【Ldr】关于系统Dll加载/卸载的简单实现过程和简单分析

ANormalUser · 发表于 2022-7-10 13:42:00

前言：

利用NtOpenFile打开Dll文件，然后使用NtCreateSection创建SectionHandle，接着使用NtMapViewOfSection将Dll映射到内存，基本的Dll加载就完成了。
然后将对映射的镜像进行处理，主要处理部分是重定向表和构建导入表，并且对映射内存设置保护：
下面是一些简单的测试：
在ProcessHacker中可以看到这个Dll（没有尝试将这个Dll写入Ldr的链，直接枚举是枚举不到的），Etw的IMAGE加载监听仍然可以监听到这个Dll的加载行为（提示：触发Etw记录的本质原因是使用了命令NtMapViewOfSection，在内核中Etw会对NtMapViewOfSection的行为进行记录）

如果将NtMapViewOfSection改为自己编写的内存映射代码，即可实现内存Dll。
本例子中的LdrpMapDll实际上只是一个很简单的例子，只处理了最基础的部分，很多复杂的部分还没有处理（包括清单，老版本兼容，入口点消息等等），这就自行开发了吧。

MapDll.zip (71.08 KB, 下载次数: 99)

j1angtaojy · 发表于 2024-11-11 18:54:09

6666666666666666666666666

小妖626 · 发表于 2023-11-13 18:52:43

好东西认真学习

java22 · 发表于 2022-7-21 23:41:02

支持开源~！感谢分享

372510145 · 发表于 2022-7-17 13:41:46

下载看看

酷易自绘 · 发表于 2022-7-16 21:17:34

RE: 【Ldr】关于系统Dll加载/卸载的简单实现过程和简单分析 [修改]

a3780586510 · 发表于 2022-7-16 19:13:46

看看看看看看看看

E宝贝 · 发表于 2022-7-15 21:13:44

有点复杂啊

a3960382663 · 发表于 2022-7-13 20:57:51

希望楼主多发精品好帖啦.....

宇晨CC · 发表于 2022-7-13 19:35:14

顶楼主啦..希望楼主多发精品好帖啦.....

jia201314973 · 发表于 2022-7-13 14:52:35

6666666666666666666666666

		自动登录	找回密码
密码			注册