能力值：
( LV4，RANK：40 )
|
-
-
2 楼
枚举全盘文件 或者你大神过它驱动，要么从任务管理器跟他嘿嘿嘿
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
方法烦烦烦烦烦烦烦烦烦
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
通过EProcess
|
能力值：
( LV9，RANK：280 )
|
-
-
5 楼
说一个用驱动的方法（摘抄自https://www.0xaa55.com/forum.php?mod=viewthread&tid=1521&extra=page%3D1&page=1）：
PEPROCESS Process = NULL;
if (NT_SUCCESS(PsLookupProcessByProcessId(ProcessId, &Process)))
{
KAPC_STATE KApc;
KeStackAttachProcess((PRKPROCESS)Process, &KApc);
status = GetCurrentProcessName(ProcessName);
KeUnstackDetachProcess(&KApc);
ObDereferenceObject(Process);
}
NTSTATUS GetCurrentProcessName(PUNICODE_STRING ProcessName)
{
NTSTATUS status = STATUS_UNSUCCESSFUL;
PVOID ImageBase = PsGetProcessSectionBaseAddress(PsGetCurrentProcess());
PVOID SectionName = ExAllocatePool(NonPagedPool, ProcessName->MaximumLength + sizeof(MEMORY_SECTION_NAME));
if (!SectionName)
return status;
if (ImageBase && ZwQueryVirtualMemoryRoutine)
{
MEMORY_BASIC_INFORMATION BasicInfo;
status = ZwQueryVirtualMemoryRoutine(NtCurrentProcess(), ImageBase, MemoryBasicInformation, &BasicInfo, sizeof(BasicInfo), NULL);
if (NT_SUCCESS(status) && BasicInfo.Type == MEM_IMAGE)
{
status = ZwQueryVirtualMemoryRoutine(NtCurrentProcess(), ImageBase, MemorySectionName, SectionName, ProcessName->MaximumLength + sizeof(MEMORY_SECTION_NAME), NULL);
if (NT_SUCCESS(status))
{
RtlCopyUnicodeString(ProcessName, &((PMEMORY_SECTION_NAME)SectionName)->SectionFileName);
ExFreePool(SectionName);
return STATUS_SUCCESS;
}
}
}
ExFreePool(SectionName);
return status;
}
基本上过任何 正常的SSDT HOOK和Object回调保护
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
额，只限Ring3层，所以才棘手呢
|
能力值：
( LV4，RANK：50 )
|
-
-
7 楼
既然已经有了文件名称，那你就用ToolHelp32的方法来枚举进程啊，匹配一下PID不就行了
|
能力值：
( LV9，RANK：280 )
|
-
-
8 楼
用ZwQuerySystemInformation(SystemProcessInformation, 啊
PSYSTEM_PROCESS_INFORMATION里面不是有个UNICODE_STRING ImageName;吗
如果人家断链隐藏进程了你用ZwQuerySystemInformation枚举不到，那ring3就无解
|
能力值：
( LV8，RANK：130 )
|
-
-
9 楼
既然大门有守卫看守，没法硬闯进去，那就想办法正大光明进去。
------------------------------------------------------------------------
弄个dll想办法（DLL劫持、SetWindowsHookEx、AppInit_Dlls等等等）注入到进程进去，只要进去了，获取个全路径还是难事吗？最简单的如GetCommandLineW就行
|
能力值：
( LV9，RANK：280 )
|
-
-
10 楼
碰到那种勾自己LdrLoadDll拒绝加载dll的就无解了（大多数挂的作者应该不会这么做吧）
|
能力值：
( LV8，RANK：130 )
|
-
-
11 楼
即便拒绝也不敢随意乱拒绝吧
|
|
|
|
