首页
社区
课程
招聘
[原创]最简单的DLL导出函数隐藏方式
发表于: 2014-12-30 09:38 14535

[原创]最简单的DLL导出函数隐藏方式

2014-12-30 09:38
14535

众所周知,DLL导出函数有两种模式:按函数名或按序号
经编译DLL生成后,如果想隐藏函数名不需要任何工具,可以直接改二进制内容进行处理;

1、用二进制编辑器打开DLL文件,然后查找“DLL的文件名”。
2、文件名后紧跟着就是各个函数名,以00作为分隔符
3、文件名前面就是函数的具体信息,包括入口地址、函数顺序号、函数名地址、函数数量等
4、找到函数的数量修改为0000000即可,如果想要更彻底可以把函数名也全置为零。

附件是我修改后的内核kernel32.dll和一个testdl.dll文件,经测试testdl.dll使用完全没有问题,但是用Dependency查看时,所有函数名变为“N/A”

具体二进制格式基本如下:
00 00 00 00
dll文件名存储地址
01 00 00 00
函数数量(8位)
函数名称的数量(8位)
函数入口地址的存储地址(8位)
函数名称地址的存储地址(8位)
函数序号的存储地址(8位)
函数入口地址列表(8位)
函数名称地址列表(8位)
函数序号列表(4位)
dll文件名称
函数名称列表


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 3
支持
分享
最新回复 (12)
雪    币: 208
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
这帖子为什么没有人回复?
2015-1-1 16:48
0
雪    币: 188
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
前排支持一个。
2015-1-1 17:21
0
雪    币: 29
活跃值: (25)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
感谢支持,新手学习中。希望达人一起交流
2015-1-4 13:31
0
雪    币: 78
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
又学会了一招。
2015-3-19 01:36
0
雪    币: 1515
活跃值: (5972)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
6
LoadLibrary 动态加载GetProcAddress的怎么办?
2015-3-19 08:48
0
雪    币: 878
活跃值: (496)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
7
LZ应该是修改己方的dll
2015-3-19 09:04
0
雪    币: 23
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
又一个PE党出现了。
2015-3-19 10:23
0
雪    币: 38
活跃值: (19)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
9
思路不错,值得借鉴
2015-3-19 12:15
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
请问楼主,这个东西有什么用呐?
2015-3-19 14:30
0
雪    币: 7651
活跃值: (523)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
11
一样用,GetProcAddress不但可以按名字取地址,还可以按序号,所以楼主这种方式只不过是隐藏了函数名字,让人无法从名字猜测函数的功能~ 其实想达到这个目的,方法很多,比如:
1.所有导出函数取名为fun1,fun2,fun3等无意义名字
2.只导出一个函数CommonDispatch,所有功能都通过这个函数实现(内部实现一个派遣表),具体调用时通过功能号和参数进行区分

所以,个人觉得,楼主这样做意义不是太大
2015-3-19 19:47
0
雪    币: 2841
活跃值: (1125)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
学习下,顶顶订
2015-3-22 10:21
0
雪    币: 60
活跃值: (519)
能力值: ( LV5,RANK:65 )
在线值:
发帖
回帖
粉丝
13
学习下~~
2015-3-23 16:39
0
游客
登录 | 注册 方可回帖
返回