1.1 文件路径的确错误。比如：本来欲加载的是A文件夹下的动态库a.dll，但是经过仔细排查原因，发现a.dll动态库竟然被拷贝到B文件夹下去了。
DLL注入技术可以被正常软件用来添加/扩展其他程序，调试或逆向工程的功能性；该技术也常被恶意软件以多种方式利用。这意味着从安全角度来说，了解DLL注入的工作原理是十分必要的。
64位进程,就得用64位的EXE来CreateRemoteThread, 另外DLL也应该是64位
在Windows下NtCreateThreadEx是CreateRemoteThread的底层函数。RtlCreateUserThread 也是对 NtCreateThreadEx的一层包装
很久以前我写过三篇关于如何编写Windows shellcode（x86 - 32位）的详细博客文章。文章初学者友好，包含很多细节。第一部分解释什么是shellcode，哪些是它的局限性，第二部分解释了PEB（进程环境块），PE（可移植可执行文件）文件格式和ASM（汇编程序）的基础知识，第三部分说明了Windows shellcode如何实际实现。这篇博客文
在正常情况下，要想使用GetProcAddress函数，需要首先调用LoadLibraryA函数获取到kernel32.dll动态链接库的内存地址，接着在调用GetProcAddress函数时传入模块基址以及模块中函数名即可动态获取到特定函数的内存地址，但在有时这个函数会被保护起来，导致我们无法直接调用该函数获取到特定函数的内存地址，此时就需要自己编写实现LoadLibrary以及GetProcAddress函数，该功能的实现需要依赖于PEB线程环境块，通过线程环境块可遍历出kernel32.dll模块的入口地址，接着就可以在该模块中寻找GetProcAddress函数入口地址，当找到该入口地址后即可直接调用实现动态定位功能。
原因：python是64位的python，而windll.LoadLibrary只能由32位的python使用
木马和病毒的好坏很大程度上取决于它的隐蔽性，木马和病毒本质上也是在执行程序代码，如果采用独立进程的方式需要考虑隐藏进程否则很容易被发现，在编写这类程序的时候可以考虑将代码注入到其他进程中，借用其他进程的环境和资源来执行代码。远程注入技术不仅被木马和病毒广泛使用，防病毒软件和软件调试中也有很大的用途，最近也简单的研究过这些东西，在这里将它发布出来。 想要将代码注入到其他进程并能成功执行需要解决两个问题：
在IDA Pro6.1中我们扩展了Bochs调试器插件，现在已经可以进行64位代码段的调试。在IDA Pro 6.2版本中将有可能实现PE+ 可执行程序的动态调试。由于程序将会在Bochs系统中执行，因而在调试的过程中我们并不需要实际的64位操作系统，因而在实际的调试过程中可以从任何的32位或者64位的Linux，Mac OS 或者Windows操作系统中使用IDA Pro进行64位可执行文件的调试。
如图，我通过SetWindowsHookEx()函数向记事本进程中当前窗口线程注入了自己写的dll，dll中设置的回调函数使，当键盘按了1，那么就会触发一个MessageBox。
本文记录的我学习实现白+黑免杀的过程，以及遇到了shellcode编写32位无法注入64的问题，最后组合了各种静态规避手段，成功静态层面逃逸大部分的杀软。成品和源码可以在最下方的先知的附件中可以拿到，仅供学习参考。
其实今天写这个的主要原因就是看到倾旋大佬有篇文章提到:有些反病毒引擎限制从lsass中dump出缓存,可以通过注入lsass,就想试试注入lsass
注入与Hook：注入与hook经常被人们混淆，其实注入和hook是两种windows下的编程技术(当然，其他平台也有相关的技术)，由于在安全编程中，两项技术经常被同时结合起来使用，所以常常导入混淆。今天我们就谈谈windows下的注入技术。
最近一直在学习dll注入远程进程的相关知识，于是有了这篇文章。通过注入的方式会运行程序，在资源管理器中是看不到，相关的进程的，这为程序的隐藏提供了极大的便利。
DLLHSC全称为DLL Hijack SCanner，即DLL劫持扫描工具，DLLHSC可以生成线索并自动帮助广大研究人员发现合适的DLL劫持攻击目标，以方便实现DLL搜索顺序劫持。
前面一直想看该JNI的相关内容，但是发现JNI的资料还是偏少。后面发现JNI在安全中应用非常的微妙，有意思。
远程线程注入是最常用的一种注入技术，该技术利用的核心API是 `CreateRemoteThread()` 这个API可以运行远程线程，其次通过创建的线程调用 `LoadLibraryA()` 这个函数动态载入指定的DLL即可实现运行DLL， 而`LoadLibrary()`函数在任何一个可执行文件中都可以被调用到，这就给我们注入提供了有效的条件.
