13）ring0检测隐藏进程.docxVIP

土木工程建筑项目类经典参考文献

土木工程建筑项目类经典参考文献

标题:【原创】ring0检测隐藏进程

作者:堕落天才

时间:2007-05-10,13:28

链接:/showthread.php?t=44243

//网上得到一篇好文章?Ring0下搜索内存枚举隐藏进程?，但是拿里面的代码来使用的时候发现并没有太多效果

//于是修改之，终于实现了最初的目标

//由于直接搜索内存,跟系统调度没什么关系,所以能够枚举到各种方法隐藏的进程?包括断链、抹PspCidTable...?

//甚至能枚举到已经死掉的进程,本程序通过进程的ExitTime来判断进程是不是已经结束

//除非能够把EProcess结构修改掉，但这个实现难度可能比较大，不知有没有哪位大侠试过（PID我修改过），欢迎讨论

//

//作者:堕落天才

//时间:2007年5月10日

//参考:?uty??Ring0下搜索内存枚举隐藏进程?/Article/show/3412.html

//下面代码在XP?SP2测试通过

#includentddk.h

///////////////////////////不同的windows版本下面的偏移值不同

#define??EPROCESS_SIZE???????0x25C?//EPROCESS结构大小

#define??PEB_OFFSET??????????0x1B0

#define??FILE_NAME_OFFSET????0x174

#define??PROCESS_LINK_OFFSET?0x088

#define??PROCESS_ID_OFFSET???0x084

#define??EXIT_TIME_OFFSET????0x078

#define??OBJECT_HEADER_SIZE??0x018

#define??OBJECT_TYPE_OFFSET??0x008

#define?PDE_INVALID?2?

#define?PTE_INVALID?1?

#define?VALID?0?

ULONG?????pebAddress;?????????//PEB地址的前半部分

PEPROCESS?pSystem;????????????//system进程

ULONG?????pObjectTypeProcess;?//进程对象类型

ULONG???VALIDpage(ULONG?addr)?;??//该函数直接复制自?Ring0下搜索内存枚举隐藏进程

BOOLEAN?IsaRealProcess(ULONG?i);?//该函数复制自?Ring0下搜索内存枚举隐藏进程

VOID????WorkThread(IN?PVOID?pContext);

ULONG???GetPebAddress();??????????//得到PEB地址前半部分

VOID????EnumProcess();????????????//枚举进程

VOID????ShowProcess(ULONG?pEProcess);?//显示结果

VOID????OnUnload(IN?PDRIVER_OBJECT?DriverObject)

{

}

NTSTATUS?DriverEntry(IN?PDRIVER_OBJECT?DriverObject,IN?PUNICODE_STRING?RegistryPath)

{

??HANDLE?hThread;?

??DriverObject?-?DriverUnload?=?OnUnload;

??pSystem????=?PsGetCurrentProcess();

??pebAddress?=?GetPebAddress();

??pObjectTypeProcess?=?*(PULONG)((ULONG)pSystem?-?OBJECT_HEADER_SIZE?+OBJECT_TYPE_OFFSET);??

??PsCreateSystemThread(hThread,?

????(ACCESS_MASK)0,?

????NULL,?

????(HANDLE)0,?

????NULL,?

????WorkThread,?

????NULL?);?

??return?STATUS_SUCCESS;

}

//////////////////////////////////////////////

VOID?WorkThread(IN?PVOID?pContext)?

{?

??EnumProcess();

??PsTerminateSystemThread(STATUS_SUCCESS);??

}

////////////////////////////////