0环PEB断链

最新推荐文章于 2024-03-09 12:00:00 发布
最新推荐文章于 2024-03-09 12:00:00 发布
阅读量302 收藏 5
点赞数 9
文章标签： 网络 安全 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_80520893/article/details/136455123
版权

在操作系统层面上，进程本质上就是一个结构体，当操作系统想要创建一个进程时，就分配一块内存，填入一个结构体，并为结构体中的每一项填充一些具体值。而这个结构体，就是EPROCESS

在+0x088 偏移处有一个指针ActiveProcessLinks ，指向的是 _LIST_ENTRY。它是双向链表，所有的活动进程都连接在一起，构成了一个链表

那么链表总有一个头，全局变量PsActiveProcessHead（八个字节）指向全局链表头。这个链表跟进程隐藏有关，只要我们把想要隐藏进程对应的EPROCESS的链断掉，就可以达到在0环进程隐藏的目的。

我们看一下PsActiveProcessHead

kd> dd PsActiveProcessHead

 

前四个字节指向的是下一个EPROCESS结构，但指向的并不是EPROCESS的首地址，而是每一个进程的 _EPROCESS + 0x88的位置

所以当我们要查询下一个进程结构时，需要 -0x88。比如当前PsActiveProcessHead指向的下一个地址为0x863b58b8

kd> dt _EPROCESS 863b58b8-0x88

在0x174偏移的地方存储着进程名，我们可以看到第一个EPROCESS结构对应的是System进程，这里0x88偏移存放的就是下一个EPROCESS结构的地址，但是这里注意，因为这个结构的地址是指向下一个链表的地址，所以如果要得到EPROCESS的首结构就需要-0x88