本篇博客我们将介绍Java中的一个关键字——native。 native 关键字在 JDK 源码中很多类中都有，在 Object.java类中，其 getClass() 方法、hashCode
package main import ( "syscall" ) func abort(funcname string, err string) { panic(funcname + " failed: "+err) } func print_version(v uint32) { major := byte(v) minor := uint8(v >> 8) build := uint16(v >> 16) print("windows version ", m
在驱动层（ring0）里执行应用层（ring3）代码，这是个老生常谈的技术，而且方法也挺多。
aDLL是一款功能强大的代码分析工具，可以帮助广大研究人员以自动化的方式识别并发现DLL劫持漏洞。该工具可以分析加载至内存中的源码镜像，并在加载过程中搜索DLL，并且利用了微软Detours代码库来拦截针对LoadLibrary/LoadLibraryEx函数的调用，然后分析在代码运行时过程中加载的DLL文件。
安卓开发中使用Android studio集成三方SDK（比如腾讯视频云移动直播、播放器、短视频、实时音视频），通常有两种集成方式：aar集成、jar+so集成。安卓集成已经很成熟了，详见SDK集成指引。
远程线程注入是最常用的一种注入技术，在应用层注入是通过CreateRemoteThread这个函数实现的，该函数通过创建线程并调用 LoadLibrary 动态载入指定的DLL来实现注入，而在内核层同样存在一个类似的内核函数RtlCreateUserThread，但需要注意的是此函数未被公开，RtlCreateUserThread其实是对NtCreateThreadEx的包装，但最终会调用ZwCreateThread来实现注入，RtlCreateUserThread是CreateRemoteThread的底层实现。
前一阵项目上要求实现App的so库动态加载功能，因为这块本来就有成熟的方案，所以一般的实现没什么难度。可是到项目测试中，才发现有不少意料之外的情况，需要一一针对处理，故此记录一下具体的解决办法，以供后来者参考。 按App加载so库的正常流程，在编译前就要把so文件放到工程的jniLibs目录，这样会把so直接打包进apk安装包，然后App在启动时就会预先加载so库。具体的加载代码一般是在Activity页面中增加下面几行，表示在实例化该页面的时候，一开始就从系统目录加载名为libjni_mix.so的库：
注册/反注册dll或ocx文件时，无论是用regsvr32还是DllRegisterServer/DllUnregisterServer，可能会遇到【内存位置访问无效】的问题：
在之前的文章中，我们实现了一个正向的匿名管道ShellCode后门，为了保证文章的简洁易懂并没有增加针对调用函数的动态定位功能，此类方法在更换系统后则由于地址变化导致我们的后门无法正常使用，接下来将实现通过PEB获取GetProcAddrees函数地址，并根据该函数实现所需其他函数的地址自定位功能，通过枚举内存导出表的方式自动实现定位所需函数的动态地址，从而实现后门的通用性。
《PE2》中介绍了一些可选文件头中重要的属性，为了全面起见，本文将会讲解那些不是那么重要的属性。虽然不重要，但是还是可以发现很多好玩的情况。首先看一下32位的可选文件头详细定义。（转载请指明来源于breaksoftware的CSDN博客）
之前在博文中介绍在python中如何调用tesseract ocr引擎，当时主要介绍了shell模式，shell模式需要安装tesseract程序，并且效率相对略低。
但有一个问题，现在Python的默认版本都是64位，但dll有很多是32位，因此就会出现：
内存进程读写可以让我们访问其他进程的内存空间并读取或修改其中的数据。这种技术通常用于各种调试工具、进程监控工具和反作弊系统等场景。在Windows系统中，内存进程读写可以通过一些API函数来实现，如OpenProcess、ReadProcessMemory和WriteProcessMemory等。这些函数提供了一种通用的方式来访问其他进程的内存，并且可以用来读取或写入不同类型的数据，例如整数、字节集、浮点数等。
32位的应用程序可以完美再64位的电脑上运行，而32位的内核驱动无法再64位的电脑上运行，或者64位的驱动无法在32位的应用程序上运行。这是为什么呢。
前不久，我们准备将自己开发的视频播放sdk提供给公司其他部门，在打包的时候，同事问了我一个问题，为什么我们打sdk的时候需要分别提供armeabi和arm64-v8a(ps，还有其他7种CPU架构)。其实这是一个常识问题，针对不同的架构我们肯定要提供不同的动态链接库，所以，在实际开发过程中，我们并不是将这7种so库都集成到我们的项目中去，我们会根据实际情况做一个取舍。 那么旧事重提，我们再来看看Android动态链接库。 简介 早期的Android系统几乎只支持ARMv5的CPU架构，不过到目前为止支持7种
