Ncloader

一个简单的 DLL 注入实用工具

当前设计实现了众所周知的 DLL 注入技术：

• VirtualAllocEx (在远程进程中为字符串分配内存)
• WriteProcessMemory (将“path/to/dll/file”写入远程分配的内存)
• CreateRemoteThread (以 LoadLibrary[A/W] 的起始地址和“path/to/dll/file”的地址作为参数)

功能特性

• 从已提升的管理员命令提示符，可注入到任何（非受保护）进程，包括会话 0 进程
• 独立无依赖（无第三方库，静态编译）
• 代码干净（在 MSVC 上以 /Wall 编译，无警告）
• 严格的错误检查和详细的报告
• 不使用未文档化的 NT API
• 不创建服务
• 不使用驱动
• 32 位和 64 位预编译二进制文件

用法

ncloader.exe [process name | pid] [dll full path] [1]
note: the optional trailing '1' disables elevation attempt

示例

通过进程名从普通命令提示符（受限令牌中不存在调试权限）

ncloader.exe some_service.exe c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 0 process some_service.exe (debug privilege was enabled)

通过 PID 从已提升的命令提示符（令牌有调试权限但被禁用）

ncloader.exe 1234 c:\path\to\library.dll
Dll c:\path\to\library.dll successfully injected in session 1 process 1234