke 调用实际上都没有失败,我可以看到字节正在写入内存,但在创建远程线程后似乎什么都没有发生 - 在我的实际代码中,我调用 WaitForSingleObject 并且线程也毫无问题地完成了它的任务。
有人可以指出我做错了什么以及如何解决这个问题,以便我可以在远程进程中从外部调用 FreeLibraryAndExitThread 吗?
值得一提的是,我可以通过这种方法使用 FreeLibrary - 它工作正常(删除结构,因为它只需要 1 个参数)但我特别需要对需要卸载的模块使用 FreeLibraryAndExitThread,这就是我不使用的原因更简单的免费图书馆。
解决方案
形式上,这就是我们所需要的一切
CreateRemoteThread(hProcess, 0, 0, (PTHREAD_START_ROUTINE)FreeLibraryAndExitThread, hmod, 0, 0)
hmod
远程进程中模块的地址在哪里。的地址FreeLibraryAndExitThread
可以从当前进程中获取kernel32!FreeLibraryAndExitThread
- 直到kernel32.dll
在所有进程中加载到相同的基地址。
那
DECLSPEC_NORETURN
VOID
WINAPI
FreeLibraryAndExitThread(
_In_ HMODULE hLibModule,
_In_ DWORD dwExitCode
);
在具体情况下取2个参数没问题。作为调用的结果 - CreateRemoteThread(hProcess, 0, 0, (PTHREAD_START_ROUTINE)FreeLibraryAndExitThread, hmod, 0, 0)
将FreeLibraryAndExitThread
通过带有单个参数的stdcal
l( ) 调用约定 - 调用。在这种情况下,第二个参数将是未定义的,但它没有任何作用——线程的任何返回码都可以。系统不解释这个值。并且因为这个具体的 api 永远不会返回 - 参数计数的不同也不起作用。WINAPI
hmod
dwExitCode
另一个问题 - 什么,在远程进程中感知卸载模块。并且如果模块真的会被卸载(FreeLibrary
调用只会减少模块加载计数,因此在此调用期间模块并不总是会被卸载)并且在此之后远程进程调用中的一些代码卸载模块的代码 - 认为不需要解释其中的内容案子
推荐阅读
- python - 在Python中分隔行的数据框
- karate - 如何验证数组响应包括空手道中另一个数组的值
- javascript - Vue3 渲染一个可扩展的异步组件列表
- typescript - 使用 Typescript 模块扩充添加到合并到类中的命名空间
- python - 如何在 Python Gtk TextView 中突出显示选定的文本
- npm - 当我在 powershell 中安装 Nuxt 模板时,我得到了弃用的依赖项
- java - 使用 Cucumber v6 和 Lombok 的 @Slf4j 构建:找不到符号日志
- sql - 如何在 MS Access 中整合数据
- ios - 对自定义类型的 Swift 数组进行排序
- sql-server - 处理分析服务器时出错,系统找不到指定的文件