搜索

[1127] 2020-10-01_[转载]Windows编程技术：进程伪装

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-16
2020-10-01_[转载]Windows编程技术：进程伪装 W i n d o w s 编 程 技 术 ： 进 程 伪 装 原 创   M i c r o P e s t   M i c r o P e s t   2 0 2 0 - 1 0 - 0 1         【 题 外 话 】 今 天 是 “ 国 庆 节 + 中 秋 节 ” 双 节 叠 合 的 好 日 子 ， 祝 愿 我 们 的 祖 国 繁 荣 昌 盛 。 看 到 “ 阿 塞 拜 疆   和   亚 美 尼 亚 ” 两 国 战 火 绵 绵 、 民 不 聊 生 ， 更 感 到 祖 国 的 安 定 团 结 局 面 来 之 不 易 ， 我 们 要 倍 加 珍 惜 。         这 几 天 工 作 较 忙 ， 基 本 在 单 位 连 轴 转 。 晚 上 值 班 时 有 点 时 间 ， 抽 空 完 成 了 这 一 篇 。 除 了 值 班 、 备 勤 、 突 发 情 况 外 ， 还 有 一 项 任 务 ， 要 写 一 个 浏 览 器 的 外 壳 ， 目 前 在 继 续 中 ， 准 备 这 个 国 庆 长 假 完 成 ， 静 候 佳 音 。         【 正 文 】 进 程 伪 装 ， 指 的 修 改 任 意 一 个 指 定 进 程 的 信 息 ， 是 它 的 信 息 在 系 统 中 的 显 示 是 另 一 个 进 程 的 信 息 ， 这 样 看 来 ， 指 定 的 进 程 就 像 是 被 伪 装 的 进 程 一 样 ， 因 为 进 程 信 息 相 同 ， 但 实 际 上 ， 它 还 是 原 来 的 进 程 ， 做 着 原 来 的 进 程 操 作 。         本 文 就 是 要 介 绍 进 程 伪 装 的 技 术 ， 实 现 在   3 2   位 系 统 和   6 4   位 系 统 上 的 进 程 伪 装 。 一 、 函 数 介 绍 一 、 函 数 介 绍 N t Q u e r y I n f o r m a t i o n P r o c e s s   函 数 ： 函 数 ： 获 取 指 定 进 程 的 信 息 。 获 取 指 定 进 程 的 信 息 。 函 数 声 明 1 .   2 .   3 .   4 .   5 .   6 .   7 .   参 数 P r o c e s s H a n d l e   [ i n ] 要 获 取 信 息 的 进 程 的 句 柄 。 P r o c e s s I n f o r m a t i o n C l a s s   [ i n ] 要 获 取 的 进 程 信 息 的 类 型 。 该 参 数 可 以 是 P R O C E S S I N F O C L A S S 枚 举 中 的 以 下 值 之 一 ： V A L U E M E A N I N G N T S T A T U S   W I N A P I   N t Q u e r y I n f o r m a t i o n P r o c e s s (         _ I n _             H A N D L E                       P r o c e s s H a n d l e ,         _ I n _             P R O C E S S I N F O C L A S S   P r o c e s s I n f o r m a t i o n C l a s s ,         _ O u t _           P V O I D                         P r o c e s s I n f o r m a t i o n ,         _ I n _             U L O N G                         P r o c e s s I n f o r m a t i o n L e n g t h ,         _ O u t _ o p t _   P U L O N G                       R e t u r n L e n g t h ) ;
P r o c e s s B a s i c I n f o r m a t i o n 检 索 指 向 P E B 结 构 的 指 针 ， 该 结 构 可 用 于 确 定 是 否 正 在 调 试 指 定 的 进 程 ， 以 及 系 统 用 于 标 识 指 定 进 程 的 唯 一 值 P r o c e s s D e b u g P o r t 获 取 作 为 进 程 调 试 器 的 端 口 号 的 D W O R D _ P T R 值 。 非 零 值 表 示 该 进 程 正 在 R i n g 3 调 试 器 的 控 制 下 运 行 P r o c e s s W o w 6 4 I n f o r m a t i o n 确 定 进 程 是 否 在 W O W 6 4 环 境 中 运 行 （ W O W 6 4 是 允 许 基 于 W i n 3 2 的 应 用 程 序 在 6 4 位 W i n d o w s 上 运 行 的 x 8 6 模 拟 器 ） P r o c e s s I m a g e F i l e N a m e 检 索 包 含 该 进 程 的 映 像 文 件 名 称 的 U N I C O D E _ S T R I N G 值 P r o c e s s B r e a k O n T e r m i n a t i o n 检 索 指 示 进 程 是 否 被 视 为 关 键 的 U L O N G 值 。 注 意 可 以 在 具 有 S P 3 的 W i n d o w s   X P 中 启 动 该 值 。 从 W i n d o w s   8 . 1 开 始 ， 应 该 使 用 I s P r o c e s s C r i t i c a l P r o c e s s S u b s y s t e m I n f o r m a t i o n 检 索 指 示 进 程 的 子 系 统 类 型 的 S U B S Y S T E M _ I N F O R M A T I O N _ T Y P E 值 。 