Microsoft MVP성태의 닷넷 이야기
디버깅 기술: 153. C# - PEB를 조작해 로드된 DLL을 숨기는 방법 [링크 복사], [링크+제목 복사],
조회: 18134
글쓴 사람
정성태 (techsharer at outlook.com)
홈페이지
첨부 파일
 
(연관된 글이 1개 있습니다.)
(시리즈 글이 4개 있습니다.)
디버깅 기술: 115. windbg - 덤프 파일로부터 PID와 환경변수 등의 정보를 구하는 방법
; https://www.sysnet.pe.kr/2/0/11478

.NET Framework: 876. C# - PEB(Process Environment Block)를 통해 로드된 모듈 목록 열람
; https://www.sysnet.pe.kr/2/0/12101

디버깅 기술: 153. C# - PEB를 조작해 로드된 DLL을 숨기는 방법
; https://www.sysnet.pe.kr/2/0/12105

디버깅 기술: 157. C# - PEB.ProcessHeap을 이용해 디버깅 중인지 확인하는 방법
; https://www.sysnet.pe.kr/2/0/12115




C# - PEB를 조작해 로드된 DLL을 숨기는 방법

지난 글에서,

C# - PEB(Process Environment Block)를 통해 로드된 모듈 목록 열람
; https://www.sysnet.pe.kr/2/0/12101

로드된 DLL들이 PEB.Ldr.InMemoryOrderModuleList에 이중 연결 리스트로 보관되어 있다고 설명했었습니다. 그렇다면, 당연히 그 연결을 끊으면 로드된 DLL을 숨기는 것도 가능합니다.

간단하게 구현해 볼까요? ^^ 우선 _PEB, _PEB_LDR_DATA를 가져온 후,

// Install-Package KernelStructOffset

_PEB peb = EnvironmentBlockInfo.GetPeb();
_PEB_LDR_DATA ldrData = _PEB_LDR_DATA.Create(peb.Ldr);

해당 모듈의 연결 리스트 항목(_LDR_DATA_TABLE_ENTRY)을 구해,

_LDR_DATA_TABLE_ENTRY dllLink = ldrData.Find("ole32.dll");

흔하게 알려진 이중 링크드 리스트의 끊는 방법을 _LIST_ENTRY에 적용하시면 됩니다.

_LIST_ENTRY* pNext = (_LIST_ENTRY*)dllLink.Flink.ToPointer();
_LIST_ENTRY* pPrev = (_LIST_ENTRY*)dllLink.Blink.ToPointer();

IntPtr thisLink = pNext->Blink;
_LIST_ENTRY* thisItem = (_LIST_ENTRY*)thisLink.ToPointer();
thisItem->Blink = IntPtr.Zero;
thisItem->Flink = IntPtr.Zero;

pNext->Blink = new IntPtr(pPrev);
pPrev->Flink = new IntPtr(pNext);

끝입니다. ^^ 실제로 끊기 전과 후에 Process.GetCurrentProcess().Modules을 열람해 보면,

foreach (ProcessModule pm in Process.GetCurrentProcess().Modules)
{
    if (pm.FileName.EndsWith("ole32.dll", StringComparison.OrdinalIgnoreCase) == true)
    {
        // ... 끊기 전에는 실행되지만, 끊은 후에는 실행되지 않음.
    }
}

결과를 확인할 수 있습니다.




참고로, tasklist 같은 명령행 도구들도 PEB를 이용해 모듈을 열람한다는 것을 이번 실습을 통해 확인할 수 있습니다. 일례로 ole32.dll에 대한 연결을 끊기 전과 후의 출력을 비교할 수 있습니다.

