Dll 模块隐藏技术

Dll模块隐藏技术学习各种外挂制作技术，马上去百度搜索"魔鬼作坊"点击第一个站进入、快速成为做挂达人。

如果你细细读完这篇文章，你会学到一下内容：1.PEB,TEB,LDR_DATA_TABLE_ENTRY等数据结构2.自己覆盖掉自己执行过的一段代码3.调试这个Dll你会发现DLL_PROCESS_ATTACH中的代码在OD首次停下即加载停止时已经执行完了！多么美妙啊！哈哈，OD不会发现你执行了什么4.本例最后附件有个ASM的控制台程序，用SDK编写，你可以学到用汇编写一个基本的控制台程序的格式5.最后那个控制台源码还包含完整的CreateRemoteThread注入进程的写法本文主要讲的是怎样隐藏一个dll模块，这里说的隐藏是指，dll被加载后怎样使它用一般的工具无法检测出来。

为什么要这么做呢？1.远程线程中的应用(1)大家都知道，远程线程注入主要有两种一种是直接copy母体中预注入的代码到目标进程地址空间(WriteProcessMemory)，然后启动注入的代码（CreateRemoteThread），这种远程线程一旦成功实现，那么它只出现在目标进程的内存中，并没有对应的磁盘文件,堪称进程隐藏中的高招，可是缺点就是，你必须要在注入代码中对所有直接寻址的指令进行修正，这可是个力气活，用汇编写起来很烦。

(2)另一种更为常用的方法是注入一个dll文件到目标进程，这种方法的实现可以是以一个消息Hook为由进行注入，或者仍然使用CreateRemoteThread，这种方法的优点是Dll文件自带重定位表，也就是说你不必再为修正直接寻址指令而烦恼了！，dll自己会重定位！~~~嗯，真是不错的方法---可是我们说它不如上面说的方法牛。

