Возвращаясь к этой штуке

Сегодня посидев и поресёрчив (я там принимал не очень большое значение), итог такой:

Если библиотека грузит ещё библиотеки, они подгружаются в статическом варианте, это не то динамическое / статическое, что при линковке
Тут это просто свойство загруженного модуля
Так вот, в таком случае FreeLibrary не будет работать на выгрузку, даже если вы выгрузите все депенденси всех либ

Соответственно, возвращаясь к опыту
Если мы подгрузили динамически дллку, но ещё одна дллка подгрузила её же в своих зависимостях, загрузчик поставит ей флаг статики (перетрёт флаг динамики) и выгрузить её будет нельзя (не смотря на то, что вроде как мы её динамически руками загружали)

По этому поводу есть единственная статейка чела, которая так и называется "FreeLibrary will not unload your dll" и 2-3 коммента на форуме

https://rstforums.com/forum/topic/110743-make-your-dynamic-module-unfreeable-anti-freelibrary/

https://chat.stackoverflow.com/transcript/138448/2017/3/19/11-12

Useful API's

https://livrosdeamor.com.br/documents/winapis-for-hackers-5c8c74d09ad3a

Simple example of automatic loading dll's with processes which load user32.dll

dll part of the project:

BOOL APIENTRY DllMain( HMODULE hModule,
                       DWORD  ul_reason_for_call,
                       LPVOID lpReserved
                     )
{
    switch (ul_reason_for_call)
    {
    case DLL_PROCESS_ATTACH:
        MessageBoxA(NULL, (LPCSTR)"hello", (LPCSTR)"world", MB_OK);
    case DLL_THREAD_ATTACH:
    case DLL_THREAD_DETACH:
    case DLL_PROCESS_DETACH:
        break;
    }
    return TRUE;
}

cpp part of the project:

#include <iostream>
#include <Windows.h>

int main() {
  HMODULE hModule = LoadLibrary(TEXT("TestDLL.dll"));

  std::cout << "aaa";
  return 0;
}

Put the dll into

C:\Windows\System32

or

C:\Windows\SysWOW64

Use the dll name in Registry

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs]

Registry key if OS is 32-bit

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs]

Registry key if OS is 64-bit.

Set registry key LoadAppInit_DLLs to 1

Some simple ways for autoexec your dll's / exe's (persistence)
https://pentestlab.blog/2020/01/14/persistence-winlogon-helper-dll/

#bayan #reverse #kb

https://habr.com/ru/company/dsec/blog/334832/

Robust Static Analysis of Portable Executable Malware

Vectorization in gcc

http://gcc.gnu.org/projects/tree-ssa/vectorization.html

https://drive.google.com/drive/folders/1fBZb8BcqDOioKja_m8Igs_RhrPGteJt4

Udemy | Windows Privilege Escalation

@road_oscp

Создал гит для примеров WinAPI'х, чтобы не хранить каждый пример в сообщениях
Created git repo for WinAPI examples, so that I'd not keep each example in messages

https://github.com/TrueBad0ur/WinAPI_examples

WinDbg Cheat Sheet

https://github.com/N1ght-W0lf/WinDbgCheatSheet

#WinDbg #mindmap