首页
社区
课程
招聘
[原创]进程隐藏对抗
发表于: 2025-7-15 21:29 9591

[原创]进程隐藏对抗

2025-7-15 21:29
9591

进程隐藏作用

1.使用户无法在任务管理器中看到进程

2.躲避安全软件的信息查询




进程隐藏有两种实现方式:

1.通过hook 查询进程api来过滤要保护的进程,例如ZwQuerySystemInformation;

2.是通过抹除系统结构中关于进程的信息,如断链EPROCESS中的ActiveProcessLinks(进程活跃链表)等;

第一种方法没啥好说的,哪个API查就hook哪个API,虽说都没啥用但文章主要描述第二种,还能熟悉熟悉内核结构。

断链实现:

在内核中很多数据使用_LIST_ENTRY,双向循环链表作为数据结构

首先要先了解EPROCESS,和KPROCESS两个重要的结构体; 每个windows进程在0环都有这样一个对应的结构体:

_EPROCESS的第一个成员是KPROCESS

其中在_EPROCESS我们需要关注的是

ActiveProcessLinks 进程活跃链表

SessionProcessLinks 会话链表

ObjectTable 私有句柄表

其中在_KPROCESS我们需要关注的是

ProcessListEntry 进程链表

想要隐藏进程把所在数据的链表进程断链即可

当然仅仅断链是不够的,因为操作系统还有一张全局句柄表PspCidTable,其中存储了线程和进程,我们还需要把我们的进程从全局句柄表中抹除,可以使用ExDestroyHandle

注:高版本对全局句柄表有加密




实验:

隐藏前DebugView 8404


[培训]Windows内核深度攻防:从Hook技术到Rootkit实战!

最后于 2025-11-26 10:19 被TkBinary编辑 ,原因: 公开技术,造福大家.无需点赞回复.
收藏
免费 229
支持
分享
最新回复 (173)
雪    币: 961
活跃值: (1821)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
2
2025-7-15 22:36
0
雪    币: 199
活跃值: (1008)
能力值: ( LV12,RANK:530 )
在线值:
发帖
回帖
粉丝
3
学习
2025-7-15 22:37
0
雪    币: 10
活跃值: (1304)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
学习
2025-7-16 16:24
0
雪    币: 4560
活跃值: (4144)
能力值: ( LV8,RANK:147 )
在线值:
发帖
回帖
粉丝
5
mark
2025-7-16 16:25
0
雪    币: 23
活跃值: (1214)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
V__
6
mark
2025-7-16 16:36
0
雪    币: 162
活跃值: (719)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
7
mark
2025-7-16 16:45
0
雪    币: 4511
活跃值: (4300)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
mark
2025-7-16 16:47
0
雪    币: 2815
活跃值: (12067)
能力值: (RANK:385 )
在线值:
发帖
回帖
粉丝
9
PspCidTable 隐藏后注意恢复.否则卡卡蓝屏.
2025-7-16 16:57
2
雪    币: 31
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
10
mark
2025-7-16 17:46
1
雪    币: 2410
活跃值: (6754)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
看看什么内容
2025-7-16 17:50
1
雪    币: 293
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
12
mark
2025-7-16 17:59
0
雪    币: 112
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
13
看看什么内容
2025-7-16 22:36
0
雪    币: 0
活跃值: (275)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
没看懂 要说内容
2025-7-16 22:54
0
雪    币: 2794
活跃值: (393)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
学习了
2025-7-17 08:19
0
雪    币: 824
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
16
学习了
2025-7-17 08:24
0
雪    币: 2303
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
17
学习学习,感谢分享                                     
2025-7-17 08:30
1
雪    币: 1116
活跃值: (1301)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
18
666学习一下
2025-7-17 08:53
0
雪    币: 26
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
19
看看
2025-7-17 09:29
0
雪    币: 238
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
20
m
2025-7-17 09:41
0
雪    币: 2646
活跃值: (7240)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
21
谢谢分享
2025-7-17 09:49
0
雪    币: 200
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
22
学习
2025-7-17 09:50
0
雪    币: 334
活跃值: (862)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
23
感谢分享学习了...
2025-7-17 09:52
0
雪    币: 11
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
24
666
2025-7-17 10:17
0
雪    币: 8558
活跃值: (5766)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
25
感谢分享
2025-7-17 10:49
0
游客
登录 | 注册 方可回帖
返回