-
-
[原创]远程注入之dll模块深度隐藏
-
发表于: 2018-6-21 16:44
-
还有一种方法就是通过写入ShellCode进入对目标空间,然后在用CreateRemoteThread启动,但是写ShellCode很麻烦,每一个API函数的地址都需要自己获取,而且不能像直接写高级语言一样写ShellCode.
那么有没有一种方法,既可以让对方看不到自己的模块,也不需要自己定位API那,就像平常时写高级语言一样简单那.
答案肯定是有的,请看图:
注入部分的代码:
没注入前:
注入之后
可以看到并没有看到注入的模块.
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
可以的 |
|
|
这个也是一样的，代码都不用修改 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我怎么测试直接崩溃啊，能有个例子吗。 |
|
|
你调用SetWindowHook是在哪里调用.应该在新申请的空间里面调用,因为一开始加载进去的模块已经卸载了. |
|
|
SetWindowsHookEx全局HOOK不建议隐藏dll |
|
|
|
|
|
确实,但可执行属性并不代表就是代码,但是为了防止一部分内存特征扫描可以进一步抹去PE头,导出表,导入表,重定位表,TLS表,和敏感字段. |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
还原Hook,释放内存就卸载了.但是不能直接在模块里调用VirtualFree(这样做的后果很可能就是直接崩溃),应该在栈里面构造一段代码来执行VirtualFree.或者在不属于释放模块的内存空间.如果要在模块里调用VirutalFree,应该在堆栈构造参数,堆栈内容为:[返回EIP,VirtualFree的参数],然后jmp VirtualFree.返回EIP就是主程序进入模块前下一条指令的地址. |
wonderzdh
