进程中dll模块的隐藏

进程中dll模块的隐藏

为了避免自己的某个dll模块被别人检测出来，有时候希望在自己加载一个dll之后，或者将dll注入到他人进程之后避免被检查出来。这就需要想办法抹掉这个dll的模块信息，使得Toolhelp、psapi等枚举模块的API无法枚举它。

我们可以先简单看看Windows枚举进程内模块的办法吧：

首先是BOOL EnumProcessModules( HANDLE hProcess, HMODULE* lphModule, DWORD cb, LPDWORD lpcbNeeded);

EnumProcessModules实际调用EnumProcessModulesInternal进行枚举。下面是vista下psapi的代码片断：

.text:514024B8 push ebx

.text:514024B9 push 18h

.text:514024BB lea eax, [ebp+stProcessBasicInfo]

.text:514024BE push eax

.text:514024BF push ebx ;ebx=0

.text:514024C0 push [ebp+hProcess]

.text:514024C3 call ds:__imp__NtQueryInformationProcess@20 ; NtQueryInformationProcess(x,x,x,x,x)

.text:514024C9 cmp eax, ebx

.text:514024CB jge short loc_514024E0

调用NtQueryInformationProcess获得ProcessBasicInformation，在

PROCESS_BASIC_INFORMATION结构中取得PEB地址。然后读取指定进程PEB中的数据

text:514024E0 loc_514024E0: ; CODE XREF:

EnumProcessModulesInternal(x,x,x,x,x)+24j

.text:514024E0 mov eax, [ebp+stProcessBasicInfo.PebBaseAddress]

.text:514024E3 cmp eax, ebx

.text:514024E5 jnz short loc_514024EE

.text:514024E7 push 8000000Dh

.text:514024EC jmp short loc_514024CE

.text:514024EE ; —————————————————————————

.text:514024EE

.text:514024EE loc_514024EE: ; CODE XREF:

EnumProcessModulesInternal(x,x,x,x,x)+3Ej

.text:514024EE push ebx ; lpNumberOfBytesRead

.text:514024EF push 4 ; nSize

.text:514024F1 lea ecx, [ebp+Ldr]

.text:514024F4 push ecx ; lpBuffer

.text:514024F5 add eax, 0Ch

.text:514024F8 push eax ; lpBaseAddress

.text:514024F9 push [ebp+hProcess] ; hProcess

.text:514024FC mov edi, ds:__imp__ReadProcessMemory@20 ; ReadProcessMemory(x,x,x,x,x)

.text:51402502 call edi ; ReadProcessMemory(x,x,x,x,x) ; ReadProcessMemory(x,x,x,x,x)

这里读取的是PEB地址+0C处的四个字节。

通过WinDbg我们可以看看nt!_PEB的结构

0: kd> dt nt!_PEB

+0×000 InheritedAddressSpace : UChar

+0×001 ReadImageFileExecOptions : UChar

+0×002 BeingDebugged : UChar

+0×003 SpareBool : UChar

+0×004 Mutant : Ptr32 Void

+0×008 ImageBaseAddress : Ptr32 Void

+0×00c Ldr : Ptr32 _PEB_LDR_DATA

+0×010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS

……

+0C处是一个_PEB_LDR_DATA结构指针，里面包含了和LDR相关的一些数据，进程的模块链表就保存在Ldr中。下面是_PEB_LDR_DATA的结构：

0: kd> dt nt!_PEB_LDR_DATA

+0×000 Length : Uint4B

+0×004 Initialized : UChar

+0×008 SsHandle : Ptr32 Void

+0×00c InLoadOrderModuleList : _LIST_ENTRY

+0×014 InMemoryOrderModuleList : _LIST_ENTRY

+0×01c InInitializationOrderModuleList : _LIST_ENTRY

+0×024 EntryInProgress : Ptr32 Void

其中，InLoadOrderModuleList、InMemoryOrderModuleList、InInitializationOrderModuleList 就是进程当前已加载模块的链表，只是按照不同的方式排序。EnumProcessModules是通过InMemoryOrderModuleList链表枚举的，而根据Win2k代码，ToolHelp32函数是通过