本文探讨了如何在Windows内核模式下实现进程隐藏。通过分析EPROCESS结构体，特别是其ActiveProcessLinks链表，可以找到并删除目标进程的链表节点，从而达到隐藏进程的目的。EPROCESS结构体中还包含了进程的PID（地址0x84）和进程名（地址0x174）。实现这一操作的关键在于内核调试和对系统数据结构的理解。
进程隐藏之内核实现
1、在内核模式下，系统为每个进程维护了一个EPROCESS结构体，系统所有的进程是通过EPROCESS结构体中的一个ActiveProcessLinks指向的双端链表连接起来的，通过winDBG内核调试工具就可以发现并获取其相对于EPROCESS结构体的地址(0x88)，这样我们可以通过遍历该循环链表找到我们的目的进程将其链表的节点删除即可隐藏该进程。（EPROCESS中进程PID相对地址为ox84
最低0.47元/天 解锁文章
扫一扫
1607
评论 1
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
添加红包
