Ncloader

Простая утилита для внедрения DLL

Текущая реализация использует хорошо известную технику внедрения DLL:

• VirtualAllocEx (выделяет память для строки в удалённом процессе)
• WriteProcessMemory (записывает "path/to/dll/file" в удалённо выделенную память)
• CreateRemoteThread (с начальным адресом LoadLibrary[A/W] и адресом "path/to/dll/file" в качестве параметра)

Возможности

• Из командной строки с правами администратора внедряет код в любой (незащищённый) процесс, включая процессы сеанса 0
• Автономная (без сторонних библиотек, статическая компиляция)
• Чистый код (компилируется без предупреждений и с /Wall в MSVC)
• Строгая проверка ошибок и подробные сообщения
• Не использует недокументированные NT API
• Не создаёт службы
• Не использует драйвер
• 32-битные и 64-битные предварительно скомпилированные бинарники

Использование

ncloader.exe [process name | pid] [dll full path] [1]
note: the optional trailing '1' disables elevation attempt

Примеры

По имени процесса из обычной командной строки (привилегия отладки отсутствует в ограниченном токене)

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

По PID из командной строки с повышенными правами (привилегия отладки в токене присутствует, но отключена)

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234