C/C++获取线程入口地址模块等

大多数恶意代码为了隐藏自己的行踪都会附加到某个进程中，在这个进程内申请一块内存区域来存放它的代码，毕竟隐藏的再好，代码也要有的，今天检测的特征是向YY语音里插入了一段自己的代码（创建了新的线程），而这个新的线程不在原有的模块内，所以思路就是遍历YY.exe这个进程中的所有线程，如果这个线程没有对应的模块，那么就说明这个线程是可疑的。

准备工作，定义一些核心结构体变量。

#pragma region 依赖
typedef enum _THREADINFOCLASS{
    ThreadBasicInformation,
    ThreadTimes,
    ThreadPriority,
    ThreadBasePriority,
    ThreadAffinityMask,
    ThreadImpersonationToken,
    ThreadDescriptorTableEntry,
    ThreadEnableAlignmentFaultFixup,
    ThreadEventPair_Reusable,
    ThreadQuerySetWin32StartAddress,
    ThreadZeroTlsCell,
    ThreadPerformanceCount,
    ThreadAmILastThread,
    ThreadIdealProcessor,
    ThreadPriorityBoost,
    ThreadSetTlsArrayAddress,
    ThreadIsIoPending,
    ThreadHideFromDebugger,
    ThreadBreakOnTermination,
    MaxThreadInfoClass
}THREADINFOCLASS;
typedef struct _CLIENT_ID{
    HANDLE UniqueProcess;
    HANDLE UniqueThread;
}CLIENT_ID;
typedef struct _THREAD_BASIC_INFORMATION{
    LONG ExitStatus;
    PVOID TebBaseAddress;
    CLIENT_ID ClientId;
    LONG AffinityMask;
    LONG Priority;
    LONG BasePriority;
}THREAD_BASIC_INFORMATION,*PTHREAD_BASIC_INFORMATION;
extern "C" LONG (__stdcall *ZwQueryInformationThread)(
    IN HANDLE ThreadHandle,
    IN THREADINFOCLASS ThreadInformationClass,
    OUT PVOID ThreadInformation,
    IN ULONG ThreadInformationLength,
    OUT PULONG ReturnLength OPTIONAL
    ) = NULL;
#pragma endregion

功能实现核心代码部分如下。

HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);	// 进程快照句柄
PROCESSENTRY32 process = {sizeof(PROCESSENTRY32)};						// 进程快照信息

// 遍历进程，找到 YY.exe
while (Process32Next(hProcessSnap,&process)){
	string s_szExeFile = process.szExeFile; // char* 转 string
	if(s_szExeFile == "YY.exe"){
		HANDLE hThreadSnap = INVALID_HANDLE_VALUE;			// 线程快照句柄 
		THREADENTRY32 te32;									// 线程快照信息

		// 创建线程快照
		hThreadSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
		if (hThreadSnap == INVALID_HANDLE_VALUE){cout << "创建线程快照失败" << endl;}

		// 为快照分派内存空间
		te32.dwSize = sizeof(THREADENTRY32);

		// 获取第一个线程的信息
		if (!Thread32First(hThreadSnap, &te32)){cout << "线程信息获取失败" << endl;}

		// 遍历线程
		while (Thread32Next(hThreadSnap, &te32)){
			// 线程属于 YY.exe
			if(te32.th32OwnerProcessID == process.th32ProcessID){
				// 打开线程
				HANDLE hThread = ::OpenThread (
					THREAD_ALL_ACCESS,		// 访问权限，THREAD_ALL_ACCESS ：所有权限
					FALSE,					// 由此线程创建的进程不继承线程的句柄
					te32.th32ThreadID		// 线程 ID
					);
				if(hThread == NULL){cout << "线程打开失败" << endl;}

				// 将区域设置设置为从操作系统获取的ANSI代码页
				setlocale(LC_ALL,".ACP");

				// 获取 ntdll.dll 的模块句柄
				HINSTANCE hNTDLL = ::GetModuleHandle("ntdll");	

				// 从 ntdll.dll 中取出 ZwQueryInformationThread
				(FARPROC&)ZwQueryInformationThread  = ::GetProcAddress(hNTDLL,"ZwQueryInformationThread");
				
				// 获取线程入口地址
				PVOID startaddr;						// 用来接收线程入口地址
				ZwQueryInformationThread(
					hThread,							// 线程句柄
					ThreadQuerySetWin32StartAddress,	// 线程信息类型，ThreadQuerySetWin32StartAddress ：线程入口地址
					&startaddr,							// 指向缓冲区的指针
					sizeof(startaddr),					// 缓冲区的大小
					NULL								
					);

				// 获取线程所在模块
				THREAD_BASIC_INFORMATION tbi;			// _THREAD_BASIC_INFORMATION 结构体对象
				TCHAR modname[MAX_PATH];				// 用来接收模块全路径
				ZwQueryInformationThread(
					hThread,							// 线程句柄
					ThreadBasicInformation,				// 线程信息类型，ThreadBasicInformation ：线程基本信息
					&tbi,								// 指向缓冲区的指针
					sizeof(tbi),						// 缓冲区的大小
					NULL
					);

				// 检查入口地址是否位于某模块中
				GetMappedFileName(
					::OpenProcess(						// 进程句柄
						PROCESS_ALL_ACCESS,									// 访问权限，THREAD_ALL_ACCESS ：所有权限
						FALSE,												// 由此线程创建的进程不继承线程的句柄
						(DWORD)tbi.ClientId.UniqueProcess					// 唯一进程 ID
						), 
					startaddr,							// 要检查的地址
					modname,							// 用来接收模块名的指针
					MAX_PATH							// 缓冲区大小
					);
				
				// 判断线程是否在模块中
				if(modname[0] == '?'){cout << "线程不在模块中" << endl;}
			}
		}			
	}
}