基于隐藏可执行镜像并注入dll保护镜像代码的方法

摘要

基于隐藏可执行镜像并注入dll保护镜像代码的方法，该方法包括以下步骤：1)将目标镜像在内存中解密；2)PE镜像的加载：装载程序所需要的dll文件，执行镜像重定位，最后执行OEP；3)检查exe模块的IAT是否被劫持；4)主动劫持LoadLibrary和LoadLibraryEx，对加载成果的dll镜像执行上述步骤3中的操作，如果判定没有异常，则执行第5步；5)劫持CreateProcess函数，并且在创建子进程同时，注入本保护dll；6)通过远程线程注入，在Ring3环境下注入被保护的目标进程，防止恶意加载器的线程注入；和7)建立一个优先度比较低的线程，做死循环检查，检查它是否属于Debugger加载，每一秒检查一次。