DarkLoadLibrary

DarkLoadLibrary

LoadLibrary 用于攻击性操作。

它是如何工作的?

https://www.mdsec.co.uk/2021/06/bypassing-image-load-kernel-callbacks/

使用方法

DARKMODULE DarkModule = DarkLoadLibrary(
    LOAD_LOCAL_FILE, // control flags
    L"TestDLL.dll", // local dll path, if loading from disk
    NULL, // dll buffer to load from if loading from memory
    0, // dll size if loading from memory
    NULL // dll name if loaded from memory
);

控制标志:

• LOAD_LOCAL_FILE - 从文件系统加载 DLL。
• LOAD_MEMORY - 从缓冲区加载 DLL。
• NO_LINK - 不要将此模块链接到 PEB,只需执行它。

DLL 路径:

这可以是 CreateFileW 将打开的任何路径。

DLL 缓冲区:

只有在设置了 LOAD_MEMORY 时，才需要此参数。在这种情况下，此参数应为包含 DLL 的缓冲区。

DLL 大小:

只有在设置了 LOAD_MEMORY 时，才需要此参数。在这种情况下，此参数应为包含 DLL 的缓冲区的大小。

DLL 名称:

这个参数只有在设置了 LOAD_MEMORY 时才需要。在这种情况下，这个参数应该是 DLL 在 PEB 中设置的名称。