为什么？因为它的致命伤就是可以用进程管理工具看见被加载的dll文件名、文件路径。

这真是太不爽了,因为只要用户看看模块列表很容易发现可疑模块！，再依据名字，找到路径，定位文件---dll文件就这样暴露了.这样也就不是很完美的隐藏进程。

[现在不用怕啦~~本文将介绍的方法就是为了上述不足而存在地~~~，让一般的工具看不到已加载的某个dll]2.自身文件的需要这个说起来比较简单，比如我的一个程序运行了，我不想让用户知道我的EXE使用了某个dll，那么同样的也需要这种隐身技术.3.技术实现(1).说完了这么多，该说说，到底应该怎么实现了.熟悉SEH的肯定对PEB这个结构并不陌生--PEB（Process Environment Block）进程环境信息块，这里储存着进程的重要信息主要原理就是这个结构，和它的成员相关结构首先我们回顾一下如何找到这个结构,常见的代码是这个:mov eax,fs:[30h];就这一句足矣，执行后eax-->PEB(eax指向PEB结构,即eax中是PEB结构在进程空间中的地址)熟悉TEB和SEH中反调试知识的童鞋一定对上面这个很熟悉了~~不多说了--(不懂得童鞋去学习一下SEH的相关知识你就会认清fs了)下面看一下PEB结构的定义：;=================================================================PEB STRUCT;sizeof=1E8hInheritedAddressSpace BYTE?;0000hReadImageFileExecOptions BYTE?;0001hBeingDebugged BYTE?;0002hSpareBool BYTE?;0003hMutant PVOID?;0004hImageBaseAddress PVOID?;0008hLdr PVOID?;000Ch PTR PEB_LDR_DATAProcessParameters PVOID?;0010h PTR RTL_USER_PROCESS_PARAMETERS SubSystemData PVOID?;0014h~~~~~~~~~~~~~~~~~~~~~~~;PEB结构以下部分省略PEB ENDS;==================================================================由于PEB结构太庞大了，因此本文指截取了开头的一部分，因为我们主要使用的是它的Ldr 成员，看见了吗？对！，就是它在结构偏移0Ch处后面已经指出了Ldr成员是一个指向PEB_LDR_DATA结构的指针，下面我们就得看看这个结构了:;================================================================== PEB_LDR_DATA STRUCT;sizeof=24h_Length DWORD?;original name LengthInitialized BYTE?;04hdb3dup(?);paddingSsHandle PVOID?;08hInLoadOrderModuleList LIST_ENTRY<>;0ChInMemoryOrderModuleList LIST_ENTRY<>;14hInInitializationOrderModuleList LIST_ENTRY<>;1ChPEB_LDR_DATA ENDS;==================================================================啊哈~~~这里我们看到了想要的东西,Module这个单词被我们发现了，ModuleList就是模块列表嘛~~~InLoadOrderModuleList就是按照模块加载顺序描述模块信息的，InMemoryOrderModuleList 是按照内存中存储顺序描述，InInitializationOrderModuleList是按照初始化dll模块的顺序描述的（你可以利用它们之一获得kernel32.dll的基址这是许多无导入表程序的必做之事）为了弄清Module信息究竟是怎么储存的，我们又必须知道LIST_ENTRY结构的定义一个LIST_ENTRY结构描述了一个双链表;======================================LIST_ENTRY STRUCTFlink pLIST_ENTRYBlink pLIST_ENTRYLIST_ENTRY ENDSpLIST_ENTRY typedef PTR LIST_ENTRY;pLIST_ENTRY表示指向LIST_ENTRY结构的指针;=====================================50692根据图片我们可以看出LIST_ENTRY的用法，它嵌入在一个结构类型内，Flink指向下一个这种结构类型内的LIST_ENTRY这样由表头，就可以找到所有的data struct结构了！啊哈~~MSDN又说InMemoryOrderModuleList指向一个LDR_DATA_TABLE_ENTRY结构，也就是说，我们的图片的data struct1,2,3就是指LDR_DATA_TABLE_ENTRY结构，再看看它的定义：（虽然结构有点绕，别晕啊~~快胜利了);===========================================================LDR_DATA_TABLE_ENTRY STRUCTInLoadOrderLinks LIST_ENTRY;0hInMemoryOrderLinks;LIST_ENTRY;8hInInitializationOrderLinks;LIST_ENTRY;10hDllBase;dword;18h;DllBase模块基址EntryPoint;dword;1Ch;模块入口点SizeOfImage;dword;20h;模块的内存映像大小FullDllName;UNICODE_STRING;24hBaseDllName;UNICODE_STRING;2ChFlags;dword;34h~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~;LDR_DATA_TABLE_ENTRY结构以下部分省略LDR_DATA_TABLE_ENTRY ENDS;===========================================================怎么样？看成员名字就知道~~~~，模块信息就在此处！可以肯定一个LDR_DATA_TABLE_ENTRY描述一个模块的信息，依靠LIST_ENTRY与下一个或前一个LDR_DATA_TABLE_ENTRY想连.