-
-
[原创]VC黑防日记（二）：DLL隐藏和逆向（下）
-
发表于: 2020-1-11 18:57
-
【本文主题】：谈谈上次遗留的“干掉吾爱破解OD等工具的模块枚举检测”
【实验平台】：Win7 x64
【开发平台】：Win10 x64 + VS2017
【调试工具】：Ollydbg
【本文作者】：小迪xiaodi，一个非著名技术段子文章菜鸟写手
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
1.判断DLL句柄是否有效，有效就说明该DLL存在于进程中
2. 递减模块的引用计数，且判断是否为0
3. 调用模块的DllMain函数响应 DLL_PROCESS_DETACH消息
4.从进程空间撤销对DLL的内存映射
然后我们通过对第四个步骤的分析，采用HOOK FreeLibrary 函数中的 ZwUnmapViewOfSection函数，实现了擦除DLL痕迹隐藏DLL的功能，但是出现了一丢丢的问题，那就是被某些“强大”的工具检测并枚举了出来，那么为什么会这样呢？今天我们进来分析分析~
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
结语：
把一些新奇的想法用代码去做实验实现还是比较有意思的，技术有些粗陋，重要的是享受过程（其实就是我菜）
文章开头说到“远程调Call”几个字眼，那么下节实验的题目就来了~
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0x01:回顾
1.判断DLL句柄是否有效，有效就说明该DLL存在于进程中
2. 递减模块的引用计数，且判断是否为0
3. 调用模块的DllMain函数响应 DLL_PROCESS_DETACH消息
4.从进程空间撤销对DLL的内存映射
然后我们通过对第四个步骤的分析，采用HOOK FreeLibrary 函数中的 ZwUnmapViewOfSection函数，实现了擦除DLL痕迹隐藏DLL的功能，但是出现了一丢丢的问题，那就是被某些“强大”的工具检测并枚举了出来，那么为什么会这样呢？今天我们进来分析分析~
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
0x02:分析
既然我们上次HOOK ZwUnmapViewOfSection出现了小问题，能不能对 ZwUnmapViewOfSection做一些小手脚呢，暂时我的知识储备还不够，处理不了，但是我选择了其他的绕过方式，在讲这个方式之前，我们先了解一部分逆向的理论知识：
大家都知道，在x86的平台上Windows操作系统为每个进程描述了一个完整的4G的地址空间，这4G空间由低位2G的用户地址空间和高位2G的系统地址空间构成。每个进程的用户地址空间是相互隔离的，不可见的。但是系统地址空间是各个进程间共享的，对于进程有不同的视图。用户的私有的数据代码还有加载的动态链接库（DLL）都存放在用户地址空间中。现在有个问题是，总要有个地方记录着这2G地址空间，到底那些被预留了，那些被提交了，那些被访问了吧。还有个问题就是，对于程序来讲，地址不是连续的，是分段的。代码段、数据段、堆、栈等等。可是进程的空间是连续的，从0x0000000到0x7FFFFFF。总要有个数据结构描述程序的各个段对应那段地址空间。这两个重要任务就交个了VAD，即虚拟地址描述符（Virtual Address Descriptor）。 VAD组织成了一个AVL自平衡二叉树（参考Mark Russinovich的《深入解析Windows操作系统》），这种组织方式完全是方便快速查找。树中的每一个节点代表了一段虚拟地址空间。所以程序的代码段，数据段，堆段都会各种占用一个或多个VAD节点，由一个MMVAD结构完整描述。 内核空间并不受VAD的管理。 https://baike.baidu.com/item/%E8%99%9A%E6%8B%9F%E5%9C%B0%E5%9D%80%E6%8F%8F%E8%BF%B0%E7%AC%A6/295257?fr=aladdin
大家都知道，在x86的平台上Windows操作系统为每个进程描述了一个完整的4G的地址空间，这4G空间由低位2G的用户地址空间和高位2G的系统地址空间构成。每个进程的用户地址空间是相互隔离的，不可见的。但是系统地址空间是各个进程间共享的，对于进程有不同的视图。用户的私有的数据代码还有加载的动态链接库（DLL）都存放在用户地址空间中。现在有个问题是，总要有个地方记录着这2G地址空间，到底那些被预留了，那些被提交了，那些被访问了吧。还有个问题就是，对于程序来讲，地址不是连续的，是分段的。代码段、数据段、堆、栈等等。可是进程的空间是连续的，从0x0000000到0x7FFFFFF。总要有个数据结构描述程序的各个段对应那段地址空间。这两个重要任务就交个了VAD，即虚拟地址描述符（Virtual Address Descriptor）。 VAD组织成了一个AVL自平衡二叉树（参考Mark Russinovich的《深入解析Windows操作系统》），这种组织方式完全是方便快速查找。树中的每一个节点代表了一段虚拟地址空间。所以程序的代码段，数据段，堆段都会各种占用一个或多个VAD节点，由一个MMVAD结构完整描述。 内核空间并不受VAD的管理。 https://baike.baidu.com/item/%E8%99%9A%E6%8B%9F%E5%9C%B0%E5%9D%80%E6%8F%8F%E8%BF%B0%E7%AC%A6/295257?fr=aladdin
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
小迪xiaodi，一个名不见经传的歪瓜作者
|
|
|
|
|
|
//保存数组
BYTE code[] = { 0 };
DWORD lp_copy = (DWORD)lpaddress;
DWORD lp_start = addr_start;
for (int i = 0; i < dwSizeOfImage; i++, lp_start++, lp_copy++) {
ReadProcessMemory(hProcess, (LPCVOID)lp_start, code, 1, NULL);
WriteProcessMemory(hProcess, (LPVOID)lp_copy, code, 1, NULL);
}
printf("原地址 = 0x%x 拷贝地址 = 0x%x\n", addr_start, lpaddress);
MessageBox(NULL, "拷贝完成！", "Cap", MB_OK);为什么要这么写呢？直接Write不香吗？ 退一步想，可能是为了转Shellcode方便？亦或是你担心一次性全部Write失败会拷贝不全？ 那问题来了，单字节拷贝为什么不写成这样： for (int i = 0; i < dwSizeOfImage; i++, lp_start++, lp_copy++) {
WriteProcessMemory(hProcess, (LPVOID)lp_copy, (LPCVOID)lp_start, 1, NULL);
}？ Read貌似完全不需要的说。 
最后于 2020-1-12 11:39
被Sprite雪碧编辑
，原因：
|
|
|
这个是之前为了printf每个数据写的，没有删除 |
|
|
|
|
|
Get到了，雪碧大佬 |
|
|
你收费网易云卖CS1.6外挂教程的时候，教你的“徒弟”们错误的代码，我帮你指正以后，直接开喷踢人，现在性格改了不少嗷。 |
|
|
|
|
|
|
|
|
|
|
|
回我们其他人几句也是极好的嘛
|
|
|
您好，喷人这种事情鄙人记不清了，当时出现的什么矛盾已经无从考究，移出群聊是否是您触犯群规了呢？退一步海阔天空，愿您谅解。 |
|
|
是的，最近打算将一些基础性的资料，以日记和分享形式发表帖子，如果我的日记中有错误，感谢勘误 
|
|
|
随你开心，如果纠正你的代码等于触犯群规，那我也不反驳，毕竟那是你的群，规矩也是你定的，踢了很正常。 |
|
|
如果今后仁兄帮助纠正代码，将不胜感激
|
|
|
|
|
|
|
|
|
能给我源码链接么。。。。大佬 |
|
|
还有那个源码解决了这个楼主的问题了么 |
|
|
|
小迪xiaodi
刘铠文
苏啊树