映射DLL其实很简单 在内核中使用4个函数即可映射. 而这方面网上资料也很多.这里推荐几个 也不再重复叙述了. 转载链接: 内核映射文件 简而言之只需要熟悉四个API即可. 而核心API其实就三个 分别为如下:
文章背景： 最近发现有些办公电脑打开一些excel文件（xls格式）时，会弹出一个对话框，显示""隐藏模块中出现编译错误：<module name>"。在网上查阅一些资料后，发现早期的VBA代码存在兼容性问题。
引言 随着项目中动态链接库越来越多，我们也遇到了很多奇怪的问题，比如只在某一种 OS 上会出现的 java.lang.UnsatisfiedLinkError，但是明明我们动态库名称没错，ABI 也没错，方法也能对应的上，而且还只出现在某一些机型上，搞的我们百思不得其解。为了找到出现千奇百怪问题的原因，和能够提供一个方式来解决一些比较奇怪的动态库加载的问题，我发现了解一下 so 的加载流程是非常有必要的了，便于我们发现问题和解决问题，这就是本文的由来。 要想了解动态链接库是如何加载的，首先是查看动态链接库是
如果你想从GitHub安装Theano的前沿或开发版本，请确保你正在阅读此页面的最新版本。
Android中有时候为了效率以及平台开发库的支持，难免会用到NDK开发，那么都会产生一个so文件，通过native方法进行调用，开发和调用步骤很简单，这里就不多说了，本文主要来介绍，我们在使用so的时候总是会出现一些常见的问题，而现在插件化开发也很普遍了，有时候插件中也会包含一些so文件，需要加载，这时候也会出现一些问题。本文就来详细总结一下这些问题出现的原因，以及解决方法，主要还是通过源码来分析。
声明：本文由【MS509 Team】成员expsky原创，仅用于技术交流分享，禁止将相关技术应用到不当途径。 整理电脑的时候找到自已以前分析的一个鬼影病毒的资料，当时兼容市面上主要的windows系统（XP, win7,包含x86和x64系统）样本来自国外，有不少亮点，当时花了不少时间把所有原理分析出来并重新用汇编和C++实现了出来。 以前的一些资料简单整理了下，分享出来，也给自己以前的工作留个记录。 该木马样本通过感染MBR达到早于系统得到执行。整个样本以非文件形式存在，直接写人磁盘扇区。包括感染的MBR
我这里驱动注入的技术是：采用驱动向目标进程插入APC执行LdrLoadDll函数加载Dll模块。
近期刚好用到FFmpeg来处理视频编码，由于网上各种版本的so库大部分都32位的，所以打算自己来编译32位和64位的库，我之前有写编译32位的库https://cloud.tencent.com/developer/article/1661468里面有关于ndk和32位的相关配置。今天主要是总结一下FFmpeg的64位的动态库编译。
今晚北京的风很大，大到路边的ofo都一路向我贴服膜拜。好的吧，这是我今晚的心情，hhh，当我的Java程序抛出了C++算法的运算结果，一下子，我就跳了起来。如同年幼的时候，蹦蹦跳跳的跑出实验室大笑了几声，连夸了自己几句，“真厉害！好棒！这都能做出来”这样的话语，平复了下自己激动的心情，抹去脸上的笑容，深吸了一口气，转身走向了实验室。 因为这个帖子是给以后年老色衰的我写的，反正也不会有人看，hhh，我就随意的写点啦。 首先，我们得正儿八经的介绍一下JNI编程。JNI其实是Java Native Interfa
DLL注入 刚刚整理的代码注入(远程线程注入)现在整理这个DLL注入，DLL注入比较常用，相比远程代码注入DLL注入没有什么太多的限制，而且实现起来比较简单，当然远程线程需要注意的问题DLL很多情况都需要注意，这里不做重复，只说代码注入里面没有说过的部分。DLL注入的方式不唯一，比如你如果完全看懂了代码注入，那么你直接LoadLibrary地址和一个dll路径传进去然后在里面load一下就行了，也就是之前的代码注入完全可以实现dll注入，今天就说下一通常dll的注入方式吧，通常dll的注入比我刚刚说的那个方法还要简单，流程和代码注入差不多但是简单了很多，思路是这样，LoadLibrary这个函数所有的进程都是地址一样，我们直接获取LoadLibrary的地址，然后在CreateRemoteThread里面直接把这个地址作为线程地址传过去，然后参数就是我们已经拷贝到对方内存里的那个字符串，这样直接就跑起来了，非常简单，在DLL里想干什么就干什么，可以和本地写代码一样，然后还有一个问题，就是注意一下，dll在入口的switch里面的第一个分支直接调用你想干的事就行了，那个分支的意思就是说当dll被第一次载入的时候就自动执行了，OK就这么简单，如果你觉得没听懂，那么需要看我之前说的那个代码注入，这个里面只说了新的东西，还有就是dll注入应该注意的几个地方： 1.dll的入口记得就调用自己的函数，别走正当的流程，如果你非蛋疼的想调用某个指定函数，当然可以用代码注入结合dll注入的方式，但是 然并卵。 2.注意系统问题，32exe+32dll注入32位程序，64exe+64dll注入64位程序。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