P r o c e s s I n f o r m a t i o n 参 数 指 向 的 缓 冲 区 应 足 够 大 以 容 纳 单 个 S U B S Y S T E M _ I N F O R M A T I O N _ T Y P E 枚 举 V A L U E M E A N I N G P r o c e s s I n f o r m a t i o n   [ o u t ] 指 向 由 调 用 应 用 程 序 提 供 的 缓 冲 区 的 指 针 ， 函 数 写 入 请 求 的 信 息 。 所 写 信 息 的 大 小 取 决 于 P r o c e s s I n f o r m a t i o n C l a s s 参 数 的 数 据 类 型 ： P R O C E S S _ B A S I C _ I N F O R M A T I O N 当 P r o c e s s I n f o r m a t i o n C l a s s 参 数 为 P r o c e s s B a s i c I n f o r m a t i o n 时 ， P r o c e s s I n f o r m a t i o n 参 数 指 向 的 缓 冲 区 应 足 够 大 ， 以 容 纳 具 有 以 下 布 局 的 单 个 P R O C E S S _ B A S I C _ I N F O R M A T I O N 结 构 ： U n i q u e P r o c e s s I d 成 员 指 向 该 过 程 的 系 统 唯 一 标 识 符 。 最 好 使 用 G e t P r o c e s s I d 函 数 来 检 索 这 些 信 息 。 P e b B a s e A d d r e s s 成 员 指 向 P E B 结 构 。 该 结 构 的 其 他 成 员 保 留 供 操 作 系 统 内 部 使 用 。 1 .   2 .   3 .   4 .   5 .   6 .   7 .   P r o c e s s I n f o r m a t i o n L e n g t h   [ i n ] P r o c e s s I n f o r m a t i o n 参 数 指 向 的 缓 冲 区 的 大 小 （ 以 字 节 为 单 位 ） 。 R e t u r n L e n g t h   [ o u t ， o p t i o n a l ] 指 向 变 量 的 指 针 ， 其 中 函 数 返 回 所 请 求 信 息 的 大 小 。 如 果 函 数 成 功 ， 这 是 由 P r o c e s s I n f o r m a t i o n 参 数 指 向 缓 冲 区 的 信 息 的 大 小 ， 但 是 如 果 缓 冲 区 太 小 ， 这 是 成 功 接 收 信 息 所 需 的 最 小 缓 冲 区 大 小 。 返 回 值 该 函 数 返 回 一 个 N T S T A T U S 成 功 或 错 误 代 码 。 N T S T A T U S 错 误 代 码 的 形 式 和 意 义 在 D D K 中 提 供 的 N t s t a t u s . h 头 文 件 中 列 出 ， 并 在 D D K 文 档 中 介 绍 ， 内 核 模 式 驱 动 程 序 架 构 / 设 计 指 南 / 驱 动 程 序 编 程 技 术 / 日 志 记 录 错 误 。 t y p e d e f   s t r u c t   _ P R O C E S S _ B A S I C _ I N F O R M A T I O N   {         P V O I D   R e s e r v e d 1 ;         P P E B   P e b B a s e A d d r e s s ;         P V O I D   R e s e r v e d 2 [ 2 ] ;         U L O N G _ P T R   U n i q u e P r o c e s s I d ;         P V O I D   R e s e r v e d 3 ; }   P R O C E S S _ B A S I C _ I N F O R M A T I O N ;
注 意 N t Q u e r y I n f o r m a t i o n P r o c e s s 函 数 及 其 返 回 的 结 构 在 操 作 系 统 内 部 ， 并 可 能 会 从 一 个 版 本 的 W i n d o w s 更 改 为 另 一 个 版 本 。 为 了 保 持 应 用 程 序 的 兼 容 性 ， 最 好 使 用 P r o c e s s I n f o r m a t i o n C l a s s 参 数 描 述 中 提 到 的 公 共 函 数 。 如 果 您 使 用 N t Q u e r y I n f o r m a t i o n P r o c e s s ， 请 通 过 运 行 时 动 态 链 接 访 问 该 函 数 。 如 果 功 能 已 被 更 改 或 从 操 作 系 统 中 删 除 ， 这 将 使 您 的 代 码 有 机 会 正 常 响 应 。 但 签 名 变 更 可 能 无 法 检 测 。 此 功 能 没 有 关 联 的 导 入 库 。 您 必 须 使 用 L o a d L i b r a r y 和 G e t P r o c A d d r e s s 函 数 动 态 链 接 到 N t d l l . d l l 。 二 、 实 现 原 理 二 、 实 现 原 理         进 程 伪 装 的 原 理 不 是 很 复 杂 ， 就 是 修 改 指 定 进 程 的 进 程 环 境 块   P E B   中 的 进 程 路 径 以 及 命 令 行 信 息 ， 即 可 达 到 进 程 伪 装 的 效 果 。 具 体 实 现 原 理 分 析 如 下 ： 首 先 ， 我 们 根 据 进 程 的   P I D   号 打 开 指 定 进 程 ， 并 获 取 进 程 的 句 柄 。 