Win64的强制卸载模块的问题。。。

tangptr@126.com · 发表于 2016-11-9 18:00:55

用ZwUnmapViewOfSection卸载模块时，模块卸载成功不过模块的信息还在LDR表里。。。
不知道啥问题，即便MmUnmapViewOfSection也没乱用。。。。。。
不知道是不是需要再把LDR摘了。

tangptr@126.com · 发表于 2016-11-10 09:45:14

补充一个点，我发现Win64AST也是一样，卸载掉了模块不假但模块信息还在链表上。。。。。。。。。。

Tesla.Angela · 发表于 2016-11-12 09:05:33

这个函数应该不负责清理LDR。

tangptr@126.com · 发表于 2016-11-12 14:16:59

Tesla.Angela 发表于 2016-11-12 09:05
这个函数应该不负责清理LDR。

与此同时它也不清理VAD。。。我把LDR都摘了，PCH跟我说有隐藏模块。。。

Tesla.Angela · 发表于 2016-11-12 23:43:36

tangptr@126.com 发表于 2016-11-12 14:16
与此同时它也不清理VAD。。。我把LDR都摘了，PCH跟我说有隐藏模块。。。

那就把VAD也清理了。代码参考GITHUB上的Windows memory hacking library工程。

账号		自动登录	找回密码
密码			加入我们