dotNetPELoader

安全通知

最近，我发现该项目的非官方修改版本正在本仓库之外被重新分发。

在审查文件后，我发现了额外的隐藏组件和脚本加载行为，这些在官方源代码中并不存在。

请注意：

• 非官方分发版本包含额外的可执行文件和脚本加载元素，这些不是原始源代码的一部分。
• 该项目的官方发布版本仅在本仓库中发布。
• 官方发布版本不包含额外的批处理文件、隐藏加载器或嵌入的脚本组件。

我与任何第三方对该项目的重新分发无关。

出于安全考虑：

• 如果您遇到包含意外可执行文件或加载器的重新打包版本，请不要运行它们。
• 仅从本仓库直接下载发布版本。
• 尽可能在构建之前审查源代码。

PoC 分析：https://iss4cf0ng.github.io/2026/02/24/2026-2-24-UnofficialRedistribution/

简介

一个用于 x64 和 x86 PE 文件的 C# PE 加载器。

最近，当我为 DuplexSpy RAT 版本 2 开发无文件执行方法时，几乎找不到基于 C# 的 x86 PE 加载器。
我发现的大多数现有实现都仅支持 x64，例如 Casey Smith 开发的加载器。

因此，我决定自己开发一个基于 C# 的 x86 PE 加载器。

此控制台应用程序允许您将 x86 或 x64 PE 文件加载到内存中。 首先，它从指定的文件路径读取文件字节，然后确定加载器和目标 PE 文件的架构。

x64 PE 无法由 x86 加载器加载，反之亦然。

特性

• 在 x86 进程中加载 x86 PE
• 在 x64 进程中加载 x64 PE
• 处理重定位和导入解析
• 完全用 C# 编写

如果您觉得这个项目有用，请赏一颗 ⭐。

用法

dotNetPELoader.exe --x64 x64_file.exe
dotNetPELoader.exe --x86 x86_file.exe
dotNetPELoader.exe --coffee

演示

x64 - mimikatz

如果您尝试在 x64 加载器中加载 x86 PE，则会抛出异常：

dotNetPELoader.exe --x64 mimikatz

x86 - mimikatz

dotNetPELoader.exe --x86 mimikatz