怎么写一个隐藏进程dll

qc999

怎么写一个隐藏进程模块的dll，然后注入某一进程，隐藏该进程的某一模块dll文件。

wtflxk

有这样的代码能抹掉但是在内核工具面前还是能看到蛛丝马迹的。

  

子程序名	返回值类型	公开	备 注
LDR_DATA_TABLE_ENTRY	整数型

置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 12, 139, 64, 12, 201, 195 })
返回 (0)

子程序名	返回值类型	公开	备 注
隐藏模块			无返回值
参数名	类 型	参考	可空	数组	备 注
模块名	文本型				指定模块名，这通常是与模块的文件名相同的一个名字。例如，NOTEPAD.EXE程序的模块文件名就叫作NOTEPAD，输入DLL的名字

变量名	类 型	静态	数组	备 注
地址	整数型
模块jz	整数型
DLLjz	整数型
字串地址	整数型

DLLjz ＝ GetModuleHandleA (模块名)
地址 ＝ LDR_DATA_TABLE_ENTRY ()
判断循环首 (DLLjz ≠ 模块jz)
模块jz ＝ 取字节集数据 (指针到字节集 (地址 ＋ 24, 4), #整数型, )
如果真 (模块jz ≠ DLLjz)
地址 ＝ 取字节集数据 (指针到字节集 (地址, 4), #整数型, )

判断循环尾 ()
字串地址 ＝ 取字节集数据 (指针到字节集 (地址 ＋ 36 ＋ 4, 4), #整数型, )  ' 模块路径
写到内存 (0, 字串地址, 5)
字串地址 ＝ 取字节集数据 (指针到字节集 (地址 ＋ 44 ＋ 4, 4), #整数型, )  ' 模块名称
写到内存 (0, 字串地址, 5)

DLL命令名	返回值类型	公开	备 注
GetModuleHandleA	整数型		取命令行，获取一个应用程序或动态链接库的模块句柄  如执行成功成功，则返回模块句柄。零表示失败。会设置GetLastError
DLL库文件名:
kernel32
在DLL库中对应命令名:
GetModuleHandleA
参数名	类 型	传址	数组	备 注
lpModuleName	文本型			取命令行，指定模块名，这通常是与模块的文件名相同的一个名字。例如，NOTEPAD.EXE程序的模块文件名就叫作NOTEPAD;

.版本 2<br /> <br /> .子程序 LDR_DATA_TABLE_ENTRY, 整数型<br /> <br /> 置入代码 ({ 100, 161, 48, 0, 0, 0, 139, 64, 12, 139, 64, 12, 201, 195 })<br /> 返回 (0)<br /> <br /> .子程序 隐藏模块, , 公开, 无返回值<br /> .参数 模块名, 文本型, , 指定模块名，这通常是与模块的文件名相同的一个名字。例如，NOTEPAD.EXE程序的模块文件名就叫作NOTEPAD，输入DLL的名字<br /> .局部变量 地址, 整数型<br /> .局部变量 模块jz, 整数型<br /> .局部变量 DLLjz, 整数型<br /> .局部变量 字串地址, 整数型<br /> <br /> DLLjz ＝ GetModuleHandleA (模块名)<br /> 地址 ＝ LDR_DATA_TABLE_ENTRY ()<br /> .判断循环首 (DLLjz ≠ 模块jz)<br />     模块jz ＝ 取字节集数据 (指针到字节集 (地址 ＋ 24, 4), #整数型, )<br />     .如果真 (模块jz ≠ DLLjz)<br />         地址 ＝ 取字节集数据 (指针到字节集 (地址, 4), #整数型, )<br />     .如果真结束<br /> <br /> .判断循环尾 ()<br /> 字串地址 ＝ 取字节集数据 (指针到字节集 (地址 ＋ 36 ＋ 4, 4), #整数型, )  ' 模块路径<br /> 写到内存 (0, 字串地址, 5)<br /> 字串地址 ＝ 取字节集数据 (指针到字节集 (地址 ＋ 44 ＋ 4, 4), #整数型, )  ' 模块名称<br /> 写到内存 (0, 字串地址, 5)<br /> .版本 2<br /> <br /> .DLL命令 GetModuleHandleA, 整数型, "kernel32", "GetModuleHandleA", , 取命令行，获取一个应用程序或动态链接库的模块句柄  如执行成功成功，则返回模块句柄。零表示失败。会设置GetLastError<br />     .参数 lpModuleName, 文本型, , 取命令行，指定模块名，这通常是与模块的文件名相同的一个名字。例如，NOTEPAD.EXE程序的模块文件名就叫作NOTEPAD;

qc999

wtflxk 发表于 2025-10-6 10:07
有这样的代码能抹掉但是在内核工具面前还是能看到蛛丝马迹的。

谢谢老师

编程之名

可以驱动隐藏模块 花钱