Ncloader

シンプルなDLLインジェクションユーティリティ

現在の設計では、よく知られたDLLインジェクション手法を実装しています:

• VirtualAllocEx (リモートプロセス内の文字列用メモリを確保)
• WriteProcessMemory (リモートに確保したメモリへ "path/to/dll/file" を書き込む)
• CreateRemoteThread (LoadLibrary[A/W] の開始アドレスと "path/to/dll/file" のアドレスをパラメータとして実行)

特徴

• 管理者権限のプロンプトから、セッション0のプロセスを含むあらゆる(保護されていない)プロセスにインジェクション可能
• スタンドアロン (サードパーティ製ライブラリ不要、静的コンパイル)
• クリーンなコード (MSVCで警告なし、/Wall でコンパイル)
• 厳密なエラーチェックと詳細なレポート出力
• 未公開のNT APIを使用しない
• サービスを作成しない
• ドライバを使用しない
• 32bit版と64bit版のプリコンパイル済みバイナリ

使い方

ncloader.exe [プロセス名 | pid] [dllのフルパス] [1]
注: 末尾の任意の '1' は権限昇格の試行を無効にします

使用例

通常のプロンプトからプロセス名で指定 (制限付きトークンにはデバッグ権限がありません)

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

昇格したプロンプトからPIDで指定 (トークンにはデバッグ権限が存在するが無効化されている)

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234