DarkLoadLibrary

आक्रामक संचालन के लिए LoadLibrary।

यह कैसे काम करता है?

https://www.mdsec.co.uk/2021/06/bypassing-image-load-kernel-callbacks/

उपयोग

DARKMODULE DarkModule = DarkLoadLibrary(
    LOAD_LOCAL_FILE, // control flags
    L"TestDLL.dll", // local dll path, if loading from disk
    NULL, // dll buffer to load from if loading from memory
    0, // dll size if loading from memory
    NULL // dll name if loaded from memory
);

नियंत्रण फ़्लैग्स:

• LOAD_LOCAL_FILE - फ़ाइल सिस्टम से DLL लोड करें।
• LOAD_MEMORY - बफ़र से DLL लोड करें।
• NO_LINK - इस मॉड्यूल को PEB से लिंक न करें, बस इसे निष्पादित करें।

DLL पथ:

यह कोई भी पथ हो सकता है जिसे CreateFileW खोल सकता है।

DLL बफ़र:

यह तर्क केवल तब आवश्यक है जब LOAD_MEMORY सेट हो। उस स्थिति में यह तर्क DLL वाले बफ़र का होना चाहिए।

DLL आकार:

यह तर्क केवल तब आवश्यक है जब LOAD_MEMORY सेट हो। उस स्थिति में यह तर्क DLL वाले बफ़र का आकार होना चाहिए।

DLL नाम:

यह तर्क केवल तब आवश्यक है जब LOAD_MEMORY सेट हो। उस स्थिति में यह तर्क वह नाम होना चाहिए जिसके तहत DLL को PEB में सेट किया जाना चाहिए।

विचारणीय बातें

विंडोज़ लोडर बहुत जटिल है और DLL लोड करने के सभी सीमांत मामलों और पेचीदगियों को संभाल सकता है। ऐसे सीमांत मामले होंगे जिन्हें खोजने, रिवर्स इंजीनियर करने और लागू करने का मेरे पास समय नहीं रहा है। इसलिए कुछ DLL ऐसी होंगी जिनके साथ यह लोडर काम नहीं करेगा।

ऐसा कहते हुए, मैं इस लोडर को यथासंभव पूर्ण बनाने की योजना बना रहा हूँ, इसलिए कृपया उन DLLs के लिए issue खोलें जो सही ढंग से लोड नहीं हो रही हैं।