R3抹掉加载的DLL

最新推荐文章于 2025-03-18 10:20:56 发布
原创 最新推荐文章于 2025-03-18 10:20:56 发布 · 3.9k 阅读 · 8 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#R3抹掉加载的DLL #宋孖健 #13

本文介绍了如何使用R3抹除加载的DLL来实现隐藏目的，通过遍历PEB_LDR_DATA的InInitializationOrderModuleList链表，移除目标DLL。这种方法在结合HiJack时能产生显著效果。作者提供了简化版的代码示例，并分享了测试过程。

R3抹掉加载的DLL

    原理类似于获取Kernel32.dll加载地址，知道这个东西也是在看获取Kernel32.dll地址的时候在网上搜索学习资料，无意中看到的这个东西。这个挺有用，结合着HiJack的话效果会不错。思路是这样：

FS--->TEB--->PEB---> PEB_LDR_DATA.InInitialzationOrderModuleList

（细节偏移，以及结构定义我之间整理过，在这 http://blog.youkuaiyun.com/u013761036/article/details/71006302  就不重复整理了。）

    得到的这个链表里面存的都是加载的dll相关，获取Kernel32是直接把相关地址返回去，而隐藏相关dll就是把相关要隐藏的dll从链里面摘除就行了，R0里隐藏内核模块（.sys）以及R0隐藏进程（

最低0.47元/天 解锁文章
二、C++反作弊对抗实战 (进阶篇 —— 2.作弊器中常见断链隐藏DLL方法)
Koma的主页
03-03 1627
目前，比较常见的模块隐藏方法有抹去模块的PE头、断开进程的LDR_MODULE链或者Hook模块枚举函数等，这里介绍前面抹去PE头、断链的方法。 提示：以下是本篇文章正文内容，下面案例可供参考 一、设置环境变量符号表 示首先需要在系统环境变量中设置符号表自动下载，如下图： 变量名：_NT_SYMBOL_PATH 变量值：srv*D:/symbols*http://msdl.microsoft.com/download/symbols 这里将是后面VS2010或windbg调试时将用到的.
4.PEB断链隐藏模块
Mikasys的博客
10-25 1744
0x4 PEB断链隐藏模块 1.如何找到_PEB_LDR_DATA 由_TEB找到_PEB,_PEB偏移0xC找到_PEB_LDR_DATA typedef struct _PEB_LDR_DATA { ULONG Length; // +0x00 BOOLEAN Initialized; // +0x04 PVOID SsHandle; // +0x08 LIST_ENTRY InLoadOrderModuleList; // +0x0c 加载顺序 LIST_ENTRY InMemoryO
[Rootkit] dll 隐藏 - VAD
墨鱼菜鸡
06-10 627
3环下要想隐藏dll，仅仅靠断链和抹去PE头信息是不够的；这样做能骗过同样在3环运行的调试器，但是骗不过在0环通过驱动做检测的PChunter、Process Hacker等工具；要想彻底隐藏，需要更进一步搞定驱动层的各种...
R3任务管理器隐藏C++源代码
03-15
摘要:VC/C++源码,系统相关,任务管理器　　R3任务管理器隐藏,Ring3层隐藏进程 稳定可靠的VC++代码。注：本程序需要在命令提示符环境下运行，在开始运行中打开命令提示符，然后拖动本EXE程序到命令提示符窗口中即可，之前需要先打开进程管理器。
《逆向工程核心原理》----第24章DLL卸载
qq_55785697的博客
04-24 394
同DLL注入使用LoadLibrary一样，DLL卸载需要使用FreeLibrary。 1.使用CreateToolhelp32Snapeshoot（）API获取加载到进程中的dll信息 2.提权，LookupPrivilegeValue（）可以查看权限，AdjustTookenPrivilege（）可以禁用/启用函数 提权相关函数_爱沧海的博客-优快云博客 提权函数的相关链接 3.之后同DLL注入过程类似，获取进程句柄，获取FreeLibrary（）地址，创建远程线程 <注>这种方
R3nzSkin.dll
12-14
R3nzSkin.dll
解决VirtualBox启动失败：无法加载R3模块的DLL修复方法
当使用VirtualBox进行虚拟机管理时，遇到无法加载R3模块，特别是 */VBoxDD.dll 的错误信息，这通常与系统中的某些组件不兼容或存在缺失有关。这个问题在Docker中启动虚拟机时尤其需要注意，因为这涉及到了虚拟化环境...
r3进程保护dll
08-16
r3进程保护 MsgBox HOOK
R3 DLL重载
08-26
当一个应用程序需要使用某个功能时，它会加载相应的DLL，并通过导出函数来调用所需的服务。DLL的重载，即在不重启程序的情况下，用新的版本替换正在被使用的DLL，从而达到更新或修改功能的目的。 R3 DLL重载技术的...
DLL隐藏技术（抹链）
Arbboter的专栏
07-29 1万+
#include "HideDLL.h" #include DWORD g_dwImageSize = 0; VOID* g_lpNewImage = NULL; /************************************************************************/ /* 把当前进程的所有DLL都使用LoadLibrary再次加载一边，增加引用计
易语言-PE文件头比较小工具
06-25
PE文件头比较小工具源码
利用PEB隐藏进程模块
m0_52333150的博客
02-02 437
PEB模块隐藏
Dll注入--修改PE文件头
王二娃的生活的博客
06-25 1万+
DLL注入，除了常见的远线程注入，挂钩和修改注册表以外还可以通过修改PE文件头来达到注入目的，废话少说先上菜。1. 思路PE文件经常会调用外部DLL文件，而需要调用的DLL文件都会在PE文件说明，通过 NT头->可选头->导入表 可以找到导入表，而导入表就是对需要导入的每个DLL的说明，它实际上是一个20个字节组成的IID结构体数组，每个结构体就是一个DLL信息说明，我们只需要想PE文件中准确添加这
peClean （清除PE头中的无用数据
04-06 3191
以LordPE和OD成功加载为基础，清除PE头部中的“垃圾”数据实际情况可能没多大用处，昨天晚上想温习一下PE头的格式就写了这个使用时把PE文件拖进对话框即可xp sp2 + VC6附件:peclean.rar#include "PeClean.h"DWORD IsPE(HANDLE hFile){  char  ReadBuffer[4];  DWORD  dwRead;  DWORD  dwO
DLL隐藏和逆向
m0_75243362的博客
11-08 2713
DLL注入新手详解示例
易语言PE结构分析源码解析
最新发布
weixin_32661831的博客
03-18 790
易语言作为一种专门面向中文用户的编程语言，自其诞生之日起就承载着让编程更为简易的使命。1.1.1节将概述易语言的起源及其演进，介绍其如何从一个简单的Windows应用程序开发工具成长为一个具有广泛用户基础的编程语言。紧接着，1.1.2节将深入探讨易语言的核心优势，诸如中文语法的便利性、丰富的中文编程资源和多样的应用场景，包括但不限于桌面应用程序开发、游戏制作、网络服务等。
注入DLL的后,擦除PE头 跟从进程模块链表中断链的意义是什么
i_9420的博客
12-18 447
PE头包含了DLL的元数据，如入口点、节表等信息，擦除这些信息可以使DLL在内存中看起来不像一个标准的PE文件。• 提高隐蔽性：从进程模块链表中断链可以使注入的DLL在进程的模块列表中不可见。进程的模块列表包含了所有加载的模块（包括DLL），从链表中移除DLL可以使其更难被检测到。• 防止内存扫描：一些防病毒软件和反作弊系统会扫描内存中的PE头，以检测注入的DLL。• 防止模块枚举：一些防病毒软件和反作弊系统会枚举进程的模块列表，以检测注入的DLL。• 恢复PE头的内存保护属性。
防止DLL注入游戏进程后被检测方法
热门推荐
分享各种编程技术
05-25 1万+
Dll注入游戏进程后,如何防止DLL被检测,目前想到的有如下几种方法: 1.对进程的PEB链表中抹除该DLL,防止Module32First/Next模块枚举到注入的DLL 2.删除PE头标志(MZ),防止暴力搜索到DLL信息 3.R0下删除VAD下的Object_File,防R3下通过ZwQueryVirtualMemory枚举Dll 想学习写挂可以百度搜魔鬼作坊。 ...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值