飘云阁

 找回密码
 加入我们

QQ登录

只需一步,快速开始

查看: 354|回复: 12

[原创] fasm x64 汇编专治TOTALCMD64 11.51不加载msimg32.dll

[复制链接]
  • TA的每日心情
    奋斗
    2024-5-22 16:18
  • 签到天数: 1129 天

    [LV.10]以坛为家III

    发表于 前天 07:31 | 显示全部楼层 |阅读模式
    本帖最后由 slzslz 于 2025-7-30 17:42 编辑

    需要怎么一字节TOTALCOMMAND 各位大侠在msimg32,dll中继续发挥吧
    [Asm] 纯文本查看 复制代码
    format PE64 GUI 5.0
    entry start
    
    include 'win64a.inc'
    
    ; 常量定义
    INFINITE             = 0xFFFFFFFF
    MEM_COMMIT           = 0x1000
    MEM_RESERVE          = 0x2000
    PAGE_READWRITE       = 0x04
    CREATE_SUSPENDED     = 0x00000004
    
    section '.data' data readable writeable
    
        my_dll_path        db 'msimg32.dll',0
        my_dll_path_len    = $ - my_dll_path  ; 字符串长度(含NULL)
        process_info       PROCESS_INFORMATION
        startup_info       STARTUPINFO
        process_handle     dq ?
        process_id         dd ?
        thread_handle      dq ?
        kernel32_dll       db 'kernel32.dll',0
        load_library_name  db 'LoadLibraryA',0
        load_library_addr  dq ?
        remote_mem         dq ?
        thread_ret         dq ?  ; 远程线程句柄
    
    section '.code' code readable executable
    
    start:
       sub     rsp, 8      ; 对齐栈
    
        ; 初始化 STARTUPINFO 结构
        lea     rdi, [startup_info]
        mov     rcx, sizeof.STARTUPINFO
        xor     eax, eax
        rep stosb
        mov     [startup_info.cb], sizeof.STARTUPINFO
    
        ; 创建挂起的 Notecase.exe 进程
        invoke  CreateProcessA, 0, "TOTALCMD64.EXE", 0, 0, 0, \
                CREATE_SUSPENDED, 0, 0, startup_info, process_info
    
        test    rax, rax
        jz exit_program
    
        ; 保存进程句柄和 PID
        mov rax, [process_info.hProcess]
        mov [process_handle], rax
        mov eax, [process_info.dwProcessId]
        mov [process_id], eax
    
        ; 保存线程句柄
        mov rax, [process_info.hThread]
        mov [thread_handle], rax
    
        ; 获取 LoadLibraryA 地址
        invoke GetModuleHandleA, kernel32_dll
        test rax, rax
        jz exit_program_cleanup
    
        invoke GetProcAddress, rax, load_library_name
        test rax, rax
        jz exit_program_cleanup
        mov [load_library_addr], rax
    
        ; 在目标进程中分配内存
        invoke VirtualAllocEx, [process_handle], 0, my_dll_path_len, MEM_COMMIT or MEM_RESERVE, PAGE_READWRITE
        test rax, rax
        jz exit_program_cleanup
        mov [remote_mem], rax
    
        ; 写入 DLL 路径
        invoke WriteProcessMemory, [process_handle], [remote_mem], my_dll_path, my_dll_path_len, 0
        test rax, rax
        jz exit_program_cleanup
    
        ; 创建远程线程调用 LoadLibraryA
        invoke CreateRemoteThread, [process_handle], 0, 0, [load_library_addr], [remote_mem], 0, 0
        test rax, rax
        jz exit_program_cleanup
        mov [thread_ret], rax  ; 保存远程线程句柄
    
        ; 等待 DLL 加载完成
        invoke WaitForSingleObject, [thread_ret], INFINITE
    
        ; 检查 DLL 是否加载成功(可选)
        invoke GetExitCodeThread, [thread_ret], remote_mem
        test rax, rax
        jz @f
        cmp [remote_mem], 0
        jnz @f
        ; 可在此处处理 DLL 加载失败的情况
    @@:
        ; 关闭远程线程句柄
        invoke CloseHandle, [thread_ret]
    
        ; 恢复 notecase.exe 的主线程(关键修复点!)
        invoke ResumeThread, [thread_handle]
    
    exit_program_cleanup:
        ; 释放分配的内存
        invoke VirtualFreeEx, [process_handle], [remote_mem], 0, MEM_RELEASE
    
        ; 关闭句柄
        invoke CloseHandle, [thread_handle]
        invoke CloseHandle, [process_handle]
    
    exit_program:
        invoke ExitProcess, 0
    
    section '.idata' import data readable writeable
    
    library kernel32, 'kernel32.dll'
    
    include 'api\kernel32.inc'
    loader.png

    TOTALCMD64loadermsimg32.rar

    2.14 KB, 下载次数: 9, 下载积分: 飘云币 -2 枚

    评分

    参与人数 4威望 +4 飘云币 +4 收起 理由
    cxqdly + 1 + 1 吃水不忘打井人,给个评分懂感恩!
    laoda1228 + 1 + 1 吃水不忘打井人,给个评分懂感恩!
    zenix + 1 + 1 吃水不忘打井人,给个评分懂感恩!
    wgz001 + 1 + 1 感谢发布原创作品,PYG有你更精彩!

    查看全部评分

    PYG19周年生日快乐!
  • TA的每日心情
    开心
    2024-4-1 12:57
  • 签到天数: 154 天

    [LV.7]常住居民III

    发表于 昨天 14:44 | 显示全部楼层
    感谢发布原创作品,PYG有你更精彩!
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2025-1-13 20:56
  • 签到天数: 1993 天

    [LV.Master]伴坛终老

    发表于 前天 23:18 | 显示全部楼层
    謝謝提供分享學習了
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    奋斗
    2025-1-14 01:16
  • 签到天数: 1905 天

    [LV.Master]伴坛终老

    发表于 前天 22:28 | 显示全部楼层
    多谢汇编大神
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2025-1-14 20:41
  • 签到天数: 876 天

    [LV.10]以坛为家III

    发表于 前天 18:26 | 显示全部楼层
    膜拜大神~!
    谢谢大佬~!
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2025-1-14 13:49
  • 签到天数: 393 天

    [LV.9]以坛为家II

    发表于 前天 11:48 | 显示全部楼层
    PYG有你更精彩!
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2019-3-14 10:36
  • 签到天数: 44 天

    [LV.5]常住居民I

    发表于 前天 10:44 | 显示全部楼层
    很不错。
    谢谢分享源代码。
    PYG19周年生日快乐!
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 加入我们

    本版积分规则

    快速回复 返回顶部 返回列表