系统底层【原创】浅谈windows下的隐藏

由于毕业设计想写一个ARK工具，为了方便到时候演示一些功能，就研究了下隐藏技术。
网上有很多文章，但是解释的地方很少，出于技术研究，就仔细的分析了一下，下文中若有分析错误的情况，请大牛见谅。
声明：本文所谈及技术均来自网上，很老的技术了，只做技术交流，不喜勿喷。
参考文章：
http://bbs.pediy.com/showthread.php?t=64728 进程隐藏
http://bbs.pediy.com/showthread.php?t=63629 文件隐藏
http://bbs.pediy.com/showthread.php?t=63540 注册表隐藏
进程隐藏：让任务管理器找不到指定进程
原理：任务管理器通过ZwQuerySystemInformation函数来获取当前进程列表，而 ZwQuerySystemInformation函数内部是通过查找双向链表来操作的，所以如果把想隐藏的进程从这个链表中脱离出来，任务管理器就列不出这个进程了。
具体方法：1、首先得到要隐藏的进程的PID
2、通过PID得到进程的EPROCESS
3、由EPROCESS定位到双向链表
4、修改链表，使指定进程脱离
实现：
1、在驱动中获取指定进程PID网上有很多方法，贴一个我也忘了在哪里找的方法吧：

代码:

ULONG GetPid()

{

        NTSTATUS ntStatus;

        char ProcessName[256];

        ULONG cbBuffer; 

        PSYSTEM_PROCESS_INFORMATION pInfo;

        PSYSTEM_THREAD_INFORMATION pThread;

        VOID* pBuffer = NULL;

        ULONG i;

        ULONG ThreadCount;

        char MyProtectName[]="calc.exe";

        ULONG MyProcessId;





        ZwQuerySystemInformation(5, &cbBuffer, 0, &cbBuffer);

        pBuffer = ExAllocatePool (NonPagedPool, cbBuffer); 

        if (pBuffer == NULL) 

        {

                return 1;

        }

        ntStatus = ZwQuerySystemInformation(5, pBuffer, cbBuffer, NULL);



        if (!NT_SUCCESS(ntStatus))

        {

                ExFreePool(pBuffer); 

                return 1; 

        }



        pInfo = (PSYSTEM_PROCESS_INFORMATION)pBuffer;



        while(1){

                LPWSTR pszProcessName = pInfo->ProcessName.Buffer;

                if (pszProcessName == NULL) 

                        pszProcessName = L"NULL"; 

                wcstombs(ProcessName,pszProcessName,256); 

                if(_stricmp(MyProtectName,ProcessName)==0)

                {

                        DbgPrint("calc.exe Pid is %d\n",pInfo->ProcessId);

                        MyProcessId=pInfo->ProcessId;

                        return MyProcessId;

                } 

                if (pInfo->NextEntryDelta == 0) 

                        break; 



                pInfo = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pInfo)+ pInfo->NextEntryDelta);

        }

        ExFreePool(pBuffer);

        return 0;

}

该方法的原理是：
通过ZwQuerySystemInformation函数得到进程信息_SYSTEM_PROCESS_INFORMATION，然后按进程名与要隐藏的进程名进行比较，得到进程的PID。
2、通过PID得到进程的EPROCESS就简单了，一个PsLookupProcessByProcessId全部搞定。
3、定位双向链表就更简单了，dt一下EPROCESS结构，找到ActiveProcessLinks成员的偏移，就是它了。
4、最后一步，修改链表。看网上的代码我一直没看明白，想到上学的时候写过双链表的程序，索性自己分析了一下：
作一个简单的示意图，方便理解吧：
附件 84521
现在假设想要隐藏的进程在双链表中对应B节点，橘黄色箭头表示前一个节点Blink，绿色箭头表示后一个节点Flink。
先看上面一条链表，现在要把B节点中的C，写到A节点中B的位置，而A节点正是B.Blink，所以就可以这样写一句代码：B->Blink->Flink = B->Flink，这样上一条链已经不关节点B的事了。
但是这样还脱不了身，还得把下面一条链断了。也就是要B.Blink赋值给C.Blink，既而得到了这样一句代码：B->Flink->Blink= B->Blink;
综上所述，任务管理器找不到指定进程了。
文件隐藏
原理：windows文件浏览器是使用ZwQueryDirectoryFile函数来读取文件列表的，只要hook这个函数，做一些过滤，就可以了。
具体方法：1、ssdt hook ZwQueryDirectoryFile函数
2、获取FILE_BOTH_DIR_INFORMATION结构，对比要隐藏的文件名
3、修改指针，使其跳过隐藏文件
实现：
1、ssdt hook就不用说了，大家都会
2、调用原来的ZwQueryDirectoryFile，获取FILE_BOTH_DIR_INFORMATION结构。
3、贴一段代码吧：

