-
-
[讨论]关于通过PEB隐藏进程内模块的问题
-
发表于:
2011-4-28 19:15
8723
-
通过PEB断链隐藏了模块，但是使用GetModuleHandle却还是能返回模块的handle的。
比如我通过断PEB链隐藏了ntdll.dll
例子代码：
HMODULE hModule = GetModuleHandle(L"ntdll.dll");
void *pfunc = GetProcAddress(hModule, "DbgBreakPoint");
wprintf(L"%p, func = %p\n", hModule, pfunc);
hModule 的值却是对的，只是pfunc为空而已。
现在的问题是，还需要增加什么手段，可以让GetModuleHandle也返回NULL，
否则别人还是可以通过offset + hModule ，能找到函数的地址的。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
