源码解析DLL自卸载无模块注入

最新推荐文章于 2020-11-23 23:57:12 发布

justFWD

最新推荐文章于 2020-11-23 23:57:12 发布

阅读量6.1k

点赞数 4

分类专栏： Windows 文章标签：注入自卸载源码 DLL 无模块

本文链接：https://blog.csdn.net/justFWD/article/details/41121817

版权

这篇博客介绍了无模块DLL注入技术，该技术使得DLL在注入后不以模块形式存在，避免了被进程模块查看工具检测到。文章详细阐述了一种让DLL自身实现无模块注入的方法，即使在进程内加载后，DLL也会以无模块状态存在。通过Dbgview可以观察到注入的DLL在进程中的活动。作者提供了源码并添加注释以帮助读者理解这一技术。

摘要由CSDN通过智能技术生成

对windows安全比较熟悉的同学对模块注入应该都比较了解，很多病毒、木马、外挂都会用到，无模块注入应用得则比较少。

无模块注入的好处是DLL注入进去后，确实已经不以模块的形式存在了，用任何进程模块查看工具，都找不到注入进去的DLL。因为它已经变为一块纯堆内存，跟EXE主模块里申请的堆没有任何差别。

这里讲的一种无模块注入的方法，能够让DLL自身实现这样的功能，无需外部注入工具帮助处理。当然如果进程内自行加载这样的DLL后，也是以无模块DLL形式存在。

注入完成后，进程内找不到注入的模块存在，用Dbgview每5秒可以看到"No Module Thread"消息打印出来，表示无模块DLL内进程的活动

之前这个方法有在看雪发表过，不过没有详细讲，有的同学不是很明白，这里把源码贴出来，加上注释，应该会比较清楚了。

LoadPE.CPP

 
        "No Module Thread" 
        //coded　by 燕十二 
       
        #include "stdafx.h" 
       
        #include <stdio.h> 
       
        //将DLL文件读到内存 
       
        BOOL  
        LoadDll2Mem( 
        PVOID  
        &pAllocMem, 
        DWORD  
        &dwMemSize, 
        char 
        * strFileName)   
       
        {   
       
        HANDLE  
        hFile = CreateFileA(strFileName, GENERIC_READ,   
       
        FILE_SHARE_READ, NULL,