#include <windows.h>
#include <Tlhelp32.h>
BOOL BreakLink(DWORD dwBaseAddr); //断链函数
int GetCount(); //测试函数,通过Module32First和Module32Next来检索当前进程中的模块数

//定义LDR_MODULE结构体
typedef struct _LSA_UNICODE_STRING {
	USHORT Length;
	USHORT MaximumLength;
	PWSTR  Buffer;
} LSA_UNICODE_STRING, *PLSA_UNICODE_STRING, UNICODE_STRING, *PUNICODE_STRING;

typedef struct _LDR_MODULE
{
	LIST_ENTRY InLoadOrderModuleList;
	LIST_ENTRY InMemoryOrderModuleList;
	LIST_ENTRY InInitializationOrderModuleList;
	PVOID BaseAddress;
	PVOID EntryPoint;
	ULONG SizeOfImage;
	UNICODE_STRING FullDllName;
	UNICODE_STRING BaseDllName;
	ULONG Flags;
	USHORT LoadCount;
	USHORT TlsIndex;
	LIST_ENTRY HashTableEntry;
	ULONG TimeDateStamp;
} LDR_MODULE, *PLDR_MODULE;

int main()
{
	HMODULE hModule = LoadLibraryA("first.dll"); //加载一个dll,自己随便写一个dll,放在这个工程的工作目录就会
	printf("count:%d\n", GetCount()); //第一次获取模块数

//抹去PE头代码
//去掉PE头部分的内存保护属性
	DWORD dwOldProtect;
	VirtualProtect((LPVOID)hModule, 1024, PAGE_READWRITE, &dwOldProtect);
	PIMAGE_DOS_HEADER pDosHeader = (PIMAGE_DOS_HEADER)hModule;

	//抹去MZ标志
	pDosHeader->e_magic = 0;

	//DOS头后面就是PE头
	PIMAGE_NT_HEADERS pNtHeader = (PIMAGE_NT_HEADERS)((DWORD)pDosHeader + pDosHeader->e_lfanew);

	//抹去PE标志
	pNtHeader->Signature = 0;
//恢复内存保护
	VirtualProtect((LPVOID)hModule, 1024, dwOldProtect, &dwOldProtect);
//进行断链
	BreakLink((DWORD)hModule);
//断链之后再测试模块数,会发现少了一个
	printf("count:%d\n", GetCount());
	MessageBoxA(NULL, "Test", "Test", MB_OK);
	return 0;
}

int GetCount()
{
	HANDLE snap = CreateToolhelp32Snapshot(TH32CS_SNAPALL, 0);
	MODULEENTRY32 buffer;
	int count = 0;

	if (Module32First(snap, &buffer))
		count++;
	else
		return GetLastError();

	while (Module32Next(snap, &buffer))
		count++;
	return count;
}

BOOL BreakLink(DWORD dwBaseAddr)
{
//当前节点
	PLDR_MODULE nowNode = NULL;
//上一个节点
	PLDR_MODULE lastNode = NULL;
//下一个节点
	PLDR_MODULE nextNode = NULL;
	BOOL beSuccess = FALSE;
//找到主模块的LDR_MODULE
	__asm {
		pushad
		pushfd
		xor edx, edx
		mov ebx, fs:[0x30]   //找到PEB表
		mov ecx, [ebx + 0xC] //找到PEB_LDR_DATA地址
		mov edx, [ecx + 0xC] //找到LDR_MODULE链首节点地址
		mov nowNode, edx
		popfd
		popad
	}

	do
	{
//LDR_MODULE有个属性表示的是当前模块在内存中的基址
		if ((DWORD)nowNode->BaseAddress == dwBaseAddr) //根据模块的基址来找对应的模块
		{
			beSuccess = TRUE;
			break;
		}

		lastNode = nowNode;
		nowNode = (PLDR_MODULE)nowNode->InLoadOrderModuleList.Flink;

	} while (lastNode != nowNode);

	if (!beSuccess)
	{
		printf("cannot find the dest module!\n");
		return beSuccess;
	}

	//断开InLoadOrderModuleList链
	//重建链表
	nextNode = (PLDR_MODULE)nowNode->InLoadOrderModuleList.Flink;
	lastNode->InLoadOrderModuleList.Flink = (PLIST_ENTRY)nextNode;
	nextNode->InLoadOrderModuleList.Blink = (PLIST_ENTRY)lastNode;

	//断开InMemoryOrderModuleList链
	//重建链表
	nextNode = (PLDR_MODULE)(nowNode->InMemoryOrderModuleList.Flink - sizeof(LIST_ENTRY));
	lastNode->InMemoryOrderModuleList.Flink = nowNode->InMemoryOrderModuleList.Flink;
	nextNode->InMemoryOrderModuleList.Blink = nowNode->InMemoryOrderModuleList.Blink;

	//printf("%x\n",nowNode);
	//断开InitializationOrderModuleList链
	//重建链表
	nextNode = (PLDR_MODULE)(nowNode->InInitializationOrderModuleList.Flink - 2 * sizeof(LIST_ENTRY));
	lastNode->InInitializationOrderModuleList.Flink = nowNode->InMemoryOrderModuleList.Flink;
	nextNode->InInitializationOrderModuleList.Blink = nowNode->InMemoryOrderModuleList.Blink;


	return beSuccess;
}