EPROCESS进程断链

最新推荐文章于 2024-07-25 11:55:38 发布

SR0ad

最新推荐文章于 2024-07-25 11:55:38 发布

阅读量2k

点赞数

分类专栏：驱动笔记

本文链接：https://blog.csdn.net/SR0ad/article/details/8108604

版权

本文介绍了作者在学习Windows驱动开发时，尝试通过断链EPROCESS结构来实现进程隐藏的过程。利用Windbg工具查看相关结构，如PEB、TEB和_RTL_USER_PROCESS_PARAMETERS，驱动在加载和卸载时表现稳定，未导致蓝屏。虽然explorer.exe进程在任务管理器中不可见，但通过其他工具如ARK仍能显示并突出标记，表明操作成功。作者计划进一步研究相关结构的更多可能性。

摘要由CSDN通过智能技术生成

本身今天说写《Windows驱动开发技术详解》第六章的笔记，但是发现第六章无非是字符串、文件、注册表，其实没有必要抄书，之前写了写笔记，也能够尝试写一点小函数练练手的，就想自己写点小例子记作笔记也是OK的。今天用Windbg的dt命令查看字符串结构的时候，顺带查询了EPROCESS结构，PEB，TEB，_RTL_USER_PROCESS_PARAMETERS这些结构。

kd> dt _EPROCESS
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER
   +0x078 ExitTime         : _LARGE_INTEGER
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId  : Ptr32 Void
   +0x088 ActiveProcessLinks : _LIST_ENTRY
   +0x090 QuotaUsage       : [3] Uint4B
   +0x09c QuotaPeak        : [3] Uint4B
   +0x0a8 CommitCharge     : Uint4B
   +0x0ac PeakVirtualSize  : Uint4B
   +0x0b0 VirtualSize      : Uint4B
   +0x0b4 SessionProcessLinks : _LIST_ENTRY
   +0x0bc DebugPort        : Ptr32 Void
   +0x0c0 ExceptionPort    : Ptr32 Void
   +0x0c4 ObjectTable      : Ptr32 _HANDLE_TABLE
   +0x0c8 Token            : _EX_FAST_REF
   +0x0cc WorkingSetLock   : _FAST_MUTEX
   +0x0ec WorkingSetPage   : Uint4B
   +0x0f0 AddressCreationLock : _FAST_MUTEX
   +0x110 HyperSpaceLock   : Uint4B
   +0x114 ForkInProgress   : Ptr32 _ETHREAD
   +0x118 HardwareTrigger  : Uint4B
   +0x11c VadRoot          : Ptr32 Void
   +0x120 VadHint          : Ptr32 Void
   +0x124 CloneRo