-
-
最简单的DLL导出函数隐藏方式
-
发表于:
2014-12-30 09:34
1215
-
众所周知，DLL导出函数有两种模式：按函数名或按序号
经编译DLL生成后，如果想隐藏函数名不需要任何工具，可以直接改二进制内容进行处理；
1、用二进制编辑器打开DLL文件，然后查找“DLL的文件名”。
2、文件名后紧跟着就是各个函数名，以00作为分隔符
3、文件名前面就是函数的具体信息，包括入口地址、函数顺序号、函数名地址、函数数量等
4、找到函数的数量修改为0000000即可，如果想要更彻底可以把函数名也全置为零。
附件是我修改后的内核kernel32.dll和一个testdl.dll文件，经测试testdl.dll使用完全没有问题，但是用Dependency查看时，所有函数名变为“N/A”
具体二进制格式基本如下：
00 00 00 00
dll文件名存储地址
01 00 00 00
函数数量（8位）
函数名称的数量（8位）
函数入口地址的存储地址（8位）
函数名称地址的存储地址（8位）
函数序号的存储地址（8位）
函数入口地址列表（8位）
函数名称地址列表（8位）
函数序号列表（4位）
dll文件名称
函数名称列表
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
