且构网

分享程序员开发的那些事...
且构网 - 分享程序员编程开发的那些事
您所在的位置：首页 > ring0检测隐藏进程

ring0检测隐藏进程

更新时间：2022-08-28 15:17:21


//网上得到一篇好文章 Ring0下搜索内存枚举隐藏进程 ，但是拿里面的代码来使用的时候发现并没有太多效果
//于是修改之，终于实现了最初的目标
//由于直接搜索内存,跟系统调度没什么关系,所以能够枚举到各种方法隐藏的进程 包括断链、抹PspCidTable... 
//甚至能枚举到已经"死掉"的进程,本程序通过进程的ExitTime来判断进程是不是已经结束
//除非能够把EProcess结构修改掉，但这个实现难度可能比较大，不知有没有哪位大侠试过（PID我修改过），欢迎讨论
//
//作者:堕落天才
//时间:2007年5月10日
//参考: uty  Ring0下搜索内存枚举隐藏进程 http://www.cnxhacker.net/Article/show/3412.html
//下面代码在XP SP2测试通过
ring0检测隐藏进程#include<ntddk.h>
ring0检测隐藏进程
ring0检测隐藏进程///////////////////////////不同的windows版本下面的偏移值不同
ring0检测隐藏进程#define  EPROCESS_SIZE       0x25C //EPROCESS结构大小
ring0检测隐藏进程
ring0检测隐藏进程#define  PEB_OFFSET          0x1B0
ring0检测隐藏进程#define  FILE_NAME_OFFSET    0x174
ring0检测隐藏进程#define  PROCESS_LINK_OFFSET 0x088
ring0检测隐藏进程#define  PROCESS_ID_OFFSET   0x084
ring0检测隐藏进程#define  EXIT_TIME_OFFSET    0x078
ring0检测隐藏进程
ring0检测隐藏进程#define  OBJECT_HEADER_SIZE  0x018
ring0检测隐藏进程#define  OBJECT_TYPE_OFFSET  0x008
ring0检测隐藏进程
ring0检测隐藏进程#define PDE_INVALID 2 
ring0检测隐藏进程#define PTE_INVALID 1 
ring0检测隐藏进程#define VALID 0 
ring0检测隐藏进程
ring0检测隐藏进程
ring0检测隐藏进程ULONG     pebAddress;         //PEB地址的前半部分
ring0检测隐藏进程PEPROCESS pSystem;            //system进程
ring0检测隐藏进程ULONG     pObjectTypeProcess; //进程对象类型
ring0检测隐藏进程
ring0检测隐藏进程ULONG   VALIDpage(ULONG addr) ;  //该函数直接复制自 Ring0下搜索内存枚举隐藏进程
ring0检测隐藏进程BOOLEAN IsaRealProcess(ULONG i); //该函数复制自 Ring0下搜索内存枚举隐藏进程
ring0检测隐藏进程VOID    WorkThread(IN PVOID pContext);
ring0检测隐藏进程ULONG   GetPebAddress();          //得到PEB地址前半部分
ring0检测隐藏进程VOID    EnumProcess();            //枚举进程
ring0检测隐藏进程VOID    ShowProcess(ULONG pEProcess); //显示结果
ring0检测隐藏进程
ring0检测隐藏进程VOID    OnUnload(IN PDRIVER_OBJECT DriverObject)
ring0检测隐藏进程{
ring0检测隐藏进程}
ring0检测隐藏进程NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)
ring0检测隐藏进程{
ring0检测隐藏进程  HANDLE hThread; 
ring0检测隐藏进程
ring0检测隐藏进程  DriverObject -> DriverUnload = OnUnload;
ring0检测隐藏进程
ring0检测隐藏进程  pSystem    = PsGetCurrentProcess();
ring0检测隐藏进程  pebAddress = GetPebAddress();
ring0检测隐藏进程  pObjectTypeProcess = *(PULONG)((ULONG)pSystem - OBJECT_HEADER_SIZE +OBJECT_TYPE_OFFSET);  
ring0检测隐藏进程
ring0检测隐藏进程  PsCreateSystemThread(&hThread, 
ring0检测隐藏进程    (ACCESS_MASK)0, 
ring0检测隐藏进程    NULL, 
ring0检测隐藏进程    (HANDLE)0, 
ring0检测隐藏进程    NULL, 
ring0检测隐藏进程    WorkThread, 
