ps: 以下实验均在 windows xp系统下完成

作用：3环断链通常用于在用户层隐藏dll

获取dll模块的步骤为：获取 TEB -> PEB -> ldr -> dll模块

（1）TEB的获取方法为：fs:[0]

（2）通过TEB结构体发现，PPEB（PEB指针，指向PEB首地址）位于TEB偏移0x30处，因此PPEB == fs:[0x30]

（3）通过PEB结构体发现，ldr位于PEB偏移0xc处，因此 ldr == PPEB + 0xc

（4）通过ldr指向的结构体 _PEB_LDR_DATA 结构体找到3个双向循环链表 _LIST_ENTRY结构体

（5）_LIST_ENTRY结构体有两个成员，指向前驱模块节点的 _LIST_ENTRY、指向后继模块节点的 _LIST_ENTRY

（6）节点指针指向的是 _LIST_ENTRY 结构体，该结构体存储了模块在链表中的位置信息

（7）通过 _LDR_DATA_TABLE_ENTRY 结构体中偏移 0x18的 DllBase 或 0x2c 的 BaseDllName 确定要隐藏的dll，并通过该结构体中的 _LIST_ENTRY结构体删除该节点在链表中的位置信息（双向循环链表删除节点），即可达到3环下的dll隐藏

TEB结构体：3环下的线程环境块结构体

PEB结构体：3环下的进程环境块结构体

_PEB_LDR_DATA结构体：ldr的结构体

_LIST_ENTRY结构体：上述三个链表的结构体

_LDR_DATA_TABLE_ENTRY结构体：存储dll模块的信息

PEB断链源码：

关键代码解释：

作用：0环断链通常用于在内核层隐藏进程

获取进程模块的步骤为：获取 _KPCR -> _KPRCB -> KTHREAD -> _KAPC_STATE -> _KPROCESS -> _EPROCESS

（1）KPCR 的获取方法为：fs:[0]

（2）KPCR 结构体中偏移0x120处有一个成员 _KPRCB 结构体，该结构体中偏移0x4处（即 fs:[0x124]）有一个 CurrentThread 指针，指向 _KTHREAD 结构体

（3）_KTHREAD 结构体偏移0x34处有一个 ApcState 结构体，该结构体偏移0x10处有一个 Process 指针，指向 _KPROCESS

（4）_EPROCESS 结构体的第一个成员是 Pcb，是一个 _KPROCESS 结构体

（5）（3）中的 Process 指针指向的就是 _EPROCESS 中的一个成员 _KPROCESS 结构体，也是 _EPROCESS 结构体的首地址。这一点和PEB断链中，

​ ldr->Flink 与 _LDR_DATA_TABLE_ENTRY 首地址相等是一样的

（6）_EPROCESS 结构体中偏移0x88有一个 _LIST_ENTRY 结构体，该结构体保存了当前进程在进程链表中的位置信息

（7）节点指针指向的是 _LIST_ENTRY 结构体，该结构体存储了模块在链表中的位置信息

（8）通过 _EPROCESS 结构体中偏移0x174的 ImageFileName 确定所属进程， 并通过该结构体中的 _LIST_ENTRY结构体删除该节点在链表中的位置信息（双向循环链表删除节点），即可达到0环下的进程隐藏

KPRC（Kernel Processor Control Region, 内核处理器控制区域）结构体：

_KPRCB 结构体：

_KTHREAD 结构体：

_KAPC_STATE 结构体：

EPROCESS断链源码：

关键代码解释：

（1）更新pCurProcess的说明

（2）获取EPRCESS的两种办法

第1种：通过内核函数 PsGetCurrentProcess。原理已在前面部分解释

第2种：

获取进程模块的步骤为：获取 KPCR -> KTHREAD-> ETHREAD -> EPROCESS

对应的汇编是：

_ETHREAD 结构体：

（1）隐藏模块或进程就是一个断链的过程，将自身节点从双向循环链表中删除就可以达到隐藏的效果

（2）破坏双向循环链表的连续性就可以达到隐藏全部的效果

（3）为什么删除进程的节点后，程序任然可以运行？这是因为CPU调度的基本单位是线程，和进程无关

（4）找到EPROCESS也有多种方法

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)