C# - PEB를 조작해 로드된 DLL을 숨기는 방법
지난 글에서,
C# - PEB(Process Environment Block)를 통해 로드된 모듈 목록 열람
; https://www.sysnet.pe.kr/2/0/12101
로드된 DLL들이 PEB.Ldr.InMemoryOrderModuleList에 이중 연결 리스트로 보관되어 있다고 설명했었습니다. 그렇다면, 당연히 그 연결을 끊으면 로드된 DLL을 숨기는 것도 가능합니다.
간단하게 구현해 볼까요? ^^ 우선
_PEB, _PEB_LDR_DATA를 가져온 후,
// Install-Package KernelStructOffset
_PEB peb = EnvironmentBlockInfo.GetPeb();
_PEB_LDR_DATA ldrData = _PEB_LDR_DATA.Create(peb.Ldr);
해당 모듈의 연결 리스트 항목(_LDR_DATA_TABLE_ENTRY)을 구해,
_LDR_DATA_TABLE_ENTRY dllLink = ldrData.Find("ole32.dll");
흔하게 알려진 이중 링크드 리스트의 끊는 방법을 _LIST_ENTRY에 적용하시면 됩니다.
_LIST_ENTRY* pNext = (_LIST_ENTRY*)dllLink.Flink.ToPointer();
_LIST_ENTRY* pPrev = (_LIST_ENTRY*)dllLink.Blink.ToPointer();
IntPtr thisLink = pNext->Blink;
_LIST_ENTRY* thisItem = (_LIST_ENTRY*)thisLink.ToPointer();
thisItem->Blink = IntPtr.Zero;
thisItem->Flink = IntPtr.Zero;
pNext->Blink = new IntPtr(pPrev);
pPrev->Flink = new IntPtr(pNext);
끝입니다. ^^ 실제로 끊기 전과 후에 Process.GetCurrentProcess().Modules을 열람해 보면,
foreach (ProcessModule pm in Process.GetCurrentProcess().Modules)
{
if (pm.FileName.EndsWith("ole32.dll", StringComparison.OrdinalIgnoreCase) == true)
{
// ... 끊기 전에는 실행되지만, 끊은 후에는 실행되지 않음.
}
}
결과를 확인할 수 있습니다.
참고로, tasklist 같은 명령행 도구들도 PEB를 이용해 모듈을 열람한다는 것을 이번 실습을 통해 확인할 수 있습니다. 일례로 ole32.dll에 대한 연결을 끊기 전과 후의 출력을 비교할 수 있습니다.
// 끊기 전
C:\temp>tasklist /FI "PID eq 19328" /M
Image Name PID Modules
========================= ======== ============================================
HideModule.exe 17628 ntdll.dll, MSCOREE.DLL, KERNEL32.dll,
KERNELBASE.dll, ADVAPI32.dll, msvcrt.dll,
sechost.dll, RPCRT4.dll, mscoreei.dll,
SHLWAPI.dll, combase.dll, ucrtbase.dll,
bcryptPrimitives.dll, GDI32.dll,
win32u.dll, gdi32full.dll, msvcp_win.dll,
USER32.dll, IMM32.DLL, kernel.appcore.dll,
VERSION.dll, clr.dll, ucrtbase_clr0400.dll,
VCRUNTIME140_CLR0400.dll, psapi.dll,
mscorlib.ni.dll, ole32.dll, clrjit.dll,
System.ni.dll
// 끊은 후
C:\temp>tasklist /FI "PID eq 19328" /M
Image Name PID Modules
========================= ======== ============================================
HideModule.exe 19328 ntdll.dll, MSCOREE.DLL, KERNEL32.dll,
KERNELBASE.dll, ADVAPI32.dll, msvcrt.dll,
sechost.dll, RPCRT4.dll, mscoreei.dll,
SHLWAPI.dll, combase.dll, ucrtbase.dll,
bcryptPrimitives.dll, GDI32.dll,
win32u.dll, gdi32full.dll, msvcp_win.dll,
USER32.dll, IMM32.DLL, kernel.appcore.dll,
VERSION.dll, clr.dll,
VCRUNTIME140_CLR0400.dll,
ucrtbase_clr0400.dll, psapi.dll,
mscorlib.ni.dll, clrjit.dll, System.ni.dll
반면 Sysinternals 등의 도구(listdlls.exe나 process explorer.exe)에서는 PEB의 InMemoryOrderModuleList를 사용하지 않으므로 모든 DLL들이 열거됩니다.
이쯤에서 한 가지 더 설명해야 하는데 ^^ 모듈 목록은 PEB.Ldr.InMemoryOrderModuleList뿐만 아니라 PEB.Ldr.InLoadOrderModuleList에도 보관하고 있습니다. (원래는 필드 이름이 의미하는 대로 구분이 있었던 것 같지만 Windows 10에서 테스트해 보면 목록 순서가 동일하게 출력됩니다.) 따라서 좀 더 잘 숨기고 싶다면 InLoadOrderModuleList에서도 연결을 끊어주는 작업이 필요합니다.
현재 이러한 기능을 추가해 KernelStructOffset을 업데이트했고 따라서 다음과 같은 식의 코드로 링크 연결을 끊거나 재연결할 수 있습니다.
_PEB peb = EnvironmentBlockInfo.GetPeb();
_PEB_LDR_DATA ldrData = _PEB_LDR_DATA.Create(peb.Ldr);
string moduleName = "ole32.dll";
FindModules(moduleName);
DllOrderLink hiddenModuleLink = null;
try
{
hiddenModuleLink = ldrData.HideDLL(moduleName);
FindModules(moduleName);
}
finally
{
if (hiddenModuleLink != null)
{
ldrData.UnhideDLL(hiddenModuleLink);
}
}
또한 InLoadOrderModuleList, InMemoryOrderModuleList 필드의 목록을 다음의 코드로 열람할 수 있습니다.
foreach (var item in ldrData.EnumerateLoadOrderModules())
{
Console.WriteLine("\t" + item.FullDllName.GetText());
}
foreach (var item in ldrData.EnumerateMemoryOrderModules())
{
Console.WriteLine("\t" + item.FullDllName.GetText());
}
이 글의 완전한 예제 코드는 github에 올려 두었습니다.
DotNetSamples/WinConsole/PEFormat/HideModule/
; https://github.com/stjeong/DotNetSamples/tree/master/WinConsole/PEFormat/HideModule
[이 글에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]