【Python微信机器人】第二篇：将python注入到其他进程

目录修整

目前的系列目录(后面会根据实际情况变动):

1. 在windows11上编译python
2. 将python注入到其他进程并运行
3. 使用C++写一个python的pyd库，用于实现inline hook
4. Python ctypes库的使用
5. 使用ctypes主动调用进程内的任意函数
6. 使用汇编引擎调用进程内的任意函数(为了调用不遵守任何一个调用约定的x86函数)
7. 注入python到微信实现在Python终端收发消息
8. 优化使用方法，允许Python加载运行py脚本，而不是打开Python终端
9. Bug修复和细节优化

注入器

在注入Python之前，先使用Python写一个注入器。原理和C++的远程线程注入是一样的，使用CreateRemoteThread在进程内部调用LoadLibrary加载dll。

核心代码如下：

# 通过微信进程pid获取进程句柄
hProcess = OpenProcess(PROCESS_ALL_ACCESS, False, pid)
# 在微信进程中申请一块内存
lpAddress = VirtualAllocEx(hProcess, None, MAX_PATH, MEM_COMMIT, PAGE_EXECUTE_READWRITE)
# 往内存中写入要注入的dll的绝对路径
WriteProcessMemory(hProcess, lpAddress, c_wchar_p(dllpath), MAX_PATH, byref(c_ulong()))
# 因为注入的微信是32位的，所以运行的Python也需要是32位的
if platform.architecture()[0] != '32bit':
		raise Exception("需要使用32位Python才能正常执行，请更换后重试!")
# 在微信进程内调用LoadLibraryW加载dll
hRemote = CreateRemoteThread(hProcess, None, 0, LoadLibraryW, lpAddress, 0, None)
time.sleep(0.1)
# 关闭句柄
CloseHandle(hProcess)
CloseHandle(hRemote)

其中像OpenProcess这样的函数都是Windows提供的API，在Python中可以使用ctypes库调用它们。完整代码这里就不放了，想了解的可以看后面的github。另外，后面会有一篇文章单独讲ctypes，里面就会涉及调用Windows API和定义C结构体

打包Python为dll

众所周知，Python的核心函数都在python310.dll里，然后再加上pyd、dll和py这些基础库和一些exe可执行文件，python.exe和pythonw.exe只是调用了python310.dll里的导出函数。

1、猜想

既然核心都在python310.dll，我是不是只需要将这个dll注入到其他进程，然后参考python.exe的代码进行初始化就能完成Python的注入。

实际上有一个Python库(Pymem)就是这么干的：Injecting a python interpreter into any process，不过测试下来局限性很大，首先是调用远程函数的API是CreateRemoteThread，它只支持调用的函数传递一个参数，虽然可以是结构体，但是Python构造结构体也不方便，然后是代码比较繁琐，所以还是自己研究了。

先看看python.exe的代码：

可以看到整个exe只调用了一个函数Py_Main，如果我用C++写一个exe，在里面加载python310.dll，然后调用Py_Main是不是能写一个python.exe

先测试一下，这里我不去引入python的头文件和lib库，而是使用LoadLibraryW加载python310.dll

C++代码如下：

#include <windows.h>
#include <iostream>

int wmain(int argc, wchar_t* argv[]) {
	// 指定要加载的DLL，这里我打算放到同一目录，就不写绝对路径了
	const wchar_t* dllFileName = L"python310.dll";
	// 加载DLL
	HMODULE hModule = LoadLibraryW(dllFileName);
	// 获取导出函数地址
	FARPROC Py_Main_addr = GetProcAddress(hModule, "Py_Main"); // 替换为导出函数的名称
	// 定义函数指针和调用函数
	typedef int(*Py_Main_Type)(int, wchar_t**);
	Py_Main_Type Py_Main = (Py_Main_Type)Py_Main_addr;

	int result = Py_Main(argc, argv);

	return 0;
}

编译后把它放到python310.dll同级目录，然后双击运行，测试发现和python.exe的功能是一模一样的

也支持参数传递和运行py文件

2、将python.exe打包成dll

因为dll无法传递进程参数，所以我将argv写死了，python310.dll也使用绝对路径，完整代码如下：

#include "pch.h"

void run_python() {
	const wchar_t* dllFileName = L"T:\\Code\\compile_python\\Inject_dll\\python-3.10.11-embed-win32\\python38.dll";
	HMODULE hModule = LoadLibraryW(dllFileName);

	FARPROC Py_Main_addr = GetProcAddress(hModule, "Py_Main");
	typedef int(*Py_Main_Type)(int, wchar_t**);
	Py_Main_Type Py_Main = (Py_Main_Type)Py_Main_addr;

    // 获取当前进程可执行文件的路径
	wchar_t exePath[MAX_PATH];
	GetModuleFileNameW(NULL, exePath, MAX_PATH);

	int argc = 1;
	wchar_t* argv[2];
	argv[0] = exePath;
	argv[1] = nullptr;

	Py_Main(argc, argv);
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
	case DLL_PROCESS_ATTACH: {
		run_python();
	}
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

当我将编译好的dll注入到其他进程内却什么也没有发生，为了不受其他进程影响，我先把他注入到我自己写的进程里，就用之前帖子写的SubProcess了。

3、无法运行的原因

先验证下python有没有运行成功，调用PyRun_SimpleString来执行代码写文件测试看看

将上面的Py_Main(argc, argv);换成PyRun_SimpleString("with open('D:\\\\1.txt', 'w') as f: f.write('aaaaa')");

