SSDThook 实现进程隐藏三【DOC精选】.docVIP

进程隐藏与进程保护（SSDT Hook 实现）（三） 文章目录： ????????????????? 1. 引子： 2. 获取当前系统下所有进程： 3. 服务管理（安装，启动，停止，卸载）： 4. 应用程序和内核程序通信： 5. 小结： ???????????????? 1. 引子： ????????????????????????? 关于这个 SSDT Hook 实现进程隐藏和进程保护呢，这是最后一篇博文了， 在文章的结尾处呢你可以下载到整个项目的实例程序以及代码， 程序可以在 XP、Server、Win7 上运行的，当然我是说的 32 位操作系统。??????? ?????????????????? 《进程隐藏与进程保护(SSDT Hook 实现)(一)》呢把 SSDT Hook 的原理说得差不多了， 博文地址：/BoyXiao/archive/2011/09/03/2164574.html 《进程隐藏与进程保护(SSDT Hook 实现)(二)》则把 SSDT Hook 的实现说得差不多了， 博文地址：/BoyXiao/archive/2011/09/04/2166596.html ????????????? 这一篇博文介绍的则是在 Ring3 下编写 MFC 应用程序，并且让应用程序与内核程序通信， 即由应用程序将需要隐藏的进程或者是需要保护的进程的 PID 传递给内核程序， 然后在内核程序中就会将传递进来的这个 PID 进行隐藏或者保护 ~ 在这里再给出这个应用程序的一张截图： ???????? ???????????????? 2. 获取当前系统下所有进程： ????????????????? 前面提到过，要想获取到系统下的所有进程，有三种方法， 第一种即是使用 ToolHelp 来获取， 第二种则是使用 PSAPI 来获取， 第三种则是使用 ntdll.dll 中的未文档化的 NtQuerySystemInformation 之类的 API 来获取(比较麻烦)。 而在这里我使用最简单的方式，即通过 PSAPI 中的 EnumProcesses 这个 API 来获取， EnumProcesses API 可以获取到当前系统下所有进程的 PID，并且将 PID 存放在作为输出参数的数组当中， 其原型如下（可以看 MSDN）： 1: BOOL WINAPI EnumProcesses( 2: __out DWORD* pProcessIds, 3: __in DWORD cb, 4: __out DWORD* pBytesReturned 5: ); 6: ? ????? 代码中使用(将获取到所有的 PID，然后将 PID 保存到 vector 容器中)： 1: //遍历当前所有的进程，并且将进程 ID 填充到容器 vectorPID 中 2: void CSSDTProcessDlg::FillPIDVector() 3: { 4: DWORD dwPIDArray[MAX_PROCESS_COUNT]; 5: DWORD dwNeededBytes; 6: DWORD dwProcCount; 7: ? 8: dwNeededBytes = 0; 9: dwProcCount = 0; 10: memset(dwPIDArray, 0, sizeof(DWORD) * MAX_PROCESS_COUNT);为什么不sizeof(dwPIDArray)呢？ //2,PID保存在数组中 11: if(NULL != EnumProcesses(dwPIDArray, sizeof(dwPIDArray), dwNeededBytes)) 12: { 13: dwProcCount = dwNeededBytes / sizeof(DWORD); 14: } 15: ? //3,数组中PID排序 16: BubbleSort(dwPIDArray, dwProcCount); 17: ? 18: ClearVector();容器？ 19: for(int i=0; idwProcCount; i++) 20: { //PROCESS_BIND 自己定义的吗？ 21: PROCESS_BIN