R0注入DLL到R3进程

你的名字 2022-08-09 15:50 219阅读 0赞

`R0注入DLL到R3，貌似没有必要，也的确没有必要。以下代码只是为了验证R0调用NtQueueApcThread来注入DLL到R3进程中，没有什么神秘的东西，博大家一笑`

``

`#include <ntddk.h>`

`PVOID` `pfn_BaseDispatchApc = NULL;`

`PVOID` `pfn_LoadLibraryA = NULL;`

`PVOID` `pszText_Kernel32 = NULL;`

`NTSTATUS (NTAPI* pfn_NtQueueApcThread)(`

`` `__in` `HANDLE` `ThreadHandle,`

`` `__in` `PVOID` `ApcRoutine,`

`` `__in_opt` `PVOID` `ApcArgument1,`

`` `__in_opt` `PVOID` `ApcArgument2,`

`` `__in_opt` `PVOID` `ApcArgument3`

`` `);`

``

`VOID` `LoadImageNotifyRoutine (`

`` `IN PUNICODE_STRING FullImageName,`

`` `IN` `HANDLE` `ProcessId,` `// where image is mapped`

`` `IN PIMAGE_INFO ImageInfo`

`` `)`

`{`

`` `PWSTR` `ptr = FullImageName->Buffer + FullImageName->Length/` `sizeof` `(` `WCHAR` `)-4;`

``

`` `if` `( ptr > FullImageName->Buffer && _wcsicmp( ptr, L` `".exe"` `) == 0 )`

`` `{`

`` `ptr -= 8;`

`` `if` `( ptr > FullImageName->Buffer && _wcsicmp( ptr, L` `"\\notepad.exe"` `) == 0 );`

`` `{`

`` `pfn_NtQueueApcThread( ZwCurrentThread(),`

`` `pfn_BaseDispatchApc,`

`` `pfn_LoadLibraryA,`

`` `pszText_Kernel32,`

`` `NULL );`

`` `}`

`` `}`

`}`

`VOID` `DriverUnload(IN PDRIVER_OBJECT DriverObject)`

`{`

`` `PsRemoveLoadImageNotifyRoutine( LoadImageNotifyRoutine );`

`}`

`NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)`

`{`

`` `//just for winxp`

`` `KdBreakPoint();`

``

`` `//填写kernel32!BaseDispatchApc//win7上是ntdll!RtlDispatchAPC`

`` `(` `PVOID` `)pfn_BaseDispatchApc = (` `PVOID` `)0x7c82c0f6;`

``

`` `//填写kernel32!LoadLibraryA`

`` `(` `PVOID` `)pfn_LoadLibraryA = (` `PVOID` `)0x7c801d7b;`

``

`` `//保证待Load的DLL的名称为text.dll，可以放到system目录下`

`` `//填写kernel32的头部text字符的位置`

`` `(` `PVOID` `)pszText_Kernel32 = (` `PVOID` `)0x7c8001e9;`

``

`` `//填写nt!NtQueueApcThread`

`` `(` `PVOID` `)pfn_NtQueueApcThread = (` `PVOID` `)0x805d3756;`

``

`` `DriverObject->DriverUnload = DriverUnload;`

``

`` `return` `PsSetLoadImageNotifyRoutine( LoadImageNotifyRoutine );`

`}`

发表评论取消回复

表情：

评论列表（有 0 条评论，219人围观）

还没有评论，来说两句吧...

相关阅读

相关 r0遍历系统进程方法总结

方法1： ZwQuerySystemInformation 这个方法网上一搜一大堆，不举例了方法2：暴力枚举PID枚举进程，代码： \[cpp\] view pl

你的名字/ 2023年10月12日 05:27/ 0 赞/ 11 阅读

相关 R3 x64枚举进程句柄

转载:[https://blog.csdn.net/zhuhuibeishadiao/article/details/51292608][https_blog.csdn.net

╰+哭是因爲堅強的太久メ/ 2023年10月12日 01:29/ 0 赞/ 10 阅读

相关 r指引到文件夹_R语言安装及入门

![e51998be41b1a262a81fa39681cd7947.gif][] ![b3b6f54cac9641d1adf1b2844c59cb9d.png][] He

朴灿烈づ我的快乐病毒、/ 2022年11月19日 12:51/ 0 赞/ 214 阅读

相关【R实验.3】绘图

解法并不单一，下列方法带有璇子个人的偏好，因此仅供参考。如有错误，欢迎在评论区斧正！ > 本章实验仅为绘图操作的细节延展。个人认为就R实际应用来说，plot等简单命令就足够了

ゝ一纸荒年。/ 2022年10月16日 14:24/ 0 赞/ 192 阅读

相关 R 3.3.0 is another motivation for Docker

Have you ever encountered R packages versioning issues when one application required dif

柔光的暖阳◎/ 2022年09月21日 13:24/ 0 赞/ 13 阅读

相关 R0注入DLL到R3进程

`R0注入DLL到R3，貌似没有必要，也的确没有必要。以下代码只是为了验证R0调用NtQueueApcThread来注入DLL到R3进程中，没有什么神秘的东西，博大家一笑`

你的名字/ 2022年08月09日 15:50/ 0 赞/ 220 阅读

相关 python3调用R

由于工作需要，在做最优分箱的时候，始终写不出来高效的代码，所以就找到了R语言中的最优分箱的包，这个时候考虑到了在python中调用R语言，完美结合。在国内的中文网站搜了半天，搭

今天药忘吃喽~/ 2022年05月28日 07:36/ 0 赞/ 241 阅读

相关升级到Android SDK 4.0.3 R2

Android SDK 4.0.3 R2安装该版本对应的API级别为15. 一、运行环境的配置 1、准备你的电脑系统：XP 或 Windows 7

雨点打透心脏的1/2处/ 2022年05月16日 06:41/ 0 赞/ 178 阅读

相关将DLL注入进程思路

1.消息钩子 2.OpenProcess,然后WriteProcessMemory,再然后LoadLibrary Hook函数 1.Hook ADT 2.Inli

系统管理员/ 2021年12月22日 14:27/ 0 赞/ 274 阅读

相关 0R电阻作用

① 、在高频信号下，充当电感或电容（与外部电路特性有关）。作为电感用，主要是解决EMC问题，如地与地（连接不同的类型的GND，0欧电阻相当于很窄的电流通路，能够有效地限

左手的ㄟ右手/ 2021年12月16日 03:39/ 0 赞/ 254 阅读