// 끊기 전

C:\temp>tasklist /FI "PID eq 19328" /M

Image Name                     PID Modules
========================= ======== ============================================
HideModule.exe               17628 ntdll.dll, MSCOREE.DLL, KERNEL32.dll,
                                   KERNELBASE.dll, ADVAPI32.dll, msvcrt.dll,
                                   sechost.dll, RPCRT4.dll, mscoreei.dll,
                                   SHLWAPI.dll, combase.dll, ucrtbase.dll,
                                   bcryptPrimitives.dll, GDI32.dll,
                                   win32u.dll, gdi32full.dll, msvcp_win.dll,
                                   USER32.dll, IMM32.DLL, kernel.appcore.dll,
                                   VERSION.dll, clr.dll, ucrtbase_clr0400.dll,
                                   VCRUNTIME140_CLR0400.dll, psapi.dll,
                                   mscorlib.ni.dll, ole32.dll, clrjit.dll,
                                   System.ni.dll


// 끊은 후

C:\temp>tasklist /FI "PID eq 19328" /M

Image Name                     PID Modules
========================= ======== ============================================
HideModule.exe               19328 ntdll.dll, MSCOREE.DLL, KERNEL32.dll,
                                   KERNELBASE.dll, ADVAPI32.dll, msvcrt.dll,
                                   sechost.dll, RPCRT4.dll, mscoreei.dll,
                                   SHLWAPI.dll, combase.dll, ucrtbase.dll,
                                   bcryptPrimitives.dll, GDI32.dll,
                                   win32u.dll, gdi32full.dll, msvcp_win.dll,
                                   USER32.dll, IMM32.DLL, kernel.appcore.dll,
                                   VERSION.dll, clr.dll,
                                   VCRUNTIME140_CLR0400.dll,
                                   ucrtbase_clr0400.dll, psapi.dll,
                                   mscorlib.ni.dll, clrjit.dll, System.ni.dll

반면 Sysinternals 등의 도구(listdlls.exe나 process explorer.exe)에서는 PEB의 InMemoryOrderModuleList를 사용하지 않으므로 모든 DLL들이 열거됩니다.




이쯤에서 한 가지 더 설명해야 하는데 ^^ 모듈 목록은 PEB.Ldr.InMemoryOrderModuleList뿐만 아니라 PEB.Ldr.InLoadOrderModuleList에도 보관하고 있습니다. (원래는 필드 이름이 의미하는 대로 구분이 있었던 것 같지만 Windows 10에서 테스트해 보면 목록 순서가 동일하게 출력됩니다.) 따라서 좀 더 잘 숨기고 싶다면 InLoadOrderModuleList에서도 연결을 끊어주는 작업이 필요합니다.

현재 이러한 기능을 추가해 KernelStructOffset을 업데이트했고 따라서 다음과 같은 식의 코드로 링크 연결을 끊거나 재연결할 수 있습니다.

_PEB peb = EnvironmentBlockInfo.GetPeb();
_PEB_LDR_DATA ldrData = _PEB_LDR_DATA.Create(peb.Ldr);

string moduleName = "ole32.dll";
FindModules(moduleName);

DllOrderLink hiddenModuleLink = null;

try
{
    hiddenModuleLink = ldrData.HideDLL(moduleName);
    FindModules(moduleName);
}
finally
{
    if (hiddenModuleLink != null)
    {
        ldrData.UnhideDLL(hiddenModuleLink);
    }
}

또한 InLoadOrderModuleList, InMemoryOrderModuleList 필드의 목록을 다음의 코드로 열람할 수 있습니다.

foreach (var item in ldrData.EnumerateLoadOrderModules())
{
    Console.WriteLine("\t" + item.FullDllName.GetText());
}

foreach (var item in ldrData.EnumerateMemoryOrderModules())
{
    Console.WriteLine("\t" + item.FullDllName.GetText());
}

이 글의 완전한 예제 코드는 github에 올려 두었습니다.

