能力值：
( LV3，RANK：20 )
|
-
-
51 楼
隐藏DLL的还有一个方法就是把Dll真正卸载掉，需要准备几个步骤：
1、动态修改Dll入口代码，直接return 1
2、保证IAT所引用的DLL在本DLL卸载后依然存在
3、保证栈可执行
接下来只要VirtualAlloc一段与本DLL的Image大小相同的内存，将本DLL复制过去，然后在栈上面构造一段将内容复制回来的代码，push这段代码的入口，然后JMP到FreeLibrary执行，这样在DLL卸载后就会跳到栈上面执行，栈上面将会把DLL的内容复制回来。这样在DLL卸载后，DLL的代码大部分依然可以正常工作，可能取资源的代码会受到影响而不能正常工作。
示例如下，运行方式rundll32.exe DllLoader.dll, ProcMain
|
能力值：
( LV5，RANK：60 )
|
-
-
52 楼
先占座，再慢慢欣赏
|
能力值：
( LV2，RANK：10 )
|
-
-
53 楼
收藏了，好好研究研究。 
|
能力值：
( LV2，RANK：10 )
|
-
-
54 楼
直接败给GetModuleHandle.
|
能力值：
( LV9，RANK：610 )
|
-
-
55 楼
哈哈，没关系，GetModuleHandle得知道名字才行呢。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
56 楼
感谢各位大牛 拜读了
|
能力值：
( LV9，RANK：165 )
|
-
-
57 楼
单纯从ring0隐藏角度，断了四个链，修改了VAD，就差抹PE头了，因为Attach到进程空间
没法修改，会蓝屏，地址有效，结果xuetr可以检测到基地址和大小，看不到模块名，我已经把基地址和大小改成0了。。。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
58 楼
好东东， 学习！。。。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
59 楼
强大~~~~
|
能力值：
( LV5，RANK：60 )
|
-
-
60 楼
 标记大牛猛贴。
|
能力值：
( LV2，RANK：10 )
|
-
-
61 楼
我顶我顶我顶顶顶！
|
能力值：
( LV2，RANK：10 )
|
-
-
62 楼
各位大牛：打扰下， 你们这个是驱动代码吧 我试了在DLL中直接 调用上述代码 始终会出错
因为 在R3 有个指针的地址是 [1248] pstEntry=0xC0000000 可能是因为不能访问这个地址出的错吧
意思就是不能在R3断链了哦
|
能力值：
( LV2，RANK：10 )
|
-
-
63 楼
新手 看不懂 基础差 盼望高手们指教学习方向 该看哪些基础课程 最好能互加好友
|
能力值：
( LV2，RANK：10 )
|
-
-
64 楼
经典文章，楼主辛苦
|
能力值：
( LV2，RANK：10 )
|
-
-
65 楼
相当有用的内容
|
能力值：
( LV5，RANK：70 )
|
-
-
66 楼
高手过招，看得我是眼花缭乱，佩服中。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
67 楼
不错 学习了
|
能力值：
( LV2，RANK：10 )
|
-
-
68 楼
收藏了..好帖子...
|
能力值：
( LV2，RANK：10 )
|
-
-
69 楼
直接从内存中加载DLL,自己做重定位,也行的.
|
能力值：
( LV2，RANK：10 )
|
-
-
70 楼
mark
|
能力值：
( LV2，RANK：10 )
|
-
-
71 楼
很不错的帖子
|
能力值：
( LV2，RANK：10 )
|
-
-
72 楼
mark，正看到了这个技术。
|
能力值：
( LV2，RANK：10 )
|
-
-
73 楼
留名，存帖
|
能力值：
( LV2，RANK：10 )
|
-
-
74 楼
顶
|
能力值：
( LV5，RANK：60 )
|
-
-
75 楼
2008年的老贴了！不过还有个尾没有收完！只分析了EumProcessModules中读取到了：stProcessBasicInfo.PebBaseAddress->LDR，但凭什么说是枚举的是InMemoryOrderModuleList？
这里给你补上：
.text:76BC1F4E mov eax, [ebp-24h] ;stProcessBasicInfo.PebBaseAddress->LDR
.text:76BC1F51 add eax, 14h ;&stProcessBasicInfo.PebBaseAddress->LDR->InMemoryOrderModuleList
.text:76BC1F54 mov [ebp-28h], eax
.text:76BC1F57 push ebx ；NULL
.text:76BC1F58 push 4 ;Length
.text:76BC1F5A lea ecx, [ebp-20h]
.text:76BC1F5D push ecx ;Buffer
.text:76BC1F5E push eax ;&stProcessBasicInfo.PebBaseAddress->LDR->InMemoryOrderModuleList
.text:76BC1F5F push dword ptr [ebp+8] ;hProcess
.text:76BC1F62 call esi ; ReadProcessMemory
最后于 2020-10-28 21:04
被低调putchar编辑
，原因：
|
|
|
|
