绕过DLL模拟三种方法及实现原理.pdfVIP

如何干掉dll模拟

说面:

Anti-Hook:Dll模拟,基本原理可以参面的文章.

1.CreateFile置-1(INVALID_HANDLE_VALUE)

当程序打开需要模拟的DLL时，程序返回就-1,则ZP不会继续模拟.

其中只模拟1个DLL的vb程序:MSVBVM60.DLL,不太适合此方法。

如果把壳准备模拟的DLL，全部返回-1的话，则会提示:

2.模拟地址换算.

这个方法相对来说是最的了,需要判断:

1.原始dll的基址

2.模拟后的基址

3.模拟后的地址.

4.原始地址(?)

两个API:

CreateFileA，VirtualAlloc

原始地址=(模拟后的地址-模拟后的基址)+原始dll的基址

3.清掉模拟数

1.bpCreateFileA,中断

如何干掉dll模拟

面说：

Anti‑Hook：Dll模拟，基本原理可以参面的文章。

1.创建文件置‑1(INVALID_HANDLE_VALUE)

当程序打开需要模拟的DLL时，程序返回就‑1，则ZP不会继续模拟。其

中只模拟1个DLL的vb程序：MSVBVM60.DLL，不太适合此方法。

如果把壳准备模拟的DLL，全部返回‑1的话，底部提示：

2.模拟地址换算。

这个方法相对来说是最的了，需要判断：

1.原始dll的基址

2.模拟后的基址

3.模拟后的地址。

4.原始地址(?)

两个API：CreateFileA、

VirtualAlloc

原始地址(模拟后的地址‑模拟后的址)+原始dll的址

3.清掉模拟数1.bp

CreateFileA,中断

2.bpGetModuleHandleA,中断1次返回

(如果模拟的DLL只有1个的话，第一步判断模拟是模拟什么DLL后，重载程序.bp

GetModuleHandleA,这个过程中会中断很多次，才能返回)。

3.返回后,向上移动几行,这里就是比较了

2.bpGetModuleHandleA,中断1次返回

（如果模拟的DLL只有1个的话，第一步判断模拟是模拟什么DLL后，重载程序.bp

GetModuleHandleA，这个过程中会中断很多次，才能返回）。

3.返回后，移动几行，这里就是比较了

4.重载程序，中断到比较地址

5.00A22A2B修改为0，这里是循环次数(模拟数)

4.重载程序，中断到比较地址

5.00A22A2B修改为0,这里是循环次数(模拟数)