.net也能写内存挂

最近在研究.net的内存挂。

写了很久的c++,发现c#写出来的东西实在太香。

折腾c#外挂已经有很长时间了。都是用socket和c++配合。

这个模式其实蛮成功的，用rpc调用的方式加上c#的天生await 非常好写逻辑

类似这样

最近想换个口味。注入托管dll到非托管进程

这样做只是为了解决我目前遇见的一个问题。

在一个多线程的程序上逆向，我挂了很多钩子，导致我读写数据和储存我自己的数据

非常容易出现多线程冲突问题，换到.net里以后

lock 和Monitor 在.net里是同线程不互锁。这样能让我不容易出现互锁现象。

有一段时间正在烦恼那些卖驱动的，只有读写功能为什么还能实现很多功能。

在我的认知里，要调用游戏部分函数才能更方便自己做出更有用的功能

当然这里确实有些外挂是只读取角色顶点就能绘制的。

后来细想一下其实不需要调用功能通过写入代码的方式获取执行就可以了。

就是只要有读写就可以了。

游戏外挂无非就是 读写和调用。 调用是可以通过写来实现。

比如hook某个dx的函数。或者修改虚函数表的地址，然后jmp 到自己的函数里

达到获取执行权限。

好比挂钩了GetTickCount 这个API ，然后目标游戏不断的调用这个API

我们在这里插入自己的调用逻辑就可以了。

想明白了这个，于是我就干起了注入托管dll 到游戏进程里的勾当

当然这个托管dll实在是太大了（因为会用Costura.Fody把第三方库都打包在一起）

想法是这样，注入到游戏进程里以后申请内存空间，然后通过asm编译成bytes

然后写入到内存后，再去调用他就可以了

这里要安利一个asm的库

GitHub – icedland/iced: Blazing fast and correct x86/x64 disassembler, assembler, decoder, encoder for Rust, .NET, Java, Python, Lua

这个库很香

在c#里写asm长这样子，大概就是写好asm以后编译成bytes的过程

然后要介绍在c#内怎么完成thiscall

游戏大部分是thiscall 所以我在内存中申请一段asm

然后通过c#去调用这个段代码就可以了

asm 的作用就是把传入的参数 push到堆栈然后call

之后返回eax 这样就完整的跑通调用了。

用iced把asm生成好，然后通过c#的委托去调用这段asm代码即可

最后实现的效果类是这样

至于读写就更简单了。C#自带Marshal可以直接读写。

而且c#也支持不安全指针 直接 *(int*)(0x123456) = 100;

