3环下要想隐藏dll，仅仅靠断链和抹去PE头信息是不够的；这样做能骗过同样在3环运行的调试器，但是骗不过在0环通过驱动做检测的PChunter、Process Hacker等工具；要想彻底隐藏，需要更进一步搞定驱动层的各种检测，下面会详细介绍隐藏的细节原理和操作方法！
1、VAD 虚拟内存管理
内存分两种：物理内存和虚拟内存；操作系统和进程共享物理内存，进程独享虚拟内存；物理内存可以通过CR3在进程之间互相隔离，确保进程之间互不侵犯；那么进程内部的虚拟地址该怎么管理了？ 32位下，每个进程独享4GB内存，怎么知道哪些内存已经使用过，哪些没用过？ 已经使用的内存，是可读可写可执行的么? 还是只读的了？ 该怎么记录这些关键信息了？windwos采用一种叫做virtual address descripot的自平衡二叉树来管理虚拟内存，低端的内存地址放在根节点左子树，高端内存地址放根节点右子树，大致的结构如下：每当进程调用virtualAlloc分配虚拟内存时，操作系统会先遍历这个树，看看还有哪些地方的虚拟内存还未使用，然后返回给开发人员：
windbg能查到每个进程VAD的root节点：
VAD里面也记录了该进程dll的使用情况。
当内存使用完毕，建议立即调用VirtualFree，将这段虚拟内存从VAD从抹去，后续再次遍历时才能继续使用！正常情况下，如果要卸载dll，可以调用windwos提供的freeLibrary接口，里面有关键的函数：ZwUnmapViewOfSection，可以直接把dll对应的内存从VAD中删除（这里多说两句：ZwUnmapViewOfSection 功能很强大，可以替换进程的代码，让其称为傀儡执行恶意的代码）。
2、之前分享过一个驱动隐藏的思路(https://www.cnblogs.com/theseventhson/p/13170445.html): 让driver entry返回false，操作系统会认为驱动加载失败，不会记录。但在driverentry里面把自己想要执行的代码拷贝到堆上，然后将代码入口点作为imageLoad回调函数的入口点。虽然驱动加载“失败”，但代码已经拷贝到堆，并且注册成为了回调函数，dll隐藏也可以借鉴类似的思路：
- 先重新申请一个新空间，把需要隐藏的dll拷贝到新空间备份
- 用freelibrary释放需要隐藏的dll，VAD中会删除这个dll的。此时如果eip跳转到dll执行，肯定报错
- 重新用virtualAlloc申请原dll地址，再把第一步备份的原dll代码拷贝到这次申请的地址（其实就是dll原来加载的地址）
- 此时如果eip跳转到这个地址执行代码是ok的
这么做的本质是：把dll从vad的记录中抹去，重新申请内存来存放dll的代码。虽说在vad还是有内存的使用记录，但因为并未使用loadlibrary，所以也不会在vad中留下dll的记录（这是本质是把dll变相当成shellcode在用，至于全局变量、导入函数、重定位这些，由编译器和操作系统都做好了，不需要开发人员操心）；核心代码如下：
/************************************************************************/
/* 把当前进程的所有DLL（除开需要隐藏的那个）都使用LoadLibrary再次加载一边，增加引用计数， */
/* 使得Free时对应的DLL资源不释放 */
/************************************************************************/
void LockAllModules()
{
HANDLE hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, GetCurrentProcessId());
if (hSnapshot != INVALID_HANDLE_VALUE)
{
MODULEENTRY32 me = { sizeof(me) };
BOOL fOk = Module32First(hSnapshot, &me);
for (fOk = Module32Next(hSnapshot, &me); fOk; fOk = Module32Next(hSnapshot, &me))
{
//跳过第一个(自身)
CString wInfo;
wInfo.Format(_T("%s"), me.szModule);
wInfo.MakeLower();
if (wInfo != _T("dlls.dll"))LoadLibrary(me.szModule);//加载除了dlls.dll以外的所有内存
}
}
}
BOOL CopycatAndHide(HMODULE hDll)
{
// 整体思路：先把DLL加载到当前进程，然后将该加载的DLL再备份到当前进程空间；
// 接下来该DLL再Free了，此时进程再访问该DLL的话会出错；
// Free后，再把预先备份的DLL数据还原，而且还原的数据地址是原先DLL加载的地址
// 如此，进程内再调用该DLL的话，由于数据完整，一切OK
DWORD g_dwImageSize = 0;
VOID* g_lpNewImage = NULL;
IMAGE_DOS_HEADER* pDosHeader;
IMAGE_NT_HEADERS* pNtHeader;
IMAGE_OPTIONAL_HEADER* pOptionalHeader;
LPVOID lpBackMem = 0;
DWORD dwOldProtect;
DWORD dwCount = 30;
pDosHeader = (IMAGE_DOS_HEADER*)hDll;
pNtHeader = (IMAGE_NT_HEADERS*)(pDosHeader->e_lfanew + (DWORD)hDll);
pOptionalHeader = (IMAGE_OPTIONAL_HEADER*)&pNtHeader->OptionalHeader;
LockAllModules();
// 找一块内存把需要隐藏而且已经加载到内存的DLL备份
// SizeOfImage，4个字节，表示程序调入后占用内存大小（字节），等于所有段的长度之和。
lpBackMem = VirtualAlloc(0, pOptionalHeader->SizeOfImage, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
if (!lpBackMem)
return FALSE;
if (!VirtualProtect((LPVOID)hDll, pOptionalHeader->SizeOfImage, PAGE_EXECUTE_READWRITE, &dwOldProtect))
return FALSE;
g_dwImageSize = pOptionalHeader->SizeOfImage;
memcpy(lpBackMem, (LPVOID)hDll, g_dwImageSize);
// 抹掉PE头
//memset(lpBackMem, 0, 0x200);
*((PBYTE)hDll + pOptionalHeader->AddressOfEntryPoint) = (BYTE)0xc3;
// DWORD dwRet =0;
// Free掉DLL
do
{
dwCount--;
} while (FreeLibrary(hDll) && dwCount);
// 把备份的DLL数据还原回来，使得预先引用该DLL的程序能够继续正常运行
g_lpNewImage = VirtualAlloc((LPVOID)hDll, g_dwImageSize, MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
if (g_lpNewImage != (LPVOID)hDll)
return FALSE;
memcpy(g_lpNewImage, lpBackMem, g_dwImageSize);
VirtualFree(lpBackMem, 0, MEM_RELEASE);
return TRUE;
}
参考：
1、https://wenku.baidu.com/view/439526b369dc5022aaea0077 内存管理
2、https://bbs.pediy.com/thread-257179.htm VC黑防日记（二）：DLL隐藏和逆向
3、https://blog.csdn.net/arbboter/article/details/38260973 DLL隐藏技术
4、https://bbs.pediy.com/thread-153508.htm 进程替换