Объясните принцип работы лоадера.

[1ws3echt4]

шапка, просто как происходит процесс инжекта

 

[hlop]

Использование VirtualAllocEx позволяет выделить место в выбранном процессе и при успешном выполнении возвращает начальный адрес выделенной памяти.

                                              +--------------------+
                                              |                    |
                        VirtualAllocEx        +--------------------+
                        Выделяет место -----> |     Empty space    |
                                              +--------------------+
                                              |                    |
                                              +--------------------+
                                              |     Executable     |
                                              |       Image        |
                                              +--------------------+
                                              |                    |
                                              |                    |
                                              +--------------------+
                                              |    kernel32.dll    |
                                              +--------------------+
                                              |                    |
                                              +--------------------+

Как только память была инициализирована, путь к DLL может быть записан в выделенную память, возвращенную VirtualAllocEx с помощью WriteProcessMemory

                                              +--------------------+
                                              |                    |
                   WriteProcessMemory         +--------------------+
                   Инжектит путь до длл ----> | "..\..\myDll.dll"  |
                                              +--------------------+
                                              |                    |
                                              +--------------------+
                                              |     Executable     |
                                              |       Image        |
                                              +--------------------+
                                              |                    |
                                              |                    |
                                              +--------------------+
                                              |    kernel32.dll    |
                                              +--------------------+
                                              |                    |
                                              +--------------------+

Адрес LoadLibrary и путь к DLL являются двумя основными элементами, необходимыми для загрузки библиотеки. Используя функцию CreateRemoteThread, LoadLibrary выполняется в контексте целевого процесса с указанием пути DLL в качестве параметра.

                                              +--------------------+
                                              |                    |
                                              +--------------------+
                                   +--------- | "..\..\myDll.dll"  |
                                   |          +--------------------+
                                   |          |                    |
                                   |          +--------------------+ <---+
                                   |          |     myDll.dll      |     |
                                   |          +--------------------+     |
                                   |          |                    |     | LoadLibrary
                                   |          +--------------------+     | загружает
                                   |          |     Executable     |     | и
                                   |          |       Image        |     | инициализирует
                                   |          +--------------------+     | myDll.dll
                                   |          |                    |     |
                                   |          |                    |     |
          CreateRemoteThread       v          +--------------------+     |
          LoadLibraryA("..\..\myDll.dll") --> |    kernel32.dll    | ----+
                                              +--------------------+
                                              |                    |
                                              +--------------------+