DotNetSamples/WinConsole/PEFormat/HideModule/
; https://github.com/stjeong/DotNetSamples/tree/master/WinConsole/PEFormat/HideModule




[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]

[연관 글]






[최초 등록일: ]
[최종 수정일: 12/14/2022]

Creative Commons License
이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.
by SeongTae Jeong, mailto:techsharer at outlook.com

비밀번호

댓글 작성자
 




... 106  107  108  109  110  111  112  113  114  115  116  117  118  119  [120]  ...
NoWriterDateCnt.TitleFile(s)
10924정성태3/22/201620953오류 유형: 324. Visual Studio에서 Azure 클라우드 서비스 생성 시 Failed to initialize the PowerShell host 에러 발생
10923정성태3/21/201622104.NET Framework: 564. C# - DGML로 바이너리 트리 출력하는 방법 [1]파일 다운로드1
10922정성태3/21/201622498.NET Framework: 563. 디버깅 용도로 이진 트리의 내용을 출력하는 방법파일 다운로드1
10921정성태3/17/201625471.NET Framework: 562. BBI 인터프리터 C/C++ 코드를 C#으로 변환 [3]파일 다운로드2
10920정성태3/15/201627110.NET Framework: 561. null 처리된 객체가 왜 GC에 의해 수집되지 않을까요? [6]파일 다운로드1
10919정성태3/12/201623135.NET Framework: 560. C#에서 return할 때 명시적으로 casting한 것과 안한 것의 차이 [2]파일 다운로드1
10918정성태3/10/201619766.NET Framework: 559. WPF - ICommand.CanExecuteChanged가 해제되지 않는 문제 [2]파일 다운로드1
10917정성태3/10/201640312.NET Framework: 558. WPF - ICommand 동작 방식 [9]파일 다운로드1
10916정성태3/9/201626081.NET Framework: 557. 머신 바이트 배열로부터 역어셈블해주는 라이브러리 - Udis86 Assembler파일 다운로드2
10915정성태3/9/201621675오류 유형: 323. FatalExecutionEngineError was detected
10914정성태3/8/201625017오류 유형: 322. 정적 라이브러리 참조 시 "LNK2019 unresolved external symbol '...' referenced in function" 오류 발생파일 다운로드1
10913정성태3/7/201625000.NET Framework: 556. C#으로 다루는 MBR(Master Boot Record) [9]파일 다운로드1
10912정성태3/2/201621901.NET Framework: 555. List<T>의 Resize 메서드 구현 [2]파일 다운로드1
10911정성태2/29/201625845Math: 15. 그래프 그리기로 알아보는 뉴턴-랩슨(Newton-Raphson's method)법과 제곱근 구하기 - C#파일 다운로드1
10910정성태2/29/201627172Math: 14. HTML에서 수학 관련 기호/수식을 표현하기 위한 방법 - MathJax.js - 두 번째 이야기 [5]
10909정성태2/25/201625380기타: 56. ETW provider 목록 [3]
10908정성태2/25/201622175기타: 55. ETW man 파일 목록
10907정성태2/24/201620615.NET Framework: 554. 인터프리터 - 재귀적 하향 구문 분석 C# 예제파일 다운로드1
10906정성태2/24/201619479.NET Framework: 553. C# 관리 코드에서 IMetaDataDispenserEx, IMetaDataImport 관련 인터페이스를 얻는 방법파일 다운로드1
10905정성태2/24/201623033오류 유형: 321. Hyper-V The operation failed with error code '32791'.
10904정성태2/23/201619428.NET Framework: 552. 인터프리터 - 역폴란드 표기법을 이용한 식의 분석 - C# 예제파일 다운로드1
10903정성태2/22/201620852.NET Framework: 551. 인터프리터 어휘 분석 프로그램 - C# 예제파일 다운로드1
10902정성태2/22/201620734.NET Framework: 550. GetFunctionPointer 호출 시 System.InvalidProgramException 예외 발생
10901정성태2/20/201622861.NET Framework: 549. ContextBoundObject 상속 클래스와 System.Reflection.ReflectionTypeLoadException 예외 [4]파일 다운로드1
10900정성태2/19/201622038.NET Framework: 548. Linq는 결국 메서드 호출! [3]파일 다운로드1
10899정성태2/17/201623340개발 환경 구성: 282. kernel32.dll, kernel32legacy.dll, api-ms-win-core-sysinfo-l1-2-0.dll [1]
... 106  107  108  109  110  111  112  113  114  115  116  117  118  119  [120]  ...