基于内存搜索的进程检测方法

搜索内存检测进程的原理
1） 问题的提出——进程检测
Rootkit等后门为了在系统中长期驻留，需要隐藏相应的信息。这些信息包括自启动项、文件、进程、模块、端口、注册表、服务等。其中，以进程隐藏特别突出（因为用户经常会打开任务管理器看看是不是有异常的进程在自己的机器上运行）。
隐藏进程的方法有多种，例如挂钩NtQuerySystemInformation函数；从内核EPROCESS结构的ActiveProcessLinks等双向链表上摘除自身；从csrss.exe进程的句柄表上摘除自身；从PspCidTable上摘除自身等等。如果Rootkit用到了其中的某种方法，那么基于此的检测将会失败。比如，hxdef100（黑客守护者）挂钩NtQuerySystemInformation实现隐藏，如果想通过NtQuerySystemInformation函数来获取全部进程信息就会失败。再比如，FU_rootkit通过从内核EPROCESS结构的ActiveProcessLinks双向链表上摘除自身实现隐藏，如果想通过遍历该链表来检测隐藏的FU_rootkit就会失败。现在问题来了，如果上面隐藏进程的方法都用到了，该怎么检测呢？
2）解决的思路之一——搜索内存
在Windows系统中，进程由内存空间、进程打开的各种对象和进程中运行的线程所组成。线程仅仅是一个执行上下文，系统调度的最基本单位，但每一个线程的运行都必须依附（attach）一个进程。
在Windbg中可以使用dt命令来查看线程ETHREAD的结构，命令格式为“dt _ETHREAD 线程地址”。例如：
kd> dt _ETHREAD 8238F3B8
nt!_ETHREAD
+0x000 Tcb              : _KTHREAD
+0x1c0 CreateTime       : _LARGE_INTEGER 0xe4d5cd5`36b71830
……
+0x21c DeviceToVerify   : (null)
+0x220 ThreadsProcess   : 0x8234f718 _EPROCESS
+0x224 StartAddress     : 0x7c810867
+0x228 Win32StartAddress : 0x010027f2
……
+0x254 ForwardClusterOnly : 0 ''
+0x255 DisablePageFaultClustering : 0 ''
在线程控制块的偏移0