代码:

if(NT_SUCCESS(status)&&FileInformationClass==FileBothDirectoryInformation)

        {

                PFILE_BOTH_DIR_INFORMATION pFileInfo;

                PFILE_BOTH_DIR_INFORMATION pLastFileInfo;

                BOOLEAN bLastOne;

                int iPos,iLeft;

                pFileInfo = (PFILE_BOTH_DIR_INFORMATION)FileInformation; 

                pLastFileInfo = NULL;

                do

                {

                        bLastOne = !( pFileInfo->NextEntryOffset );

                        RtlInitUnicodeString(&uniFileName,pFileInfo->FileName);

                        RtlUnicodeStringToAnsiString(&ansiFileName,&uniFileName,TRUE);

                        RtlUnicodeStringToAnsiString(&ansiDirName,&uniFileName,TRUE);

                        if( RtlCompareMemory(ansiFileName.Buffer,HideDirFile.Buffer,HideDirFile.Length ) == HideDirFile.Length)

                        {

                                if(bLastOne) 

                                {

                                        pLastFileInfo->NextEntryOffset = 0;

                                        break;

                                } 

                                else

                                {

                                        

                                        iPos = ((ULONG)pFileInfo) - (ULONG)FileInformation;

                                        iLeft = (DWORD)Length - iPos - pFileInfo->NextEntryOffset;

                                        RtlCopyMemory( (PVOID)pFileInfo, (PVOID)( (char *)pFileInfo + pFileInfo->NextEntryOffset ), (DWORD)iLeft );

                                        continue;

                                }

                        }

                        pLastFileInfo = pFileInfo;

                        KdPrint(("%X",pFileInfo->NextEntryOffset));

                        pFileInfo = (PFILE_BOTH_DIR_INFORMATION)((char *)pFileInfo + pFileInfo->NextEntryOffset);

                        

                }while(!bLastOne);

                RtlFreeAnsiString(&ansiDirName); 

                RtlFreeAnsiString(&ansiFileName);

        }

这段代码难于理解的地方，个人认为是这三句：
iPos = ((ULONG)pFileInfo) - (ULONG)FileInformation;
iLeft = (DWORD)Length - iPos - pFileInfo->NextEntryOffset;
RtlCopyMemory( (PVOID)pFileInfo, (PVOID)( (char *)pFileInfo + pFileInfo->NextEntryOffset ), (DWORD)iLeft );

还是画个图来说吧：
附件 84522
现在要保护的文件假设是FileC，那么当查询到这个文件的时候怎么办呢？就是把指针移动到后面一个去。但是这个结构比双链表要复杂得多，所以不能像上面进程隐藏那么改了，这段代码是把后面的指针内容直接复制覆盖 FileC的指针。
iPos：前面已经走过的路的长度。
pFileInfo->NextEntryOffset:要隐藏文件到下一个文件的相对距离
iLeft：除去要隐藏的文件之后要走的路的长度
注册表隐藏
原理：上面的链接中原理已经被大牛说得很清楚了，我只谈下我理解了很久的地方
具体方法：1、通过注册表句柄，得到对象体
2、通过对象体，得到KeyControlBlock
3、通过KCB，得到GetCellRoutine函数
4、hook GetCellRoutine 函数
5、判断节点是否为要隐藏节点，如果是则返回最后一个节点。
贴一段代码：

