C2反射DLL插件武器化开发

原创

词不达意
词不达意

词不达意安全团队

2026年10月7日 13:45
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

DLL是什么

DLL（Dynamic Link Library）是 Windows 上的动态链接库，系统在加载/卸载/线程创建时调用 DllMain(hinstDLL, dwReason, lpReserved)。

常规加载DLL

平时写 LoadLibraryW(L\"a.dll\") 或进程启动时依赖某 DLL，真正干活的是 Windows 的映像加载器（ntdll 里的 Ldr* 一族）。它大致做：

1. 1. 在磁盘上打开文件（或使用已有的节对象）
2. 2. 按 PE 头把各节映射进进程地址空间
3. 3. 处理重定位
4. 4. 按导入表加载依赖库，填写 IAT
5. 5. 处理 TLS、异常表、Cookie 等（完整加载器比迷你加载器做得多）
6. 6. 把模块登记进进程的模块链表（可被 GetModuleHandle / 调试器看到）
7. 7. 调用 DllMain(..., DLL_PROCESS_ATTACH, ...)

什么是反射DLL

反射DLL自己实现了一个迷你PE加载器（导出函数通常叫 ReflectiveLoader）。当反射DLL被加载到内存中时，执行DLL自带的ReflectiveLoader函数流程如下：

内存里已有一份原始 PE 字节
            │
            ▼
   执行进入 ReflectiveLoader
            │
            ├─ 0. 找到自己当前映像的基址（MZ / PE 签名）
            ├─ 1. 从 PEB 模块链表里解析出加载器需要的几个 API
            ├─ 2. VirtualAlloc 一块 SizeOfImage 的新内存，拷贝 PE 头
            ├─ 3. 按节表把各节拷到 VirtualAddress 处
            ├─ 4. 走导入表，填写 IAT
            ├─ 5. 按重定位表修正绝对地址
            └─ 6. 刷新指令缓存，调用 DllMain(DLL_PROCESS_ATTACH)

为什么要使用反射DLL

在内存中执行DLL文件无需落地，可自定义功能编译成DLL文件后插件化执行。

反射DLL编写

以经典项目为例：
https://github.com/stephenfewer/reflectivedllinjection
查看代码声明了ReflectiveLoader导出函数

DllMain入口点，效果是弹窗，编译dll文件
我给agent新增了反射dll执行功能，从内存中执行反射dll文件

目标主机成功弹窗

武器化插件

我使用的c2支持反射dll执行，那么GitHub上相关的反射dll项目我们就可以直接调用

以这位师傅的项目为例，可以直接使用写好的武器化反射dll文件

BYPASS UAC提权绕过最新版本火绒

后续可将常见的个人主机以及服务器提权项目，编译为反射dll插件，实现武器化一键提权功能。

纷传介绍

圈子往期文件内容如下

群友反馈

• •冲锋马一键生成工具（一键生成免杀loader）
• •lnk文件一键生成工具（一键生成免杀钓鱼lnk文件）
• •bypass内存扫描插件（可绕过火绒、卡巴斯基等杀软内存扫描cs插件）
• •暗涌在线免杀平台（白文件patch免杀loader（分离、单文件）一键生成平台、支持反沙箱）
• •bypass任务计划工具（普通权限可添加、钓鱼快速免杀维权）
• •后渗透工具免杀（petobin，分离加载避免静态落地被秒）
• •BYOVD攻击一键结束赛门铁克进程
• •BinPatch免杀工具过国内主流杀软
• •白影(whiteShadow)自动化白加黑免杀工具v1.0
• •白影(whiteShadow)自动化白加黑免杀工具v2.1
• •Windows恶意软件常见API一览（PDF）
• •Maldev Academy 恶意软件开发完整课程（源码+VM镜像）
• •SplitRun一款exe免杀工具v1.0
• •cs4.5二开过火绒内存扫描
• •binfileBinder文件捆绑工具
• •RPC添加计划任务绕过360核晶
• •RunPack内部版单文件loader免杀1.3
• •VoidShell/VoidShell-fe内部版：x86-64 Linux ELF 加壳混淆工具
• •白影(whiteShadow)自动化白加黑免杀工具v2.4
• •RRR C2 v1.2

重要声明

本文所涉及的技术、思路和工具仅用于本地靶场安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统等目的，一切后果由使用者自行承担，禁止用于任何非法渗透测试，以及无授权违法测试，请遵守中华人民共和国网络安全法。