本文介绍了如何使用R3抹除加载的DLL来实现隐藏目的，通过遍历PEB_LDR_DATA的InInitializationOrderModuleList链表，移除目标DLL。这种方法在结合HiJack时能产生显著效果。作者提供了简化版的代码示例，并分享了测试过程。
R3抹掉加载的DLL
原理类似于获取Kernel32.dll加载地址，知道这个东西也是在看获取Kernel32.dll地址的时候在网上搜索学习资料，无意中看到的这个东西。这个挺有用，结合着HiJack的话效果会不错。思路是这样：
FS--->TEB--->PEB---> PEB_LDR_DATA.InInitialzationOrderModuleList
（细节偏移，以及结构定义我之间整理过，在这 http://blog.csdn.net/u013761036/article/details/71006302 就不重复整理了。）
得到的这个链表里面存的都是加载的dll相关，获取Kernel32是直接把相关地址返回去，而隐藏相关dll就是把相关要隐藏的dll从链里面摘除就行了ÿ
最低0.47元/天 解锁文章
259
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