然 后 ， 我 们 要 从 n t d l l . d l l 中 获 取   N t Q u e r y I n f o r m a t i o n P r o c e s s 函 数 的 导 出 地 址 ， 因 为 N t Q u e r y I n f o r m a t i o n P r o c e s s 函 数 没 有 关 联 导 入 库 ， 所 以 只 能 动 态 获 取 ， 这 个 函 数 是 这 个 程 序 功 能 实 现 的 关 键 步 骤 。 接 着 ， 使 用 N t Q u e r y I n f o r m a t i o n P r o c e s s 函 数 获 取 指 定 进 程 的 进 程 基 本 信 息 P R O C E S S _ B A S I C _ I N F O R M A T I O N ， 并 从 中 获 取 指 定 进 程 的 进 程 环 境 块 P E B 。 然 后 ， 我 们 就 可 以 根 据 进 程 环 境 块 中 的 P r o c e s s P a r a m e t e r s 获 取 指 定 进 程 的 R T L _ U S E R _ P R O C E S S _ P A R A M E T E R S 信 息 ， 因 为 P E B 的 路 径 信 息 、 命 令 行 信 息 存 储 在 这 个 结 构 体 中 。 最 后 ， 我 们 开 始 对 指 定 进 程 P E B 中 路 径 信 息 、 命 令 行 信 息 进 行 更 改 ， 实 现 进 程 伪 装 。 三 、 源 码 三 、 源 码 / /   修 改 指 定 进 程 的 进 程 环 境 块 P E B 中 的 路 径 和 命 令 行 信 息 ,   实 现 进 程 伪 装 1 .   2 .   3 .   4 .   5 .           t y p e d e f _ N t Q u e r y I n f o r m a t i o n P r o c e s s   N t Q u e r y I n f o r m a t i o n P r o c e s s   =   N U L L ; 6 .   7 .   8 .   9 .   1 0 .   1 1 .   1 2 .   1 3 .   1 4 .   B O O L   D i s g u i s e P r o c e s s ( D W O R D   d w P r o c e s s I d ,   w c h a r _ t   * l p w s z P a t h ,   w c h a r _ t   * l p w s z C m d ) {         / /   打 开 进 程 获 取 句 柄         H A N D L E   h P r o c e s s   =   : : O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   F A L S E ,   d w P r o c e s s I d ) ;         P R O C E S S _ B A S I C _ I N F O R M A T I O N   p b i   =   {   0   } ;         P E B   p e b   =   {   0   } ;         R T L _ U S E R _ P R O C E S S _ P A R A M E T E R S   P a r a m   =   {   0   } ;         U S H O R T   u s C m d L e n   =   0 ;         U S H O R T   u s P a t h L e n   =   0 ;         / /   需 要 通 过   L o a d L i b r a r y 、 G e t P r o c e s s A d d r e s s   从   n t d l l . d l l   中 获 取 地 址         N t Q u e r y I n f o r m a t i o n P r o c e s s   =   ( t y p e d e f _ N t Q u e r y I n f o r m a t i o n P r o c e s s ) : : G e t P r o c A d d r e s s (                 : : L o a d L i b r a r y ( " n t d l l . d l l " ) ,   " N t Q u e r y I n f o r m a t i o n P r o c e s s " ) ;
1 5 .   1 6 .           / /   获 取 指 定 进 程 的 基 本 信 息 1 7 .   1 8 .   1 9 .           / * 注 意 在 读 写 其 他 进 程 的 时 候 ， 注 意 要 使 用 R e a d P r o c e s s M e m o r y / W r i t e P r o c e s s M e m o r y 进 行 操 作 ， 2 0 .   要 不 然 一 直 提 示 位 置 访 问 错 误 !         * / 2 1 .   2 2 .   2 3 .   2 4 .   2 5 .   2 6 .   2 7 .   2 8 .   2 9 .   3 0 .   3 1 .   3 2 .   3 3 .   3 4 .   3 5 .   3 6 .   3 7 .   3 8 .   四 、 测 试 四 、 测 试         因 为 是 6 4 位 编 译 ， 选 一 个 6 4 位 的 程 序 来 测 试 。 1 、 准 备 工 作 ： 、 准 备 工 作 ： 选 择 “ E v e r y t h i n g . e x e ” ， 这 是 个 6 4 位 的 程 序 ， 它 的 P I D 是 1 2 7 0 4 ， 在 程 序 中 改 成 这 个 P I D ，         N T S T A T U S   s t a t u s   =   N t Q u e r y I n f o r m a t i o n P r o c e s s ( h P r o c e s s ,   P r o c e s s B a s i c I n f o r m a t i o n ,   & p b i ,   s i z e o f ( p b i ) ,   N U L L ) ; 每 个 指 针 指 向 的 内 容 都 需 要 获 取 ， 因 为 指 针 只 能 指 向 本 进 程 的 地 址 空 间 ， 必 须 要 读 取 到 本 进 程 空 间 。         / /   获 取 指 定 进 程 进 本 信 息 结 构 中 的 P e b B a s e A d d r e s s         : : R e a d P r o c e s s M e m o r y ( h P r o c e s s ,   p b i . P e b B a s e A d d r e s s ,   & p e b ,   s i z e o f ( p e b ) ,   N U L L ) ;         / /   获 取 指 定 进 程 环 境 块 结 构 中 的 P r o c e s s P a r a m e t e r s ,   注 意 指 针 指 向 的 是 指 定 进 程 空 间 中         : : R e a d P r o c e s s M e m o r y ( h P r o c e s s ,   p e b . P r o c e s s P a r a m e t e r s ,   & P a r a m ,   s i z e o f ( P a r a m ) ,   N U L L ) ;         / /   修 改 指 定 进 程 环 境 块 P E B 中 命 令 行 信 息 ,   注 意 指 针 指 向 的 是 指 定 进 程 空 间 中         u s C m d L e n   =   2   +   2   *   : : w c s l e n ( l p w s z C m d ) ;         : : W r i t e P r o c e s s M e m o r y ( h P r o c e s s ,   P a r a m . C o m m a n d L i n e . B u f f e r ,   l p w s z C m d ,   u s C m d L e n ,   N U L L ) ;         : : W r i t e P r o c e s s M e m o r y ( h P r o c e s s ,   & P a r a m . C o m m a n d L i n e . L e n g t h ,   & u s C m d L e n ,   s i z e o f ( u s C m d L e n ) ,   N U L L ) ;         / /   修 改 指 定 进 程 环 境 块 P E B 中 路 径 信 息 ,   注 意 指 针 指 向 的 是 指 定 进 程 空 间 中         u s P a t h L e n   =   2   +   2   *   : : w c s l e n ( l p w s z P a t h ) ;         : : W r i t e P r o c e s s M e m o r y ( h P r o c e s s ,   P a r a m . I m a g e P a t h N a m e . B u f f e r ,   l p w s z P a t h ,   u s P a t h L e n ,   N U L L ) ;         : : W r i t e P r o c e s s M e m o r y ( h P r o c e s s ,   & P a r a m . I m a g e P a t h N a m e . L e n g t h ,   & u s P a t h L e n ,   s i z e o f ( u s P a t h L e n ) ,   N U L L ) ;         r e t u r n   T R U E ; }
用 “ e x p l o r e r . e x e ” 来 伪 装 ， 路 径 为 “ c : w i n d o w s ” 。 从 上 图 中 我 们 可 以 看 到 它 的 P E B 地 址 为 “ 0 x 3 2 3 0 0 0 ” ， 这 个 查 出 的 P E B 也 是 一 样 。 2 、 运 行 程 序 ， 、 运 行 程 序 ， 3 、 再 次 查 看 、 再 次 查 看 “ E v e r y t h i n g . e x e ” 程 序 ， 程 序 ，         发 现 “ E v e r y t h i n g . e x e ” 程 序 已 经 发 生 变 化 了 ， 如 上 图 ， 路 径 和 命 令 行 都 变 成 “ c : w i n d o w s e x p l o r e r . e x e ” ， 说 明 伪 装 成 功 了 ，
这 样 看 ， 也 是 发 现 有 了 变 化 。         通 过 这 种 手 法 ， 我 可 以 将 一 个 恶 意 的 程 序 伪 装 成 一 个 “ 正 义 ” 的 程 序 ， 至 少 在 文 件 名 上 达 到 “ 瞒 天 过 海 ” 的 目 的 。 4 、 、 P E B 查 看 查 看 我 们 来 列 下 x 6 4 下 的 P E B 结 构 ：

好 了 ， 不 多 说 了 ， 自 己 看 吧 。 下 载 地 址 ： 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 x n C E d V U K w 0 W M X 3 q b f j J C I w 提 取 码 ： w i 7 f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理