文件并没有被写到指定的路径，谷歌搜索了下，是因为没有调用Py_InitializeEx或Py_Initialize初始化，加上下面两行代码就可以了。

Py_SetProgramName(exePath);
Py_InitializeEx(1);
PyRun_SimpleString("with open('D:\\\\1.txt', 'w') as f: f.write('aaaaa')");

这时候交互式终端也正常打开

4、其他进程交互式终端无法打开

我用同样的dll注入到微信时，界面没有什么变化，但是文件正常写到指定路径，说明Python执行没有问题。猜想可能是Py_Main不会自己打开终端，因为之前的进程本来就是控制台程序，注入之后能看到Python输出再控制台。而微信没有控制台，所以没办法看到。

那么看看能不能打开进程的控制台，搜索发现还真有这样的函数，一行代码即可AllocConsole();，另外还需要三行代码来将Python的输入输出重定向到这个控制台，不然还是看不到Python的输出和交互式终端

freopen("CONIN$", "r+t", stdin);
freopen("CONOUT$", "w+t", stdout);
freopen("CONOUT$", "w+t", stderr);

这样需要添加一个宏来允许不安全的函数，或者用下面的代码

FILE* conin = stdin;
FILE* conout = stdout;
FILE* conerr = stderr;
freopen_s(&conin, "conin$", "r+t", stdin);
freopen_s(&conout, "conout$", "w+t", stdout);
freopen_s(&conout, "conout$", "w+t", stderr);

这样就能在注入dll后打开Python的交互式终端，查看进程id也是注入进程的id，到此本篇文章的目的已经达到了。 这里有个特别无语的坑，freopen函数无法在Debug模式下生效，也就是说如果你dll编译成Debug的话，能打开终端，但是看不到Python输出和交互式终端，为此我还谷歌了搜了一天，以为是freopen没效果。

5、意外发现一些没什么用的知识

在知道上面不显示交互式终端是因为Debug模式不生效之前，我还尝试了一些操作，比如这篇

PyObject* sys = PyImport_ImportModule("sys");
PyObject* io = PyImport_ImportModule("io");
PyObject* pystdout = PyObject_CallMethod(io, "open", "ss", "CONOUT$", "wt");
if (-1 == PyObject_SetAttrString(sys, "stdout", pystdout)) {
    /* Announce your error to the world */
}
Py_DECREF(sys);
Py_DECREF(io);
Py_DECREF(pystdout);

如果不想去Python源码里拷贝PyObject的定义，可以直接定义成void *，然后定义PyObject_SetAttrString函数指针时参数也是void*类型的就可以

改完以后的代码(Py_DECREF不是导出函数，调用起来比较麻烦就不调了)：

void* sys = PyImport_ImportModule("sys");
void* io = PyImport_ImportModule("io");
void* pystdout = PyObject_CallMethod(io, "open", "ss", "CONOUT$", "wt");
if (-1 == PyObject_SetAttrString(sys, "stdout", pystdout)) {
}

在c代码中设置sys.stdout来将Python输出打印到终端，测试是可以将print显示到终端的。上面的代码应该和freopen("CONOUT$", "w+t", stdout);是一样的，所以只要在加上设置stdin和stderr的就能打开交互式终端。这里我就不测试了。

另外，我还尝试了多种打开终端的方式

1. python -i test.py: 在执行python脚本时，可以指定-i选项进入交互式终端，当然也可以不指定脚本用python -i，见这篇。 大概意思是，Python只有在启动是控制台应用时才会打开终端，必须指定-i选项强制打开终端
2. import code;code.interact(): 这两行代码也能打开交互式终端，可以在代码任意位置插入，就能访问当前的变量
3. code.InteractiveConsole(locals()).interact(): 这个和上面的一样，只是添加到locals里的变量到终端
4. import os;os.environ["PYTHONINSPECT"] = "1": 可以通过设置PYTHONINSPECT这个环境变量来控制python打开交互式终端，不一样要代码设置，在系统添加这个环境变量也可以

静态链接

上面是通过LoadLibraryW来动态加载Python的dll，这里我测试下通过lib库和头文件来链接Python。这样做的优点是可以不用写函数指针这种，少了很多代码。

代码如下：

#include "pch.h"
#include "Python.h"
#include <iostream>

DWORD WINAPI run_python(PVOID pParam) {
	AllocConsole();
	freopen("CONIN$", "r+t", stdin);
	freopen("CONOUT$", "w+t", stdout);
	freopen("CONOUT$", "w+t", stderr);

	wchar_t exePath[MAX_PATH];
	GetModuleFileNameW(NULL, exePath, MAX_PATH);

	int argc = 1;
	wchar_t* argv[2];
	argv[0] = exePath;
	argv[1] = nullptr;

	Py_SetProgramName(exePath);
	Py_InitializeEx(1);
	
	PyRun_SimpleString("print('hello')");

	Py_Main(argc, argv);
	return 0;
}

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
	case DLL_PROCESS_ATTACH: {
		CreateThread(NULL, 0, run_python, NULL, 0, NULL);
	}
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

另外还需要添加Python的头文件库和lib库

这里又出现个比较麻烦的问题，编译后的dll和python里的所有文件都得放到被注入进程的目录才能生效，这个应该是跟Windows下dll搜索路径有关。对Windows编程不是很熟悉，搜了下也没找到解决办法，有知道的大佬请指教下

在功能上和上面使用LoadLibraryW基本一样，所以这样写会简洁很多，不用定义那么多的函数指针和类型

以上用到的所有代码

github.com/kanadebliss...