[发明专利]一种远程32位进程注入64位进程的方法及系统

说明书

本发明提供一种远程32位进程注入64位进程的方法及系统，所述系统包括：所述系统包括函数定位层和注入处理层；所述函数定位层用于将32位注入器进程的进程空间从x86工作模式切换至x64工作模式，定位出远程注入进程在x64模式下所需的64位ntdll中的关键Native API函数地址，定位完成后切换至x86工作模式，并将所述关键Native API函数地址传递到注入处理层；所述注入处理层用于将远程注入模块的信息封装成所述关键Native API函数调用需要的参数，将进程切换至x64工作模式，调用远线程创建函数，实现将远程模块或远程进程注入到64位目标进程中，再切换至x86工作模式。根据本发明的方案，32位的远程进程可同时注入32位和64位进程，不需要其他辅助进程。该方案简单、方便、从而保证硬件资源能够发挥最大性能，程序执行效率高，避免进程注入失败造成功能失效。

技术领域

本发明涉及操作系统处理领域，尤其涉及一种远程32位进程注入64位进程的方法及系统。

背景技术

目前，随着硬件技术的不断发展和成熟，计算机装配内存空间和存储容量大的存储设备已经成为常见的配置。为了充分发挥存储设备，尤其是内存设备的性能，需要计算机安装64位操作系统，以便发挥硬件的最大性能。因此，越来越多的用户使用例如微软windows10这样的64位操作系统。微软的64位windows操作系统，能够兼容32位的应用程序，即在64位操作系统中存在32位进程和64位进程。

为了保证信息安全，基于操作系统的数据安全防护类软件也得到了广泛应用，特别是终端安全防护类产品，通常会使用远程注入技术，以监控进程的运行，进而实现相关信息的审查、审计。但存在的问题是32位进程只能通过注入模块注入到32位进程，64位进程只能通过注入模块注入到64位进程，无法实现32位进程既能注入32位进程又能注入64位进程。

目前，现有技术中存在如图1-2所示的32位进程和64位进程的交叉注入方法，但现有技术的32位进程和64位进程交叉注入方法实现过程繁琐，需要创建另外的注入器进程，主进程和从属注入器进程需要通讯，若通讯失败，则无法实现某些进程的注入，存在功能失效的情况。

发明内容

为解决上述技术问题，本发明提出了一种32位进程注入64位进程的方法及系统，所述方法及系统，用以解决现有技术中32位进程和64位进程交叉注入方法实现过程繁琐，需要创建另外的注入器进程的技术问题。

根据本发明的第一方面，提供一种远程32位进程注入64位进程的系统，所述系统包括函数定位层和注入处理层；

所述函数定位层用于将32位注入器进程的进程空间从x86工作模式切换至x64工作模式，定位出远程注入进程在x64模式下所需的64位ntdll中的关键Native API函数地址，定位完成后切换至x86工作模式，并将所述关键Native API函数地址传递到注入处理层；

所述注入处理层用于将远程注入模块的信息封装成所述关键Native API函数调用需要的参数，将进程切换至x64工作模式，调用远线程创建函数，实现将远程模块或远程进程注入到64位目标进程中，再切换至x86工作模式。

进一步地，所述函数定位层包括x86、x64模式切换模块和Native API定位模块；所述x86、x64模式切换模块用于进程内部x86和x64工作模式之间的切换，以满足其他模块或进程的工作环境要求；所述Native API定位模块，调用所述x86、x64模式切换模块，将工作环境切换至x64工作模式，用于定位64位ntdll模块中的关键Native API函数地址，定位完成后将工作模式切换回x86工作模式。

进一步地，所述关键Native API函数包括内存分配、管理函数、远线程创建函数，用于由注入处理层引用所述关键Native API函数实现远程模块或远程进程注入。