然后我们无限的包装自己的读写函数，比如byte float int string 之类的读写就可以

至于hook 也可以通过委托回调到自己的c#代码，hook在c#完成编译以后写入到目标地址

至此，完整的c#外挂需要的功能都实现了。

例子分3个工程

TestApp：测试工程模拟调用目标程序比如游戏

InjectionDLL：注入DLL，负责加载.net的dll，如果是远线程注入，就注入这个DLL即可，例子工程是主动loadlibrary

CShareLoadModule ： c#的主要工作dll

附上源码一份

netInjection.rar

//以下是补充 2022 10 09

/

因为上面代码是用asm作为Thiscall 调用的，后来发现c#是自带调用约定的可以更优美的实现thiscall 调用

[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_0(IntPtrptr);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_1(IntPtrptr,IntPtrp1);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_2(IntPtrptr,IntPtrp1,IntPtrp2);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_3(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_4(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_5(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_6(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_7(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_8(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_9(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_10(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9,IntPtrp10);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_11(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9,IntPtrp10,IntPtrp11);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_12(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9,IntPtrp10,IntPtrp11,IntPtrp12);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_13(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9,IntPtrp10,IntPtrp11,IntPtrp12,IntPtrp13);[UnmanagedFunctionPointer(CallingConvention.ThisCall)]publicdelegateIntPtrThisCall_14(IntPtrptr,IntPtrp1,IntPtrp2,IntPtrp3,IntPtrp4,IntPtrp5,IntPtrp6,IntPtrp7,IntPtrp8,IntPtrp9,IntPtrp10,IntPtrp11,IntPtrp12,IntPtrp13,IntPtrp14);unsafepublicstaticIntPtrThisCall(IntPtraddress,IntPtrdwECX,paramsobject[]args){IntPtrp1=IntPtr.Zero;IntPtr[]paramPtr=newIntPtr[args.Length*2];intaddParamCount=0;for(inti=0;i<args.Length;i++){varparamtype=args[i].GetType();if(paramtype==typeof(float)){varv=(float)args[i];paramPtr[addParamCount]=*(IntPtr*)&v;}elseif(paramtype==typeof(double)){varv=(double)args[i];paramPtr[addParamCount]=*(IntPtr*)&v;addParamCount++;paramPtr[addParamCount]=*(IntPtr*)((&v)+4);}elseif(paramtype==typeof(long)){varv=(long)args[i];paramPtr[addParamCount]=*(IntPtr*)&v;addParamCount++;paramPtr[addParamCount]=*(IntPtr*)((&v)+4);}elseif(paramtype==typeof(IntPtr)){varv=(IntPtr)args[i];paramPtr[addParamCount]=v;}elseif(paramtype==typeof(PtrGameUIWindow)){paramPtr[addParamCount]=(args[i]asPtrGameUIWindow).ptr;}else{paramPtr[addParamCount]=(IntPtr)Convert.ToInt32(args[i]);}addParamCount++;}Log.Console($"ThisCall:0x{address.ToString("X8")}ECX:0x{dwECX.ToString("X8")}{paramPtr.ArrayToString(0,addParamCount)}");switch(args.Length){case0:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX);break;case1:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0]);break;case2:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1]);break;case3:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2]);break;case4:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3]);break;case5:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4]);break;case6:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5]);break;case7:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6]);break;case8:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7]);break;case9:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8]);break;case10:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8],paramPtr[9]);break;case11:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8],paramPtr[9],paramPtr[10]);break;case12:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8],paramPtr[9],paramPtr[10],paramPtr[11]);break;case13:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8],paramPtr[9],paramPtr[10],paramPtr[11],paramPtr[12]);break;case14:p1=Marshal.GetDelegateForFunctionPointer(address).Invoke(dwECX,paramPtr[0],paramPtr[1],paramPtr[2],paramPtr[3],paramPtr[4],paramPtr[5],paramPtr[6],paramPtr[7],paramPtr[8],paramPtr[9],paramPtr[10],paramPtr[11],paramPtr[12],paramPtr[13]);break;default:Log.Error(newException("ThisCall参数个数未预测"));p1=IntPtr.Zero;break;}returnp1;}

因为c#会定期GC的问题，导致c#自身函数可能会被GC修改函数位置

所以需要固定住代码位置新增一下函数固定Delegate

[UnmanagedFunctionPointer(CallingConvention.StdCall,CharSet=CharSet.Ansi)]publicdelegateIntPtrDelegate_NewStringID2String(IntPtrdwESP);publicuintLockDelegate(Delegatefunc){GCHandleList.Add(GCHandle.Alloc(func));GCHandleList.Add(GCHandle.Alloc(Marshal.GetFunctionPointerForDelegate(func),GCHandleType.Pinned));GCHandleList.Add(GCHandle.Alloc(func.Method.MethodHandle.GetFunctionPointer()));return(uint)Marshal.GetFunctionPointerForDelegate(func);}//使用方法publicstaticIntPtrMyStringID2String(IntPtrdwESP){varret=IntPtr.IntPtr.Zero;returnret;}publicoverridevoidStart(){varasm=newAssembler(32);asm.pushad();asm.mov(eax,esp);asm.add(eax,0x20);asm.push(eax);asm.mov(eax,LockDelegate(newDelegate_NewStringID2String(MyStringID2String)));asm.call(eax);asm.mov(__[esp+0x1c],eax);asm.popad();asm.ret();varnewJmpCode=PatchSelfHelper.AllocMem(0x30);PatchSelfHelper.WriteAssembler(newJmpCode,asm);}