-
-
[求助]关于DLL隐藏
-
发表于: 2012-12-6 06:46
-
一个DLL的启动过程是这样的:
1,被宿主程序LoadLibraryA加载进来
2,首先DLL申请了一块内存(和自身模块大小一样)
3.VirtualProtect修改DLL的内存属性(PAGE_EXECUTE_READWRITE)
4.对第2步申请的内存用WriteProcessMemory写数据(把DLL的数据写进去)
5.卸载DLL
6.用被卸载的DLL句柄为起始地址申请一块内存(大小和DLL大小一样)
7.再用WriteProcessMemory把第6步申请内存填充数据(数据是buf是第2步申请的内存地址数据)
8.VirtualProtect把以DLL句柄为起始地址内存属性修改为可执行(代码段)
9.把第2步申请的内存释放掉
关键代码就是这么多了.DLL是带窗口的,这样做了之后DLL就可以隐藏起来了eek:
上面的分析是OD调试出来的,但是实际DLL是注入到HS保护的游戏,请问我该怎么做才能取到DLL模块句柄呢?
1,被宿主程序LoadLibraryA加载进来
2,首先DLL申请了一块内存(和自身模块大小一样)
3.VirtualProtect修改DLL的内存属性(PAGE_EXECUTE_READWRITE)
4.对第2步申请的内存用WriteProcessMemory写数据(把DLL的数据写进去)
5.卸载DLL
6.用被卸载的DLL句柄为起始地址申请一块内存(大小和DLL大小一样)
7.再用WriteProcessMemory把第6步申请内存填充数据(数据是buf是第2步申请的内存地址数据)
8.VirtualProtect把以DLL句柄为起始地址内存属性修改为可执行(代码段)
9.把第2步申请的内存释放掉
关键代码就是这么多了.DLL是带窗口的,这样做了之后DLL就可以隐藏起来了eek:
上面的分析是OD调试出来的,但是实际DLL是注入到HS保护的游戏,请问我该怎么做才能取到DLL模块句柄呢?
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
嘿嘿...暴力搜索特征码可以么??
还是没太看懂你要表达的意思.. 
|
|
|
|
|
|
游戏是HS保护的,我当然知道LoadLibrary那个就是句柄,现在的问题是 DLL已经完成了这些步骤之后,该怎么去得到这个句柄,并不是我LoadLibrary的
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
DLL被Free掉了,GetModuleHandle得不到的
|
|
|
|
|
|
|
|
|
已经解决了 ,我劫持了游戏的DLL,在HS还没加载起来就被游戏加载了,然后Hook LoadLibraryA
得到了他的句柄,感谢大家的回复 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
哈哈 这个不是我写的啦,是别人的辅助DLL这样做的,（DELPHI写的）
|
|
|
我卸载了·！！我用OD找不到那块内存了··然后申请··返回0 ···OD也找不到那个内存·！！
|
|
|
|
|
|
我是自己写个测试程序的··DLL也是···然后加载DLL EXE来卸载·！！申请也是EXE来操作的·！
|
|
|
|
