[翻译]检测隐藏进程.docVIP

Detection of the hidden processes 转自:WASM.RU http://wasm.ru/article.php?article=hiddndt 俄文翻译:kao /viewtopic.php?t=4685 Translation of hxxp://wasm.ru/article.php?article=hiddndt I was unable to find any policy about article translations on wasm.ru. If admins of wasm.ru or author feels that some rights were violated, please let me or board admins know and this translation will be removed promptly. My apologies for rather crude English language, both English and Russian are not my native languages. If anyone wishes to correct some grammatical or factual mistakes, he is welcome to do so. Source codes will not be translated. They are available at the original site. 中文翻译: prince 后期校验：firstrose E-mail: cracker_prince@163.com 说明：在看雪学院[外文翻译区]（）看到linhanshi版主的转贴：/showthread.php?s=threadid=20076，觉得是非常好的文章，顺手翻译一下，当作E文学习，原作者、俄文翻译者kao和各位看官如感觉任何不妥，尽可拍砖，因为小弟E文本来就是烂，哈哈。 注意：Ring 0级的检测方法比较难懂，关于这个部分我的翻译是不可靠的，当你看到进程线程表、通过句柄查找对象指针和PspCidTable表的细节的时候有可能会看不懂（sorry for my bad English），怎么办？推荐参考JIURL写的《JIURL玩玩Win2k进程线程篇 HANDLE_TABLEJIURL玩玩Win2k进程线程篇 HANDLE_TABLE/document/JiurlPlayWin2k/PsHandleTable.htm） 感谢：firstrose, JIURL, linhanshi. As只是表示原因而已 其实是说，目前的程序都用了某种特定的方法以探测隐藏进程 参考译文：这样，捆绑在里面的程序就可以足够安全地发挥作用。 我觉得是商业性的Rootkit 满足上面列出的所有需求 方法？ 搜索函数应该返回的数据 我看他实际是想教读者检查进程的ABC。另外，他可能是要说“很可能什么都发现不了”。他用的是improbable，而不是impossible 打开的句柄列表 是do not，不是can not 表示原因！ 你不觉得“可能已经”更加通一点？ 通过列举系统中注册的所有窗口并且依次对其调用GetWindowThreadProcessId，就有可能构建一个拥有窗口的进程的列表。 过分相信 调用入口 在win2000下， 使用SetWindowsHookEx对可访问的进程作DLL注入并用此DLL对进程做进一步的分析 隐藏得很烂的 这个是并列关系的说 不是通过……创建，而是直接使用了…… 进程调度结构？ 是不是说，在偏移ActiveProcessLinks处的BLink 这里应该是说，在不同的函数中！ 此句未翻 不是完全 在LEA指令后有一个具有32位相对偏移地址的指令 实例 即将被删除/终止 对隐藏进程的错误检测 蓝屏 总是在将被终止的进程的上下文环境中被调用 查MSDN会发现，可能是 可调度项 的意思 应该是上文的work item 只要做到后面的就可以了 是不是说，在内核空间之外呢？ section是节的意思吧 除了PsActiveProcesses以外还存在一个进程被OpenProcess使用 以安全的方式 这个方法可以用来读/写那些无法以所需要的权限打开的文件 它有什么用 句柄由三个部分组成，而这三部分由三级对象表所管理（索引） 锁定一个项 这个很费解。按照JIURI的说法，低3位一定是0。这里的Set明显是说非0，那就很奇怪了。为什么要等非0？我想了想，可能是说：如果这个ENTRY有效（set），那么低位是被clear的。但是下面就不好解释了。或者，其实他是想说，如果位set，那么这个entry