【旧文章搬运】修改PEB,断链隐藏模块成功

原文发表于百度空间，2008-7-26
==========================================================================

继续实践之前的想法，就是断掉如下这个结构中的双向链表：

typedef struct _LDR_MODULE

{

LIST_ENTRY          InLoadOrderModuleList;

LIST_ENTRY          InMemoryOrderModuleList;

LIST_ENTRY          InInitializationOrderModuleList;

void*               BaseAddress;

void*               EntryPoint;

ULONG               SizeOfImage;

UNICODE_STRING   FullDllName;

UNICODE_STRING      BaseDllName;

ULONG               Flags;

SHORT               LoadCount;

SHORT               TlsIndex;

HANDLE              SectionHandle;

ULONG               CheckSum;

ULONG               TimeDateStamp;

} LDR_MODULE, *PLDR_MODULE;

断开之后，凡使用Module32First()/Module32Next枚举模块的就找不到被隐藏的模块了．
不过这样隐藏好像效果太差，没什么实用价值，最起码比起修改映像名称的效果要差多了～
下面是用WSysCheck查看的效果图（隐藏了kernel32.dll）：

断链之前：

断链之后：