Выгрузка dll из процесса.

[nesteras79]

Подскажите пожалуйста.
Как можно пос ли внедрения dll в процесс выгрузить её и что бы функциональность её осталось в памяти процесса.


Добавлено через 56 секунд:
Да к стати на С++

[Dimka]

nesteras79, нет. Грубо говоря: при загрузке дисковый файл с dll, содержащий код, отображается в адресное пространство процесса; после выгрузки не отображается, и код становится недоступным для исполнения.


А смысл?

[Finch]

nesteras79, Не понял, если честно. Функциональность обеспечивает библиотека. Выгружаеш ее, теряеш ту функциональность, которую она несет. Можно вообше библиотекой не пользоваться. Всю функциональность написать или позаимствовать в свой код.

[zubr]

В принципе можно. Если записать dll в память процесса, после чего ее можно удалить с диска. Это может быть любой код, не только dll.

[nesteras79]

Мне нужно загрузить длл в программу и что бы программа не увидела эту длл.
Вариант есть срыть длл, но программа вдет скрытые длл.
Ещё вариант загрузить длл в адресное пространство и выгрузить,при этом образ длл должен остатьса.

[Finch]

nesteras79, Вирусописательством занимаемся Если Код программы специально не сканирует свое адресное пространство, то и естественно видеть не будет. Параноей отличаются в основном только антивирусы.

[zubr]

Варианты:
1. Загрузить через WriteProcessMemory нужный код и запустить его через удаленный поток.
2. Загрузить через WriteProcessMemory нужный код и запустить его, прописав инструкцию call на него, используя DebugApi.
3. Перехватить в процессе-жертве функции ReadProcessMemory и возможно функции ToolHelpApi, чтобы не дать процессу отследить наличие твоей длл.

Добавлено через 1 минуту и 46 секунд:
Finch, разного рода античиты тоже отличаются подобной паранойей.

[Dimka]

zubr, так тебе и дали куда хочешь писать. Ещё права нужно иметь соответствующие, и отслеживать управление памятью в том процессе, куда пишешь, чтобы что-нибудь не сломать, или процесс сам не затёр.

[zubr]

Dimka, ну в дочерний процесс - практически без проблем пишется (UAC тоже молчит), потому как на одном уровне привилегий. Что касается управления памятью, так для этого есть VirtualAllocEx, позволяющая резервировать нужные регионы памяти. Если только внешняя программа будет отслеживать WriteProcessMemory типа резидентных антивирусов...

[nesteras79]

А можно в примере объяснить как сделать это в длл.

[zubr]

nesteras79, приведенные выше технологии я применял в различных читах, античитах, крипторах. Но код коммерческий и по понятным причинам я его здесь выкладывать не буду.
Посмотри на wasm.ru, там есть примеры выполнения своего кода в чужом процессе через удаленный поток, использования DebugApi и т. п.
Вот ссылка интересная: http://rsdn.ru/forum/src/330915.aspx

[nesteras79]

Ок всем спасибо.

Добавлено через 7 минут и 20 секунд:
zubr,
Я тебе в личьку написал.