ring0检测隐藏进程    NULL ); 
ring0检测隐藏进程
ring0检测隐藏进程  return STATUS_SUCCESS;
ring0检测隐藏进程}
ring0检测隐藏进程//////////////////////////////////////////////
ring0检测隐藏进程VOID WorkThread(IN PVOID pContext) 
ring0检测隐藏进程{ 
ring0检测隐藏进程  EnumProcess();
ring0检测隐藏进程  PsTerminateSystemThread(STATUS_SUCCESS);  
ring0检测隐藏进程}
ring0检测隐藏进程////////////////////////////////////////////////////////
ring0检测隐藏进程ULONG  GetPebAddress()
ring0检测隐藏进程{
ring0检测隐藏进程  ULONG Address;
ring0检测隐藏进程  PEPROCESS pEProcess;
ring0检测隐藏进程
ring0检测隐藏进程        //由于system进程的peb总是零 我们只有到其他进程去找了
ring0检测隐藏进程  pEProcess = (PEPROCESS)((ULONG)((PLIST_ENTRY)((ULONG)pSystem + PROCESS_LINK_OFFSET))->Flink - PROCESS_LINK_OFFSET);
ring0检测隐藏进程  Address   = *(PULONG)((ULONG)pEProcess + PEB_OFFSET);
ring0检测隐藏进程
ring0检测隐藏进程  return (Address & 0xFFFF0000);  
ring0检测隐藏进程}
ring0检测隐藏进程///////////////////////////////////////////////////////
ring0检测隐藏进程VOID EnumProcess()
ring0检测隐藏进程{
ring0检测隐藏进程  ULONG  uSystemAddress = (ULONG)pSystem;
ring0检测隐藏进程  ULONG  i;
ring0检测隐藏进程  ULONG  Address;
ring0检测隐藏进程  ULONG  ret;
ring0检测隐藏进程
ring0检测隐藏进程  DbgPrint("-------------------------------------------");
ring0检测隐藏进程  DbgPrint("EProcess    PID    ImageFileName");
ring0检测隐藏进程  DbgPrint("---------------------------------");
ring0检测隐藏进程  
ring0检测隐藏进程
ring0检测隐藏进程  for(i = 0x80000000; i < uSystemAddress; i += 4){//system进程的EPROCESS地址就是最大值了
ring0检测隐藏进程    ret = VALIDpage(i); 
ring0检测隐藏进程    if (ret == VALID){ 
ring0检测隐藏进程      Address = *(PULONG)i;
ring0检测隐藏进程      if (( Address & 0xFFFF0000) == pebAddress){//每个进程的PEB地址都是在差不多的地方，地址前半部分是相同的       
ring0检测隐藏进程        if(IsaRealProcess(i)){ 
ring0检测隐藏进程          ShowProcess(i - PEB_OFFSET);  
ring0检测隐藏进程           i += EPROCESS_SIZE;                
ring0检测隐藏进程        } 
ring0检测隐藏进程      } 
ring0检测隐藏进程    }else if(ret == PTE_INVALID){ 
ring0检测隐藏进程      i -=4; 
ring0检测隐藏进程      i += 0x1000;//4k 
ring0检测隐藏进程    }else{ 
ring0检测隐藏进程      i-=4; 
ring0检测隐藏进程      i+= 0x400000;//4mb 
ring0检测隐藏进程    } 
ring0检测隐藏进程  }
ring0检测隐藏进程
ring0检测隐藏进程  ShowProcess(uSystemAddress);//system的PEB总是零 上面的方法是枚举不到的 不过我们用PsGetCurrentProcess就能得到了
ring0检测隐藏进程  DbgPrint("-------------------------------------------");
ring0检测隐藏进程  
ring0检测隐藏进程}
ring0检测隐藏进程/////////////////////////////////////////////////////////
