[发明专利]一种远程32位进程注入64位进程的方法及系统

权利要求书

1.一种远程32位进程注入64位进程的系统，其特征在于，所述系统包括函数定位层和注入处理层；

所述函数定位层用于将32位进程空间从x86工作模式切换至x64工作模式，定位出远程注入进程在x64模式下所需的64位ntdll中的关键Native API函数地址，定位完成后切换至x86工作模式，并将所述关键Native API函数地址传递到注入处理层；

所述注入处理层用于将远程注入模块的信息封装成所述关键Native API函数调用需要的参数，将进程切换至x64工作模式，调用远线程创建函数，实现将远程模块或远程进程注入到64位目标进程中，再切换至x86工作模式。

2.如权利要求1所述的远程32位进程注入64位进程的系统，其特征在于，所述函数定位层包括x86、x64模式切换模块和Native API定位模块；所述x86、x64模式切换模块用于进程内部x86和x64工作模式之间的切换，以满足其他模块或进程的工作环境要求；所述NativeAPI定位模块，调用所述x86、x64模式切换模块，将工作环境切换至x64工作模式，用于定位64位ntdll模块中的关键Native API函数地址，定位完成后将工作模式切换回x86工作模式。

3.如权利要求2所述的远程32位进程注入64位进程的系统，其特征在于，所述关键Native API函数包括内存分配、管理函数、远线程创建函数，用于由注入处理层引用所述关键Native API函数实现远程模块或远程进程注入。

4.如权利要求1所述的远程32位进程注入64位进程的系统，其特征在于，所述注入处理层包括注入参数组装模块和远程注入模块；所述注入参数组装模块，用于将待注入的远程模块或远程进程信息，组装成符合系统格式的可执行shellcode代码；所述远程注入模块，用于调用所述x86、x64模式切换模块，将进程切换至x64工作模式，调用定位出的所述关键Native API函数及地址，将封装好的数据写入目标进程空间；再调用用户线程创建函数，实现远程模块或远程进程的远程注入，注入完成后，再切换回x86工作模式。

5.一种远程32位进程注入64位进程的方法，所述方法其于如权利要求1-4之任一项所述的远程32位进程注入64位进程的系统实现，其特征在于，执行以下步骤：

步骤S401：系统开机后，注册进程创建通知回调函数；

步骤S402：创建新的远程进程，检查所述远程进程状态；

步骤S403：检查所述远程进程是否为64位进程；若是，进入步骤S404；若否，进入步骤S407；

步骤S404：将32位注入器进程的进程空间切换至x64工作模式，定位64位ntdll模块中的关键Native API函数地址，定位完成后将工作模式切换回x86工作模式；

步骤S405：将待注入的远程进程信息，组装成符合系统格式的可执行shellcode代码，组装远程进程注入需要的参数模块，切换至x64工作模式，使用定位出的所述关键NativeAPI函数地址将相关信息写入目标进程；

步骤S406：利用64位ntdll模块中的用户线程创建函数，实现远程进程的远程注入，注入完成后，再切换回x86工作模式；进入步骤S408；

步骤S407：使用线程CreatRemoteThread完成远程进程的远程注入；

步骤S408：检查是否退出系统，若是，方法结束；若否，进入步骤S402。