Love 梦想(原创) SSDT HOOK技术轻松让最新版冰刃、XueTr失效

Love 梦想 · 发表于 2012-11-21 03:11:04

马上注册，结交更多好友，享用更多功能^_^

您需要登录才可以下载或查看，没有账号？立即注册

x

   刚开始学驱动，成功HOOK NtOpenProces 现在本想试试HOOK NtQuerySystemInformation，没想打它的结构N多N长，也让我很惊讶，这个API居然能获取或者设置超过50多种的信息。

   参考网上的一些代码，看的我晕头转向的..也没点解释，而且也没法编译...总算搞清楚进程信息是以链表的形式存储数据的。虽然没学过链表，但也大概有所了解。在做实验过程中，编译出错N次，系统蓝屏了N次，总算完成也理解了。

   在这个过程中发现一些有趣的事情，例如，网上大部分代码都是HOOK 这个API来实现进程隐藏，其实还可以恶搞进程信息。最简单的就是修改要保护进程的PID了。例如：Explorer.exe 的进程PID 是1203，那么我就可以修改成1234，这样任务管理器也就获取到假的 PID 。任何对进程操作的前提条件是能获取到它的PID，现在PID被修改，结束进程自然也无法成功了。原本想修改成其他的进程的PID，例如，任务管理器的PID是1860，它要结束我们要保护的进程1203，那么我们就把 1203修改成它的PID1860，这就变成任务管理器自己结束自己了。可惜，不知道为什么会失败。嘿嘿，虽然这个失败了，但是在处理链表数据的时候又有新发现，发现破坏链表结构，就会实现隐藏所有进程的进程信息，任务管理器看到的是一片空白，目前最新版的XueTr 看到的也是一篇空白，还有冰刃，一查看进程就立即报错。360任务管理器启动就立即报错。但是不知道什么原因居然能产生这种作用！据我所知，冰刃和XueTr貌似不是用常规的方法获取进程的。所以即使是HOOK NtQuerySystemInformation 移除该进程的所有信息也能被识别出来。那么它们应该不是调用NtQuerySystemInformation这个获取进程信息才对，现在我无意破坏NtQuerySystemInformation 的链表结构，居然能影响到它们，太奇怪了。
以下是截图。

后来经过自己改进，实现了隐藏指定进程，任务管理器可以显示其他的进程，冰刃和XueTr就无法获取进程。不过不稳定，任务管理器有时候会报错或者会显示出无名的进程但是PID的值却非常大。没法，不知道真正原因，所以这个问题也没法解决。
以下是成功的时候截的图：

psb (1).png

嘿嘿，正因为开始我对链表不太熟悉，所以在一次实验中无意破坏了链表的结构，就发现这个现象。哈哈~~~，当然也不能说这发现能跟冰刃和XueTr对抗了，因为采用SSDD HOOK，所以它们很容易就能发现。至于360，倒也没去测试过，首先加载驱动这一步就得费很多心思了。
以下是SYS、exe完整源码：方便日后复习之用。

郁闷、每次发帖的时候总是受长度限制.......

QQ截图20121121031744.png

完整源码

游客，如果您要查看本帖隐藏内容请回复

coffeemlx · 发表于 2012-11-21 09:06:15

谢谢楼主提供分享。

五月跳回家 · 发表于 2012-11-21 09:20:54

膜拜大牛啊

陈贱伟 · 发表于 2012-11-21 09:47:02

0000000000000

因為·有你 · 发表于 2012-11-21 10:10:56

学习下吧，多谢分享了

衣冠者禽兽也 · 发表于 2012-11-21 11:01:47

:o:o:o:o:o:o:o:o:o专业潜水队

Exc.Spirit · 发表于 2012-11-22 11:12:49

感谢分享谢谢啊

安静的肖邦、 · 发表于 2012-11-22 12:54:46

感谢分享哦亲

moroal · 发表于 2013-4-10 22:08:53

楼主厉害菜鸟学习了

ssky · 发表于 2013-4-17 18:35:48

强烈支持楼主ing……

ssky · 发表于 2013-4-17 18:42:08

强烈支持楼主ing……

diouf3 · 发表于 2013-4-17 19:05:53

学习一下，貌似没那么简单

小生我怕怕 · 发表于 2013-10-29 23:41:25

这个下来看看

kyyix · 发表于 2013-11-14 08:51:12

谢谢楼主，楼主太强大了啊。。

lzy5299487 · 发表于 2013-11-14 10:07:41

不错。。。。

白菜炒红萝卜 · 发表于 2013-11-14 10:36:29

{:1_1:} 好东西收藏

q0252 · 发表于 2014-1-20 14:58:39

谢谢楼主提供分享。

2004111 · 发表于 2014-1-27 10:54:02

路漫漫其修远兮，学习下

lchaoping · 发表于 2014-2-7 17:27:58

谢谢楼主提供分享

liujichao · 发表于 2014-2-7 18:10:51

好东西看看

账号		自动登录	找回密码
密码			立即注册

[技术交流] Love 梦想(原创) SSDT HOOK技术轻松让最新版冰刃、XueTr失效

马上注册，结交更多好友，享用更多功能^_^