Ncloader

Una utilidad simple de inyección de DLL

El diseño actual implementa la conocida técnica de inyección de DLL:

• VirtualAllocEx (asigna memoria para la cadena en el proceso remoto)
• WriteProcessMemory (escribe la "ruta/al/archivo/dll" en la memoria asignada de forma remota)
• CreateRemoteThread (con la dirección de inicio de LoadLibrary[A/W] y la dirección de "ruta/al/archivo/dll" como parámetro)

Características

• Desde un símbolo del sistema elevado como administrador, inyecta en cualquier proceso (no protegido), incluidos los procesos de la sesión 0
• Independiente (sin bibliotecas de terceros, compilado estáticamente)
• Código limpio (compila sin advertencias y con /Wall en MSVC)
• Verificación estricta de errores e informes detallados
• Sin API NT no documentada
• No crea servicios
• No utiliza controladores
• Binarios precompilados de 32 y 64 bits

Uso

ncloader.exe [process name | pid] [dll full path] [1]
note: the optional trailing '1' disables elevation attempt

Ejemplos

Por nombre de proceso desde un símbolo del sistema normal (el privilegio de depuración no está presente en el token restringido)

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

Por PID desde un símbolo del sistema elevado (el token tiene el privilegio de depuración presente pero deshabilitado)

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234