易语言配合VC++写的DLL实现无驱动的反远程线程注入

无名侠 · 发表于 2014-6-28 08:39:32

本帖最后由无名侠于 2014-6-28 08:40 编辑

原理如下：
  首先DllMain的第二个参数 ul_reason_for_call，会传入一些信息
  当有线程创建的时候系统会在线程执行前调用一次所有载入到该进程DLL的DllMain函数，这时候，ul_reason_for_call传入的参数是DLL_THREAD_ATTACH，如此一来就方便多了，不必去HOOK其他进程的线程创建函数。
流程如下：
   在DllMain里面判断 ul_reason_for_call = DLL_THREAD_ATTACH
            如果等于那么，枚举线程，获得所以线程的入口地址，然后挨个检测入口地址是否为LoadLibraryA  or LoadLibraryW的入口地址
   如果是，那么杀掉，或者默默退出。
不推介杀掉，杀掉后程序一会就回卡死，可能要等系统把所有的DllMain调用完后，线程开始执行了才可以安全杀死吧，可以设置一个定时器，一般DllMain的代码一般很简单，所以把定时器的时序放短一点，500毫秒或者更少【猜测】。

  反线程注入的Dll要用VC++写原因是这样的：
         易语言的Dll入口子程序没有提供ul_reason_for_call这个参数。

编译出来的Dll使用方法很简单，用LoadLibraryA载入到内存就可以了。

【注入专题】注入专题之远程线程注入
http://bbs.125.la/thread-13724049-1-1.html
(出处: 精易论坛)

Anti .zip (299.98 KB, 下载次数: 1296)

玫瑰很扎手 · 发表于 2024-5-16 13:40:11

6666666

雪很冷1 · 发表于 2024-1-9 16:44:03

厉害。又是攻守之战，大神

441663619 · 发表于 2023-6-30 16:12:40

燥oooooooooooooooooooooo

c000qwe · 发表于 2023-6-26 01:08:02

那么怎么破J这种反注入的手法呢

qzser1 · 发表于 2022-7-17 21:08:10

#在这里快速回复#支持开源~！感谢分享

Myl007 · 发表于 2022-5-12 11:48:46

大佬666，感谢大佬分享

w3516330 · 发表于 2021-12-23 19:06:35

支持开源~！感谢分享

LOLzouA · 发表于 2021-7-11 13:05:53

这么牛逼吗我要学了

2257001 · 发表于 2020-3-15 13:16:11

顶~~下来看看

yhaion · 发表于 2019-8-24 21:23:50

这个反注入了解下

		自动登录	找回密码
密码			注册

[易语言软件开源] 易语言配合VC++写的DLL实现无驱动的反远程线程注入

评分

本帖被以下淘专辑推荐: