R3抹掉加载的DLL

最新推荐文章于 2024-02-03 23:42:40 发布
最新推荐文章于 2024-02-03 23:42:40 发布
阅读量3.9k 收藏 8
点赞数
文章标签： R3抹掉加载的DLL 宋孖健 13
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/u013761036/article/details/71011446
版权
本文介绍了如何使用R3抹除加载的DLL来实现隐藏目的，通过遍历PEB_LDR_DATA的InInitializationOrderModuleList链表，移除目标DLL。这种方法在结合HiJack时能产生显著效果。作者提供了简化版的代码示例，并分享了测试过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

R3抹掉加载的DLL

    原理类似于获取Kernel32.dll加载地址，知道这个东西也是在看获取Kernel32.dll地址的时候在网上搜索学习资料，无意中看到的这个东西。这个挺有用，结合着HiJack的话效果会不错。思路是这样：

FS--->TEB--->PEB---> PEB_LDR_DATA.InInitialzationOrderModuleList

（细节偏移，以及结构定义我之间整理过，在这 http://blog.youkuaiyun.com/u013761036/article/details/71006302  就不重复整理了。）

    得到的这个链表里面存的都是加载的dll相关，获取Kernel32是直接把相关地址返回去，而隐藏相关dll就是把相关要隐藏的dll从链里面摘除就行了ÿ

最低0.47元/天 解锁文章
[Rootkit] dll 隐藏 - VAD
墨鱼菜鸡
06-10 499
3环下要想隐藏dll，仅仅靠断链和抹去PE头信息是不够的；这样做能骗过同样在3环运行的调试器，但是骗不过在0环通过驱动做检测的PChunter、Process Hacker等工具；要想彻底隐藏，需要更进一步搞定驱动层的各种...
peClean （清除PE头中的无用数据
04-06 3144
以LordPE和OD成功加载为基础，清除PE头部中的“垃圾”数据实际情况可能没多大用处，昨天晚上想温习一下PE头的格式就写了这个使用时把PE文件拖进对话框即可xp sp2 + VC6附件:peclean.rar#include "PeClean.h"DWORD IsPE(HANDLE hFile){  char  ReadBuffer[4];  DWORD  dwRead;  DWORD  dwO
R3任务管理器隐藏C++源代码
03-15
摘要:VC/C++源码,系统相关,任务管理器　　R3任务管理器隐藏,Ring3层隐藏进程 稳定可靠的VC++代码。注：本程序需要在命令提示符环境下运行，在开始运行中打开命令提示符，然后拖动本EXE程序到命令提示符窗口中即可，之前需要先打开进程管理器。
《逆向工程核心原理》----第24章DLL卸载
qq_55785697的博客
04-24 345
同DLL注入使用LoadLibrary一样，DLL卸载需要使用FreeLibrary。 1.使用CreateToolhelp32Snapeshoot（）API获取加载到进程中的dll信息 2.提权，LookupPrivilegeValue（）可以查看权限，AdjustTookenPrivilege（）可以禁用/启用函数 提权相关函数_爱沧海的博客-优快云博客 提权函数的相关链接 3.之后同DLL注入过程类似，获取进程句柄，获取FreeLibrary（）地址，创建远程线程 <注>这种方
DLL隐藏技术（抹链）
Arbboter的专栏
07-29 1万+
#include "HideDLL.h" #include DWORD g_dwImageSize = 0; VOID* g_lpNewImage = NULL; /************************************************************************/ /* 把当前进程的所有DLL都使用LoadLibrary再次加载一边，增加引用计
利用PEB隐藏进程模块
m0_52333150的博客
02-02 373
PEB模块隐藏
R3nzSkin.dll
12-14
R3nzSkin.dll
解决VirtualBox启动失败：无法加载R3模块的DLL修复方法
当使用VirtualBox进行虚拟机管理时，遇到无法加载R3模块，特别是 */VBoxDD.dll 的错误信息，这通常与系统中的某些组件不兼容或存在缺失有关。这个问题在Docker中启动虚拟机时尤其需要注意，因为这涉及到了虚拟化环境...
r3进程保护dll
08-16
r3进程保护 MsgBox HOOK
R3 DLL重载
08-26
当一个应用程序需要使用某个功能时，它会加载相应的DLL，并通过导出函数来调用所需的服务。DLL的重载，即在不重启程序的情况下，用新的版本替换正在被使用的DLL，从而达到更新或修改功能的目的。 R3 DLL重载技术的...
Dll注入--修改PE文件头
王二娃的生活的博客
06-25 1万+
DLL注入，除了常见的远线程注入，挂钩和修改注册表以外还可以通过修改PE文件头来达到注入目的，废话少说先上菜。1. 思路PE文件经常会调用外部DLL文件，而需要调用的DLL文件都会在PE文件说明，通过 NT头->可选头->导入表 可以找到导入表，而导入表就是对需要导入的每个DLL的说明，它实际上是一个20个字节组成的IID结构体数组，每个结构体就是一个DLL信息说明，我们只需要想PE文件中准确添加这
DLL隐藏和逆向
m0_75243362的博客
11-08 2386
DLL注入新手详解示例
防止DLL注入游戏进程后被检测方法
热门推荐
分享各种编程技术
05-25 1万+
Dll注入游戏进程后,如何防止DLL被检测,目前想到的有如下几种方法: 1.对进程的PEB链表中抹除该DLL,防止Module32First/Next模块枚举到注入的DLL 2.删除PE头标志(MZ),防止暴力搜索到DLL信息 3.R0下删除VAD下的Object_File,防R3下通过ZwQueryVirtualMemory枚举Dll 想学习写挂可以百度搜魔鬼作坊。 ...
模块隐藏（LDR_MODULE链 与 PE特征）
零点起步
04-14 7959
比较常见的模块隐藏方法有抹去模块的PE头，断开进程的LDR_MODULE链，Hook模块枚举函数等。后面备注VAD隐藏。 //测试EXE，加载WaiGua.dll，再隐藏。 #include #include #include typedef struct _LSA_UNICODE_STRING { USHORT Length; USHORT MaximumLength; PW
易语言 特征码的8种修改方法
Missing
07-11 1万+
点击阅读原文1.NOP法  （常常检测自己是否定位正确）2.加1法   （很牛B，很简单，但是不一定实用于每个特征码）3.大小写替换（很好，很强大，修改后100%可以用！  注意：PE头  函数 不能修改） 4.add ecx,2 可以改为　sub ecx,-2(加ecx内存器＋2      减ecx内存器-2　　- -2得＝2)（特征码：0046B897）0046B897:  83C4 F0  ...
_EPROCESS断链 —— 实现进程内核隐藏
walker的博客
03-06 2879
我们可以利用 _EPROCESS 结构体中的 ActiveProcessLinks 双向链表遍历进系统中的进程，并将特定进程从该双向链表中移除，以达到隐藏特定进程的目的。 _EPROCESS _EPROCESS 结构体是内核用于管理和维护进程的结构体，每个进程都会有一个属于自己的结构体。同一个程序创建了多个进程，其就会有对应个数的 _EPROCESS 。 _EPROCESS 的结构如下： kd> dt _EPROCESS nt!_EPROCESS +0x000 Pcb
R3 下动态加载的模块的保护（一）
最新发布
溡漪幽博客
02-03 940
在 R3 下防护动态加载的模块不被意外卸载需要很多的策略，比如：LDR 断链、VAD 记录擦除、PE 头擦除、修改入口函数、内存注入等。文本我们将浅析模块静态化技术这一项技术。模块静态化是一个很常见的模块保护技术，它通过修改模块的引用计数为 -1，来使得模块不可被标准的 API 成功卸载。系列文章：R3 下动态加载的模块的保护（一）：分析模块伪静态化技术 [本文]R3 下动态加载的模块的保护（二）：分析重映射擦除 VAD 信息[暂未发布]更多 ... ...文本浅析模块静态化技术这一项技术。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值