Ncloader

Ein einfaches DLL-Injektionsprogramm

Das aktuelle Design implementiert die bekannte DLL-Injektionstechnik:

• VirtualAllocEx (reserviert Speicher für den String im Remote-Prozess)
• WriteProcessMemory (schreibt den "pfad/zur/dll/datei" in den remote reservierten Speicher)
• CreateRemoteThread (mit der Startadresse von LoadLibrary[A/W] und der Adresse von "pfad/zur/dll/datei" als Parameter)

Funktionen

• Injiziert aus einer erhöhten Administratoreingabeaufforderung in jeden (nicht geschützten) Prozess, einschließlich Session-0-Prozessen
• Eigenständig (keine Drittanbieter-Bibliothek, statisch kompiliert)
• Sauberer Code (kompiliert ohne Warnungen und mit /Wall unter MSVC)
• Strenge Fehlerprüfung und ausführliche Ausgabe
• Keine undokumentierte NT-API
• Erstellt keine Dienste
• Verwendet keinen Treiber
• Vorkompilierte 32-Bit- und 64-Bit-Binaries

Verwendung

ncloader.exe [Prozessname | PID] [voller DLL-Pfad] [1]
Hinweis: Die optionale angehängte '1' deaktiviert den Erhöhungsversuch

Beispiele

Über den Prozessnamen von einer normalen Eingabeaufforderung aus (Debug-Berechtigung im eingeschränkten Token nicht vorhanden)

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

Über die PID von einer erhöhten Eingabeaufforderung aus (Token hat Debug-Berechtigung, aber deaktiviert)

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234