Applikation aus Ressource laden

[Zacherl]

Naja mehr Blödsinn als durch eine triviale DLL Injection kann man dadurch auch nicht machen, da wie schon richtig gesagt jede Firewall die verwendeten Verfahren erkennen. Einsatzgebiete finden sich zwar oft in Maleware (Firewall Bypass, etc) allerdings auch in "nützlichen" Programmen, wie simplen UPX ähnlichen Tools.

Die Funktionsweise ist allgemein bekannt, deshalb sehe ich auch keinen Grund hier eine Erklärung zu verweigern. Nico hat ein Beispiel namens InMemExe dazu geschrieben, was man durch eine Google Recherche sicherlich finden wird.

Prinzipiell wird ein neuer Prozess gestartet und dann das Prinzip des Windows Loader immitiert. Der PE Header im RAM modifiziert, die einzelnen Sections neu gemappt, der EIP des Hauptthreads entsprechend geändert, sodass er auf den neuen EP zeigt und dann wird der Prozess resumed.