Ncloader

Um utilitário simples de injeção de DLL

O design atual implementa a conhecida técnica de injeção de DLL:

• VirtualAllocEx (aloca memória para a string no processo remoto)
• WriteProcessMemory (escreve o "path/to/dll/file" na memória alocada remotamente)
• CreateRemoteThread (com endereço inicial de LoadLibrary[A/W] e o endereço de "path/to/dll/file" como parâmetro)

Recursos

• A partir de um prompt de administrador elevado, injeta em qualquer processo (não protegido), inclusive processos da sessão 0
• Independente (sem bibliotecas de terceiros, compilado estaticamente)
• Código limpo (compila sem avisos e com /Wall no MSVC)
• Verificação rigorosa de erros e relatórios detalhados
• Sem API NT não documentada
• Não cria serviços
• Não usa driver
• Binários pré-compilados de 32 e 64 bits

Uso

ncloader.exe [process name | pid] [dll full path] [1]
note: the optional trailing '1' disables elevation attempt

Exemplos

Por nome de processo a partir do prompt normal (privilégio de depuração não presente no token restrito)

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

Por PID a partir do prompt elevado (token tem privilégio de depuração presente, mas desabilitado)

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234