代码:

PVOID MyGetCellRoutine(PVOID Hive, HANDLE Cell)

{

        // 调用原函数

        

        PVOID pRet = g_pGetCellRoutine(Hive, Cell);



        if (pRet)

        {

                // 返回的是需要隐藏的节点

                if (pRet == g_HideNode)

                {

                        DbgPrint("GetCellRoutine(%lx, %08lx) = %lx\n", Hive, Cell, pRet);

                        // 查询、保存并返回其父键的最后一个子键的节点

                        pRet = g_LastNode = (PCM_KEY_NODE)GetLastKeyNode(Hive, g_HideNode);

                        DbgPrint("g_LastNode = %lx\n", g_LastNode);

                        // 隐藏的正是最后一个节点，返回空值

                        if (pRet == g_HideNode) pRet = NULL;

                }

                // 返回的是先前保存的最后一个节点

                else if (pRet == g_LastNode)

                {

                        DbgPrint("GetCellRoutine(%lx, %08lx) = %lx\n", Hive, Cell, pRet);

                        // 清空保存值，并返回空值

                        //pRet = g_LastNode = NULL;

                }

        }

        return pRet;

}

问题：1、遇到要隐藏的节点，为什么要返回最后一个节点？
答：遇到要隐藏的节点，如果直接返回NULL,那么后面的节点就无法列出了。
2、遇到最后一个节点，为什么要返回NULL。
答：前面遇到要隐藏的节点时返回了最后一个节点，如果再返回，会出现两个最后一个节点。如图：
附件 84523
这种效果不是你新建一个同名项就能达到的哦。

上传的图像

	111.png (5.0 KB)
	222.png (13.4 KB)
	333.png (3.5 KB)

上传的附件

DriverCode.rar (5.7 KB)

系统底层【原创】浅谈windows下的隐藏

Trending Articles

[奇怪机翻组] 过分色气的深见君 / Yatara Yarashii Fukami-kun - 01 [WebRip] [1080P...

[ReinForce] 吸血鬼同盟 Dance In The Vampire Bund (BDRip 1920x1080 x264 FLAC)

有人買民雄嘉大博識嗎?(或美銓建設以前的建案)

JVID女郎搞暗黑《延禧》

MAME 0.277 免安裝中文版 - 街機遊戲模擬器

Photoshop.CS6 (免安裝隨身版隨插即用 ) (直接下載)

行星绕恒星边飞边解体令科学家惊心动魄

【日语无字】春之钟.Haru.no.kane.1985.JAP.vhsrip.NoSub.by.xiongzaixia&vivi

竹北高鐵第一豪宅若山怎麼了？竹北高鐵第一豪宅若山怎麼了？

df-dferh-01 中国区 Android 安装 Google Play Store 后报错的解决办法

出售: sound mechanics 音響架

关门一家亲：习远平、张澜澜、徐才厚

[转载]梦瑜伽三梦大法梦瑜伽的修行方法

詐騙猖獗網路名師也中鏢江兆君(小M老師)：學員勿上當！

Windbg 指令與分析之教學筆記

Office 安装管理器，一键下载/安装//打包ISO！支持2016-2024/365全版本！微软官方下载安全可靠！

回顧廿六年前北角地盤籠

【追新番字幕組】★[簡日雙語][ 勇者義彥和被引導的七人 12 最終回 / ゆうしゃヨシヒコとみちびかれしななにん Yusha Yoshihiko to...

C88圣战首日吸引18万人参战！会场工作人员名言汇总

SFC超級任天堂釣魚太郎1.2.3 (海釣太郎) 遊戲+金手指+模擬器！