基于线程的隐藏进程检测.pdfVIP

2008 年第5 期 适合读者：编程爱好者 前置知识：VC 基于线程的隐藏进程检测 文/图 炉子[0GiNr] 进程的隐藏与检测永远是一个不衰的话题，而检测方法也是层出不穷的。常见的纯粹的 隐藏进程的检测方法大都是根据进程创建后留下的各种痕迹来检测的，不过我们要换一种思 路，转而通过查找线程并根据线程的KTEB 中的相关信息来获取其对应的进程，最终实现类 似的任务。而线程的查找也分很多种，比如内存中有哪些信誉好的足球投注网站、遍历线程链表等，我们所采取的方 法与这些方法也有一些差别，是通过内核钩子来记录内核中存在的线程的。下面我们就进入 本文的主题。 准备工作 1）根据线程得到其所属进程 找到线程之后，我们还需要知道它所属的进程，这并不是太难的问题。我们先看看KTEB 的结构。 线 lkd dt nt!_ETHREAD -r +0x000 Tcb : _KTHREAD防 处 „„ +0x034 ApcState : _KAPC_STATE 出 客 +0x000 ApcListHead : [2] _LIST_ENTRY +0x010 Process : Ptr32 _KPROCESS 明 黑 +0x014 KernelApcInProgress : UChar +0x015 KernelApcPending : UChar 注 +0x016 UserApcPending : UChar ... +0x220 ThreadsProcess : Ptr32 _EPROCESS 请 +0x000 Pcb : _KPROCESS „„ 载 其中的KTEB.Tcb.Apc.State.Process 和KTEB.ThreadsProcess 都可以为我们所用。一 转 般而言，我们使用KTEB.ThreadsProcess，并且NT 系统内核所导出的PsGetThreadProcess （IoThreadToProcess 是PsGetThreadProcess 的别名）也使用这一项。 lkd u PsGetThreadProcess nt!PsGetThreadProcess: mov edi,edi push ebp mov ebp,esp mov eax,dword ptr [ebp+8] mov eax,dword ptr [eax+220h] // 这个偏移就是KTEB.ThreadsProcess pop ebp ret 4 2008 年第5 期 那么为什么我们还要关注 KTEB.Tcb.Apc.State.Process 呢？这是因为 KTEB.ThreadsProcess 是有可能被修改的，而且不一定影响程序运行（这取决于进程所使用 的函数），并且通常不会导致系统范围内的出错。而KTEB.Tcb.Apc.State.Process 则不然， 通常这个值只会被KiAttachProcess 修改，也就是说，这个值指示了该线程实际存在的进程 空间的 KPEB。这个值直接和线程调度挂钩 （用于切换 cr3 等，请自行使用 WinDBG 查看 SwapContext 反汇编代码），如果被异常修改将会导致系统出错蓝屏。 为了我们的检测方法能和KiAttachProcess 函数合作得很好，又不至于检测不到某些比 较深的隐藏进程（比如phide_ex），我们应当同时检查这两个值。 2）应该钩什么样的函数 说