DarkLoadLibrary

LoadLibrary para operaciones ofensivas.

¿Cómo funciona?

https://www.mdsec.co.uk/2021/06/bypassing-image-load-kernel-callbacks/

Uso

DARKMODULE DarkModule = DarkLoadLibrary(
    LOAD_LOCAL_FILE, // control flags
    L"TestDLL.dll", // local dll path, if loading from disk
    NULL, // dll buffer to load from if loading from memory
    0, // dll size if loading from memory
    NULL // dll name if loaded from memory
);

Banderas de control:

• LOAD_LOCAL_FILE - Cargar un DLL desde el sistema de archivos.
• LOAD_MEMORY - Cargar un DLL desde un búfer.
• NO_LINK - No enlazar este módulo al PEB, solo ejecutarlo.

Ruta del DLL:

Puede ser cualquier ruta que CreateFileW abra.

Búfer DLL:

Este argumento solo es necesario cuando se establece LOAD_MEMORY. En ese caso, este argumento debe ser el búfer que contiene el DLL.

Tamaño del DLL:

Este argumento solo es necesario cuando se establece LOAD_MEMORY. En ese caso, este argumento debe ser el tamaño del búfer que contiene el DLL.

Nombre del DLL:

Este argumento solo es necesario cuando se establece LOAD_MEMORY. En ese caso, este argumento debe ser el nombre bajo el cual se debe establecer el DLL en el PEB.

Consideraciones

El cargador de Windows es muy complejo y puede manejar todos los casos extremos y las complejidades de cargar DLL. Habrá casos extremos que no he tenido tiempo de descubrir, realizar ingeniería inversa e implementar. Por lo tanto, habrá DLL con los que este cargador simplemente no funcionará.

Dicho esto, planeo hacer este cargador lo más completo posible, así que por favor abra issues para los DLL que no se carguen correctamente.