ring0检测隐藏进程VOID    ShowProcess(ULONG pEProcess)
ring0检测隐藏进程{
ring0检测隐藏进程  PLARGE_INTEGER ExitTime;
ring0检测隐藏进程  ULONG PID;
ring0检测隐藏进程  PUCHAR pFileName;
ring0检测隐藏进程  
ring0检测隐藏进程  ExitTime = (PLARGE_INTEGER)(pEProcess + EXIT_TIME_OFFSET);  
ring0检测隐藏进程  if(ExitTime->QuadPart != 0) //已经结束的进程的ExitTime为非零
ring0检测隐藏进程    return ;
ring0检测隐藏进程
ring0检测隐藏进程  PID = *(PULONG)(pEProcess + PROCESS_ID_OFFSET);
ring0检测隐藏进程  pFileName = (PUCHAR)(pEProcess + FILE_NAME_OFFSET);
ring0检测隐藏进程
ring0检测隐藏进程  DbgPrint("0x%08X  %04d   %s",pEProcess,PID,pFileName);
ring0检测隐藏进程}
ring0检测隐藏进程/////////////////////////////////////////////////////////////
ring0检测隐藏进程ULONG VALIDpage(ULONG addr) 
ring0检测隐藏进程{ 
ring0检测隐藏进程  ULONG pte; 
ring0检测隐藏进程  ULONG pde; 
ring0检测隐藏进程  
ring0检测隐藏进程  pde = 0xc0300000 + (addr>>22)*4; 
ring0检测隐藏进程  if((*(PULONG)pde & 0x1) != 0){ 
ring0检测隐藏进程    //large page 
ring0检测隐藏进程    if((*(PULONG)pde & 0x80) != 0){ 
ring0检测隐藏进程      return VALID; 
ring0检测隐藏进程    } 
ring0检测隐藏进程    pte = 0xc0000000 + (addr>>12)*4; 
ring0检测隐藏进程    if((*(PULONG)pte & 0x1) != 0){ 
ring0检测隐藏进程      return VALID; 
ring0检测隐藏进程    }else{ 
ring0检测隐藏进程      return PTE_INVALID; 
ring0检测隐藏进程    } 
ring0检测隐藏进程  } 
ring0检测隐藏进程  return PDE_INVALID; 
ring0检测隐藏进程} 
ring0检测隐藏进程////////////////////////////////////////////////////////////////
ring0检测隐藏进程BOOLEAN IsaRealProcess(ULONG i) 
ring0检测隐藏进程{ 
ring0检测隐藏进程  NTSTATUS STATUS; 
ring0检测隐藏进程  PUNICODE_STRING pUnicode; 
ring0检测隐藏进程  UNICODE_STRING Process; 
ring0检测隐藏进程  ULONG pObjectType; 
ring0检测隐藏进程  ULONG ObjectTypeAddress; 
ring0检测隐藏进程  
ring0检测隐藏进程  if (VALIDpage(i- PEB_OFFSET) != VALID){ 
ring0检测隐藏进程    return FALSE; 
ring0检测隐藏进程  } 
ring0检测隐藏进程
ring0检测隐藏进程  ObjectTypeAddress = i - PEB_OFFSET - OBJECT_HEADER_SIZE + OBJECT_TYPE_OFFSET ;
ring0检测隐藏进程  
ring0检测隐藏进程  if (VALIDpage(ObjectTypeAddress) == VALID){ 
ring0检测隐藏进程    pObjectType = *(PULONG)ObjectTypeAddress; 
ring0检测隐藏进程  }else{ 
ring0检测隐藏进程    return FALSE; 
ring0检测隐藏进程  } 
ring0检测隐藏进程  
ring0检测隐藏进程  if(pObjectTypeProcess == pObjectType){ //确定ObjectType是Process类型
ring0检测隐藏进程    return TRUE; 
ring0检测隐藏进程  } 
ring0检测隐藏进程  return FALSE; 
ring0检测隐藏进程
ring0检测隐藏进程} 
上一篇 : ：刷IP工具、刷IP软件的原理和工作过程下一篇 : 在Qt Creator的项目中添加头文件和库

相关阅读

推荐文章

网站首页网站地图Copyright © 2021-2022 且购网

免责声明：本站文章部分来源于互联网,如有侵权请联系站长,我们将在72小时内删除。