-
-
[原创]修改已加载DLL的模块名和路径
-
发表于: 2008-7-31 16:48
-
标 题: 【原创】修改已加载DLL的模块名和路径
作 者: achillis
时 间: 2008-07-31,16:50
链 接: http://bbs.pediy.com/showthread.php?t=69730
简单说就是修改PEB中的内容，从修改PEB中的进程路径想到的，纯属小玩意儿，大牛牛飘过～
首先说说从PEB中获取已加载的模块信息，这个不清楚的可以参考下面这篇文章：
http://bbs.pediy.com/showthread.php?t=59932
里面讲得很清楚了，实在好文，我不再多说哈
在获取到每一个模块的信息时，需要用到以下结构：
typedef struct _LDR_MODULE
{
LIST_ENTRY InLoadOrderModuleList;
LIST_ENTRY InMemoryOrderModuleList;
LIST_ENTRY InInitializationOrderModuleList;
void* BaseAddress;
void* EntryPoint;
ULONG SizeOfImage;
UNICODE_STRING FullDllName; //全路径
UNICODE_STRING BaseDllName; //模块名称
ULONG Flags;
SHORT LoadCount;
SHORT TlsIndex;
HANDLE SectionHandle;
ULONG CheckSum;
ULONG TimeDateStamp;
} LDR_MODULE, *PLDR_MODULE
加红的两项就是我们要修改的内容了．用代码说话：
#include <windows.h>
#include <stdio.h>
typedef struct _UNICODE_STRING
{
USHORT Length;
USHORT MaximumLength;
PWSTR Buffer;
} UNICODE_STRING, *PUNICODE_STRING;
typedef struct _PEB_LDR_DATA
{
ULONG Length;
BOOLEAN Initialized;
PVOID SsHandle;
LIST_ENTRY InLoadOrderModuleList;
LIST_ENTRY InMemoryOrderModuleList;
LIST_ENTRY InInitializationOrderModuleList;
} PEB_LDR_DATA,*PPEB_LDR_DATA;
typedef struct _LDR_MODULE
{
LIST_ENTRY InLoadOrderModuleList;
LIST_ENTRY InMemoryOrderModuleList;
LIST_ENTRY InInitializationOrderModuleList;
void* BaseAddress;
void* EntryPoint;
ULONG SizeOfImage;
UNICODE_STRING FullDllName;
UNICODE_STRING BaseDllName;
ULONG Flags;
SHORT LoadCount;
SHORT TlsIndex;
HANDLE SectionHandle;
ULONG CheckSum;
ULONG TimeDateStamp;
} LDR_MODULE, *PLDR_MODULE;
int main(int argc, char* argv[])
{
PEB_LDR_DATA *pPEBLDR;
LDR_MODULE *pLdrMod;
LIST_ENTRY *pListEntry,*pStart;
DWORD dwKernelBase;
PWSTR fakemodulename=L"假名字啊";
PWSTR fakemodulepath=L"这是假路径，看能骗到谁";
_asm
{
mov eax,fs:[0x30] //TEB->PEB
mov eax,[eax+0xC] //PEB->Ldr
mov pPEBLDR,eax
}
printf("准备改名字了...\n");
dwKernelBase=(DWORD)GetModuleHandle("kernel32.dll");
printf("Base of kernel32.dll is 0x%08x\n",dwKernelBase);
pStart=pListEntry=(LIST_ENTRY*)(PUCHAR)&(pPEBLDR->InLoadOrderModuleList);
do
{
pListEntry=pListEntry->Flink;
pLdrMod=(LDR_MODULE*)(pListEntry);
if ((DWORD)pLdrMod->BaseAddress==dwKernelBase)
{
printf("Found kernel32.dll...");
lstrcpyW(pLdrMod->BaseDllName.Buffer,fakemodulename);
lstrcpyW(pLdrMod->FullDllName.Buffer,fakemodulepath);
printf("Change OK.\n");
break;
}
} while(pListEntry!=pStart);
printf("现在你可以用工具来看看本进程的模块列表\n");
while (1)
{
Sleep(1000);
}
return 0;
}
不喜欢结构的可以自己用偏移代替～～
附效果图,修改了user32.dll的，(用RKU查看的)：
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
不错不错
|
|
|
|
|
|
|
|
|
|
|
|
不错不错
|
|
|
谢谢分享，喜欢这样有摸索精神的小朋友
|
|
|
|
|
|
 我已经做到这一点了额~~~答案是VAD。呵呵我弄出了XP的~Sysnap大牛弄出了2K3的。 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
KeAttachProcess以后，
__asm{ mov eax,fs:[0x124] //ETHREAD mov eax, [eax+44] //EPROCESS mov eax, [eax+0x1B0]//peb mov peb, eax } 我随便写得，你试一下，我当初也是想KeAttachProcess/KeStackAttackProcess切换到指定进程，然后挂了。。这种方法连PEB都读不出 不用这种方法，直接PsLookupProces**yProcessId得到EPROCESS，然后找PEB， 这种方法可以读出PEB，但是在想读ldr就挂了，不解中。。。。。。 郁闷，等待高手解惑ing......  http://hi.baidu.com/hljleo/blog/item/838cce082a2b2436e92488d9.html 去看看这篇文章和评论。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
