DLL内存加载

最新推荐文章于 2025-06-28 09:29:11 发布

原创

最新推荐文章于 2025-06-28 09:29:11 发布 · 7.2k 阅读

10 ·

CC 4.0 BY-SA版权

文章标签：

#DLL内存加载 #内存加载

本文介绍了如何在内存中动态加载DLL，主要用于免杀和外挂场景。通过解析DLL的文件头信息，在内存中创建新的空间并复制DLL数据，调整节区对齐，修正IAT，模拟GetProcAddress实现函数调用。提供了相关的类和测试代码示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

动态加载dll
功能：
把一个处于内存里的dll直接加载并且使用。
用途：
免杀（静态文件查杀），外挂（防止游戏自己hook了loadlibrary等函数），以及其他。
原理：
假设目前处于内存里的dll是A，然后开辟一个新的内存空间B，根据A的文件头等相关信息，把B看做是加载内存。
然后把数据拷贝到B里，并且对齐相关节，然后修正iat等相关。然后在手动调用一次dllmain函数，这样dll就被从内存A
加载到内存B里了。之后再调用函数的时候，直接根据函数名，在INT或者其他位置找到函数地址，这个过程就是模拟了
GetProcAddress函数的功能。

整理了一个内存加载dll相关的类以及测试项目代码:(http://download.youkuaiyun.com/detail/u013761036/9686863)
下面是相关测试代码：

#include "stdafx.h"
#include <string>
#include <windows.h>
#include <shlwapi.h>
#include "MemLoadDll.h"
#pragma comment(lib, "shlwapi.lib")
using namespace std;
#pragma warning(disable : 4996)


unsigned char bMemory[1024*1024*5] = {0};


DWORD dwLoadDll2Memory(string strDllPath){
	FILE *fpLoadDll; 
	char cCache[1024];            
	if((fpLoadDll = fopen(strDllPath.c_str(),"rb")) == NULL) { 
		return 0;
	} 
	DWORD dwNowRead