它的前三个成员都是LIST_ENTRY类型！，再看看上面图片,你应该明白了吧，PEB_LDR_DATA中的三个LIST_ENTRY的后继依次就是这三个这里我们主要使用InLoadOrderModuleList这个成员来遍历模块，原因是InLoadOrderModuleList对应的嵌入在LDR_DATA_TABLE_ENTRY结构中的InLoadOrderLinks位于结构首部，用它寻址会方便、清楚一些（当然你用其它两个,InMemoryOrderModuleList和InInitializationOrderModuleList也可以啊)看这个汇编代码,我们要定位于首个LDR_DATA_TABLE_ENTRY:mov eax,fs:[30h];eax-->PEBmov eax,[eax+0Ch];eax==PEB.Ldr-->PEB_LDR_DATAmov eax,[eax+0Ch];eax==PEB_LDR_DATA.InLoadOrderModuleList.Flink--> LDR_DATA_TABLE_ENTRYOK,执行后eax中就是第一个LDR_DATA_TABLE_ENTRY结构的地址啦！！！3个mov指令，但是用到了好多结构啊~~~对于我们的遍历方式，第一个LDR_DATA_TABLE_ENTRY描述的应该是dll所属的EXE 的信息，包括入口点,基址,文件名什么的~~~到这里我们还差一小步那就是UNICODE_STRING结构;============================================================= UNICODE_STRING STRUCT;sizeof==08hLength word;0hMaximumLength word;02hBuffer dword;04hUNICODE_STRING STRUCT ENDS;=============================================================Length指明由Buffer字段指向的UNICODE串的长度，不包括结尾的0000比如"C:\A"这个UNICODE串那么Length就是4*2==8Buffer指向Unicode字串的指针！太好了终于大功告成，解决复杂的结构了--现在假设我们要获得某个模块的全路径：mov eax,fs:[30h];eax-->PEBmov eax,[eax+0Ch];eax==PEB.Ldr-->PEB_LDR_DATAmov eax,[eax+0Ch];eax==PEB_LDR_DATA.InLoadOrderModuleList.Flink-->LDR_DATA_TABLE_ENTRYmov eax,[eax+24h+4h];eax==LDR_DATA_TABLE_ENTRY.FullDllName.Buffer-->模块路径unicode串执行过后,eax中存储的就是我们遍历的首个模块的模块全路径字串的地址也就是模块字串名称的指针.要访问下一个LDR_DATA_TABLE_ENTRY，在上几句代码的基础上只需这样：mov eax,[eax];因为eax本身就是指向LIST_ENTRY结构地~~~，这样mov指令使得;当前LIST_ENTRY的Flink传送到eax,eax自然就指向下一个LDR_DATA_TABLE_ENTRY 结构了~~~(2).好了说说我们的dll隐身技术，我们就是要将这里的LDR_DATA_TABLE_ENTRY.FullDllName指向的字符串清除！因为快照函数或其它的函数，一般都会在底层访问这个结构，在这里查询模块的信息，我们把它给清除了，看它还能查到了吗？下面我们假设我们已经使用CreateRemoteThread创建一个远程线程，远程线程入口就是LoadLibraryA函数，传入参数就是我们的欲注入的dll文件名，现在我们看看这个dll文件的核心代码，看它如何清除自己的FullDllName串实现隐藏：;::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::DllEntry proc_hInstance,_dwReason,_dwReservedpushadmov eax,_dwReason.if eax==DLL_PROCESS_ATTACH;Dll初始化时执行！push_hInstancepop hInstDll;hInstDll保存本dll加载基址;------------------------------------------;定位eax指向首个LDR_DATA_TABLE_ENTRY结构;------------------------------------------assume fs:nothingmov eax,fs:[30h];eax-->PEBmov eax,[eax+0Ch];eax==Ldr-->PEB_LDR_DATAmov eax,[eax+0Ch];LoadOrderList.Flink-->LDR_DATA_TABLE_ENTRY;-----------------------------------------------------------;通过循环遍历LDR_DATA_TABLE_ENTRY结构,比较DllBase与hInstDll;找到描述本dll模块的LDR_DATA_TABLE_ENTRY结构;-----------------------------------------------------------@@:mov ebx,[eax+18h];[eax+18h]为当前处理的模块的基址cmp ebx,hInstDll;找到本模块的LDR_DATA_TABLE_ENTRYjne_Nomov ebx,[eax+24h+4]movzx ecx,word ptr[eax+24h];Unicode String length获得子串长度mov edi,ebx;Unicode String Addresscldrep stosb;用Al的值填充mov dword ptr[ebx],0;(确保String首4个byte为0)jmp@F_No:mov eax,[eax];链表遍历jmp@B@@:.elseif---------;::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::在Dll初始化时，响应DLL_PROCESS_ATTACH,在这其中清除我们的“自己的名字”，来个神不知鬼不觉！，哈哈～～这同时也说明，初始化时，Windows已经把各结构都填写好了.