--> GInjer <--

Инжектор DLL, способный инжектить как глобально, так и в отдельные процессы.
Может инжектить несколько DLL в процесс, на разных этапах инициализации.
DLL может быть загружена в процесс обычным способом или скрытно.

Нестандартный способ инжекта уже не работает с последними версиями Windows 10 и потому не используется по умолчанию.
Но все равно годится для решения проблемы из --> этой <-- темы.

| Сообщение посчитали полезным: morgot, UniSoft, mak, RAMZEZzz

Vicshann пишет:
Инжектор DLL, способный инжектить как глобально, так и в отдельные процессы
Ну так-то это
A signed kernel driver to receive a process creation callbacks
с вытекающими сопутствующими возможностями... что немного меняет контекст.

| Сообщение посчитали полезным:

> Может инжектить несколько DLL в процесс, на разных этапах инициализации.

Для нэйтива важно что бы управление получалось до загрузки юзер среды, а это одно место - когда закончена инит загрузчика. В принципе можно синхронно это обождать, но нужен второй поток. Иначе по простому никак. Есчо есть нюанс с памятью - пока локальная выборка не произошла и область не добавилась в рабочий набор, то удалённая выборка(те из другого процесса) приведёт к ошибке.

-----
vx

| Сообщение посчитали полезным:

До инициализации NtDll в самом процессе(кроме PspWow64SystemDllData), потому можно было ремаппить NtDll.dll и не использовать NtWriteProcessMemory.
Но все равно можно грузить свои DLL сразу на LdrInitializeThunk, только не все API из NtDll доступны, включая LdrLoadDll

| Сообщение посчитали полезным:

StaniclavPopov пишет:
DLL Инъекция и всё по ней
Громкое название, а внутри...

| Сообщение посчитали полезным:

Vicshann

> Но все равно можно грузить свои DLL сразу на LdrInitializeThunk

На wow потоки запускаются не там. Попытка вызвать загрузчик до его инициализации приведёт к ошибке памяти или деадлоку, выбери сам. А если образ отображён, это не значит что он загружен.

-----
vx

| Сообщение посчитали полезным:

difexacaw
Ты это вообще смотрел? Не так давно за меньшее ты подверг анафеме зирокит на фейке васма)

Vicshann
А зачем ты запрятал этот cbfs? К чему это, или что ты думаешь его тяжело извлечь?

| Сообщение посчитали полезным:

Alchemistry

Друг, а что я там не видел и что новое увижу

Если чувак решил писать загрузчик, то это следует делать правильно, изучив обширный материал по этой теме, сейчас вроде бы не 2003 год.

-----
vx

| Сообщение посчитали полезным:

С шифрованием драйверов я немного увлекся

На WOW64 у меня там x64 dll не через LdrLoadDll грузятся, если я правильно помню.
Мало что из API на этом этапе работает, но все равно свой код выполнить можно

| Сообщение посчитали полезным: