-
-
[原创]DLL自卸载无模块注入源码(一)
-
发表于: 2013-12-1 17:28
-
这种无模块注入的特点是：
编译生成的是个DLL,使用正常的DLL注入方法，把该DLL注入到目标进程后，DLL会自己去做无模块操作，对于某些场合(你懂的
)比较方便.
原理:
DllMain第一次执行时，重新申请一块内存把DLL文件进行模拟加载，然后再调用模拟加载PE的DllMain，第二次的DllMain就在非模块的内存中执行了。无模块加载过程大家可能都有了解。接下来就是卸载DLL自身了，这是关键点，不过说白了其实也很简单，只要控制好DllMain的返回值就行了
详见源码
还有种方法可以不用模拟PE加载，也由Dll本身来实现无模块
附件中的TestDll.dl注入到目标进程后，无模块线程使用OutputDebugString每5秒输出一次"No Module Thread"打印消息
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看了代码。原理dll先注入到进程。获得dll全路径。然后读取dll。申请一块ImageSize内存。按节表拷贝节内容。
加载dll赋值IAT。然后重定位。最后调用NO_MODULE_MARK标记调用DllMain 完事后free dll。留下那块dll内存来干活。 和MemoryLoadLibrary差不多。不过MemoryLoadLibrary写的更好些 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
你搜索一下baidu... 里面是一个baidu的链接。
|
|
|
|
|
|
找到了，看了下代码，实现不一样的。这篇文章里为了卸载DLL自身做了很多操作，而且需要导出函数配合。我的代码里卸载DLL自身非常简单，FreeLibrary都没调用
|