做到这里我们已经能实现这样的功能，即一般的进程查看工具看不到我们注入的dll了！因为我们把它要查的信息清除了！说到这可能有大牛说，我暴力搜索内存,匹配MZ--PE,看你往哪跑？的却我是跑不了~~如果你这样做的话，首先你得知道我注入的是哪个进程，其次，你得有耐心暴力搜索，然后---真的被您搜到了---此时我的dll的代码便可以被人家随便分析啦~~一看哈哈，原来就是清除了某某结构的内容啊---哼！我在你的导出表里找到你的dll名字！，然后找到你的磁盘文件，那你就任我鱼肉吧！哈哈哈哈~~~~~好可怕啊~~~，是啊，用OD看看，然后静态反汇编一下，我们的代码就露馅了--唉--等等！！要不然我们来个Self Modify将dll中的这段代码也给它清除掉，对！还有EXPORT的那个dll名，一起除掉，给它来个毁尸灭迹O(∩_∩)O哈哈~说干就干，看下面代码: ;::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::DllEntry proc_hInstance,_dwReason,_dwReservedpushadmov eax,_dwReason.if eax==DLL_PROCESS_ATTACHpush_hInstancepop hInstDll_BEGIN:call@F@@:pop eax;eax返回@@标号处的线性地址sub eax,5;执行后eax等于_BEGIN处的线性地址push eaxmov ebx,offset_END-offset_BEGINinvoke VirtualProtect,eax,ebx,PAGE_EXECUTE_READWRITE,addr flOldProtect;flOldProtect 万万不可少;------------------------------------------;清除PEB结构中,(UNICODE STRING)FullDllName;------------------------------------------assume fs:nothingmov eax,fs:[30h];eax-->PEBmov eax,[eax+0Ch];eax==Ldr-->PEB_LDR_DATAmov eax,[eax+0Ch];LoadOrderList.Flink-->LDR_DATA_TABLE_ENTRY@@:mov ebx,[eax+18h]cmp ebx,hInstDll;找到本模块的LDR_DATA_TABLE_ENTRYjne_Nomov ebx,[eax+24h+4]movzx ecx,word ptr[eax+24h];Unicode String lengthmov edi,ebx;Unicode String Addresscldrep stosbmov dword ptr[ebx],0;(确保String首4个byte为0)jmp@F_No:mov eax,[eax]jmp@B@@:;---------------------------------;清除Dll映像中导出表中的Dll文件名;---------------------------------mov esi,hInstDlladd esi,[esi+03Ch]assume esi:ptr IMAGE_NT_HEADERSmov edi,[esi].OptionalHeader.DataDirectory[0].VirtualAddress add edi,hInstDllassume edi:ptr IMAGE_EXPORT_DIRECTORYmov edi,[edi].nNameadd edi,hInstDll;edi-->DllName(Export)mov[esp-4*4],edixor eax,eaxmov ecx,-1cldrepnz scasb;[edi]!=0-->>continuesub edi,[esp-4*4];edi==length+1mov[esp-4*3],edimov dword ptr[esp-4*2],PAGE_EXECUTE_READWRITE lea eax,flOldProtectmov[esp-4*1],eaxsub esp,4*4call VirtualProtect;调用VirtualProtect更改页属性xor eax,eaxxchg ecx,edi;edi==length+1xchg edi,[esp-4*4];[esp-4*4]-->DllNamecldrep stosb;-------------------------------------;将_BEGIN与_END之间内容填充为int3;-------------------------------------pop edimov eax,0CChmov ecx,offset_END-offset_BEGINcldrep stosb_END:;--------------------------------------------;创建自定义线程,you can do anything you want;--------------------------------------------invoke CreateThread,0,0,addr_ThreadProc,0,0,0.elseif eax==DLL_PROCESS_DETACHNOP.endifpopadmov eax,TRUEretDllEntry Endp ;::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::::这最后一部分就是Dll的完全的核心代码啦~~~调用VirtualProtectl两次，第一次用于更改_BEGIN与_END标号处的属性，以便毁尸灭迹填充int3.第二次用于更改导出表dll文件名的地方的属性，以便将其清零.最后程序可以创建个自定义线程，在这个线程里you can do anything you like;/////////////////////////////////////////////////////////////////////////////////////////////至此，我们的工程完成啦~~~，即使搜索内存字符串也是搜不到的--因为所有的相关串都被我们毁了##我测试环境是Win7，ProcessExplorer和360自带的进程管理器都查不出来已加载的Dll模块.####冰刃的话说是不支持win7因此未测试，不知结果不敢妄言##好了说说我们的附件：你可以看到本文使用的是MASM32的语法附件中有完整的dll文件的源代码，还有编译好的dll文件。