我们通过偏移得到下一个EPROCESS结构，可以发现为smss.exe进程

网安星星
关注
二、C++反作弊对抗实战 (进阶篇 —— 2.作弊器中常见断链隐藏DLL方法)
Koma的主页
03-03 1347
目前，比较常见的模块隐藏方法有抹去模块的PE头、断开进程的LDR_MODULE链或者Hook模块枚举函数等，这里介绍前面抹去PE头、断链的方法。 提示：以下是本篇文章正文内容，下面案例可供参考 一、设置环境变量符号表 示首先需要在系统环境变量中设置符号表自动下载，如下图： 变量名：_NT_SYMBOL_PATH 变量值：srv*D:/symbols*http://msdl.microsoft.com/download/symbols 这里将是后面VS2010或windbg调试时将用到的.
c语言断链隐藏dll,利用C++ R3层断链实现模块隐藏功能
weixin_39765840的博客
05-20 1307
一、模块隐藏的实现原理普通API查找模块实现思路：其通过查询在R3中的PEB(Process Environment Block 进程环境块)与TEB(Thread Environment Block 进程环境块)来找到一个双向链表，通过遍历双向链表中某一成员(字符串)来查找全部模块。模块隐藏实现思路：在R3层的模块隐藏，我们需要做的就是将其该链表断链，将某一模块从这个双向链表中摘除，这样再调用传...
PEB断链
hongduilanjun的博客
03-18 2055
断链这种技术非常古老，同时应用于非常多的场景，在内核层如果我们需要隐藏一个进程的内核结构体，也会使用这种技术。本文基于PEB断链在用户层和内核层分别进行实现，在用户层达到的效果主要是dll模块的隐藏，在内核层达到的效果主要是进程的隐藏。 3环PEB断链 每个线程都有一个TEB结构来存储线程的一些属性结构，TEB的地址用fs:[0]来获取，在0x30这个地址有一个指针指向PEB结构 然后定位到PEB，PEB就是进程用来记录自己信息的一个结构，在PEB的0x00c偏移有一个 Ldr _PEB_LDR_DAT
[Rootkit] 修改 peb 隐藏 dll（断链）
LYSM
04-16 713
原理 PEB 中有一个成员 Ldr： typedef struct _PEB { UCHAR InheritedAddressSpace; UCHAR ReadImageFileExecOptions; UCHAR BeingDebugged; UCHAR BitField; ULONG ImageUsesLargePages: 1; ULONG IsProtectedProcess: 1; ULONG IsLegacyProcess:
0环PEB断链实现
最新发布
星星我啊，已经很努力在学习了， 有人一起学习吗？Ziansec-1
03-09 276
修改的话是比较方便的，但是如果要使用代码来进行修改的话就需要首先定位到。从双向链表中抹去的效果，这里的话如果在windbg里面直接使用。，将双向链表的值修改，就可以将我们想要隐藏的这个进程的。安装驱动之后在任务管理器跟cmd里面都已经看不到。截止到昨天那里我们的思路就清晰了，通过。如果是我们想要隐藏的进程就执行断链操作。来判断进程名是不是我们想要隐藏的进程。如果不是我们想要的进程就继续往下取。那么就可以用汇编实现找到。找到我们要隐藏的进程的。首先定义一个指针指向。
4.PEB断链隐藏模块
Mikasys的博客
10-25 1508
0x4 PEB断链隐藏模块 1.如何找到_PEB_LDR_DATA 由_TEB找到_PEB,_PEB偏移0xC找到_PEB_LDR_DATA typedef struct _PEB_LDR_DATA { ULONG Length; // +0x00 BOOLEAN Initialized; // +0x04 PVOID SsHandle; // +0x08 LIST_ENTRY InLoadOrderModuleList; // +0x0c 加载顺序 LIST_ENTRY InMemoryO
利用TEB和PEB在3环 断链模块 遍历模块
qq_41490873的博客
05-02 788
nt!_TEB +0x000 NtTib : _NT_TIB +0x01c EnvironmentPointer : Ptr32 Void +0x020 ClientId : _CLIENT_ID //UniqueProcess UniqueThread 进程ID +4 线程ID +0x028 ActiveRpcHan...
利用C++ R3层断链实现模块隐藏功能
08-25
总结来说，C++ R3层断链实现模块隐藏主要是通过对PEB和PEB_LDR_DATA结构体的操纵，断开模块在链表中的链接，从而实现模块的隐形。这是一种高级的系统编程技巧，需要深入理解Windows内核机制才能正确应用。
修改PEB,断链隐藏模块成功
weixin_34319999的博客
06-24 395
修改PEB,断链隐藏模块成功 继续实践之前的想法，就是断掉如下这个结构中的双向链表： typedef struct _LDR_MODULE { LIST_ENTRY InLoadOrderModuleList; LIST_ENTRY InMemoryOrderModuleList; LIST_ENTRY...
修改PEB实现断链隐藏DLL
做一个快乐学习者
09-01 1542
void HideModule(void* pModule) { void* pPEB = nullptr; _asm { push eax mov eax,fs:[0x30] mov pPEB,eax pop eax } void* pLDR = *((void**)((unsigned char*)pPEB + 0xc)); void* pCurrent = ...
DLL隐藏技术（抹链）
07-29
原理就是Load ,保存一份，Free，把备份的粘贴回来，就断链了，这样做的好处是方便。断链也是可以的。
3环断链以及断链后的检测方法
qq_43147121的博客
09-03 778
我们在3环注入代码很多时候会选择注入dll，因为纯粹的硬编码不方便写出大量功能，而且不容易维护所以很多时候我们会通过各种方式让我们的dll注入到目标地址空间中，其中有一些方式可以不需要我们自己对dll处理重定位而是借助pe加载器让系统帮助我们处理重定位，但是就会导致我们的dll会在目标的peb中可见，也就是留下了痕迹。比如说，我不通过模块链表来检测而是直接搜索内存找到有pe指纹的位置然后根据pe结构查看当前的模块名字，不是我自己的那就说明有人注入了模块进来。这时就可以通过3环断链的方式隐藏这一部分痕迹。
3环PEB断链实现
星星我啊，已经很努力在学习了， 有人一起学习吗？Ziansec-1
03-07 188
来进行断链示范，这里要实现断链，最简单的做法就是让Head的Flink和Blink指向它自己。因为需要遍历链表进行断链指向自身的操作，这里就需要写一个循环进行断链，完整代码如下。如果要实现所有模块的隐藏，直接将模块判断的代码删除即可。因为这里三个双向链表的结构都是一样的，这里就以。这里在没有开始断链的时候可以看到是由3个模块的。首先通过获取到的ldr结构指向。断链之后，模块已经全部看不到了。然后通过汇编定位到LDR。然后将指针指向下一个结构。这个宏返回结构体基址。
第二课断链隐藏驱动
08-16 1716
#include"ntddk.h" typedef struct _driverdata { LIST_ENTRY listentry; ULONG unknown1; ULONG unknown2; ULONG unknown3; ULONG unknown4; ULONG unknown5; ULONG unknown6; ULONG unknown7; UNICOD
35 进程与线程之线程结构体
qq_18059143的博客
11-29 645
上节课我们说了EPROCESS，这次我们讲讲线程结构体ETHREAD 使用dt _ETHREAD查看线程结构体内容 dt _ETHREAD ntdll!_ETHREAD +0x000 Tcb : _KTHREAD +0x200 CreateTime : _LARGE_INTEGER +0x208 ExitTime :...
_EPROCESS断链 —— 实现进程内核隐藏
walker的博客
03-06 2396
我们可以利用 _EPROCESS 结构体中的 ActiveProcessLinks 双向链表遍历进系统中的进程，并将特定进程从该双向链表中移除，以达到隐藏特定进程的目的。 _EPROCESS _EPROCESS 结构体是内核用于管理和维护进程的结构体，每个进程都会有一个属于自己的结构体。同一个程序创建了多个进程，其就会有对应个数的 _EPROCESS 。 _EPROCESS 的结构如下： kd> dt _EPROCESS nt!_EPROCESS +0x000 Pcb
LDR断链 隐藏DLL
IT男也疯狂
09-14 6762
typedef struct _LSA_UNICODE_STRING { USHORT Length; USHORT MaximumLength; PWSTR Buffer;} UNICODE_STRING, *PUNICODE_STRING; typedef struct _PEB_LDR_DATA { DWORD Length; // +0x00 bool Initialize
通过读写PEB.Ldr实现模块枚举和模块隐藏（脱链）
DontBeProud
09-10 2863
·获取PEB_LDR_DATA         关于获取Ldr的方法，网上有大量的博客作了介绍，但可能因为这些博客写的比较早，所以其中一些类似于“fs[30]指向PEB，PEB+0x0C即为Ldr指针”的观点虽然在当时非常适用，但在如今则显得不尽严谨，因为x86和x64下TEB、PEB、PEB_LDR_DATA等结构体的成员大小是不同的，使用的部分寄存器也有差异，例如x64下通过gs[0x60...
PEB-------------模块链表Ldr
weixin_30316097的博客
07-30 713
一、xp下peb结构 kd> dt _pebntdll!_PEB +0x000 InheritedAddressSpace : UChar +0x001 ReadImageFileExecOptions : UChar +0x002 BeingDebugged : UChar +0x003 SpareBool : UChar +0x004 Mutan...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值