x64下不触发pg断链隐藏进程问题

weixin_44762129 2021-05-15 02:07:10

一个令人头疼的问题，众所周知x64在patch guard的保护下，不能断掉eprocess 的Activeprocesslink，因为pg监控着全局变量，断掉后会在十几分钟到几个小时之间随机蓝屏，但是最近的一款新的软件名为YDARK的类似Pchunter的监控软件实现了断链隐藏进程的效果，windbg简单分析发现他处理了kprocess的processlistentry而不是eprocess 里的link，并且没有处理pg，没有使用infinity hook，达到了断链隐藏的效果，与作者简单交流发现可能利用了pg的监控死角，有没有大佬帮我解答一下多日以来的疑惑🤔？

...全文

3328 1 打赏收藏转发到动态举报

写回复

1 条回复

切换为时间正序

请发表友善的回复…

发表回复

「已注销」 2021-12-30

打赏
举报

回复

环境：win10 64 1909
kprocess 结构体：

eprocess结构体：

打开cmd，查看其eprocess和kprocess,如下

从kprocess->ProcessListEntry和eprocess->ActiveProcessLinks入手，看一下里面ListEntry的数据就会发现，其实它们是等价的。

多种方法保护进程断链修改Flag hook对象抹psp表 csscs表注册回调 ObRegisterCallbacks

不要来这里打开与安装有关的问题，因错误检查0x109而崩溃：CRITICAL_STRUCTURE_CORRUPTION或有关如何禁用PatchGuard的问题。我将永久禁止您使用问题跟踪器。如果您不知道如何正确安装该工具，则不了解如何负责任地使用它，应该使用类的。要禁用PatchGuard，请尝试使用，或。最新版本：概述 TitanHide是旨在隐藏某些进程中的调试器的驱动程序。驱动程序挂钩各种Nt *内核函数（使用SSDT表挂钩），并修改原始函数的返回值。要隐藏进程，必须将带有ProcessID和要启用的隐藏选项的简单结构传递给驱动程序。内部API旨在轻松添加钩子，这意味着添加功能确实非常容易。这个项目的想法是和高喊的人cypher一起想到的！特征 ProcessDebugFlags（NtQueryInformationProcess） ProcessDeb

转:https://blog.csdn.net/zhuhuibeishadiao/article/details/75658816 代码:https://github.com/ZhuHuiBeiShaDiao/NewHideDriverEx 更新:支持seh,原理自己逆下将seh挂到其它模块上而已. 看网上用此方法隐藏用的挺嗨啊,麻烦打个出处,谢谢了. 没必要藏着,人生没有必要为这...

因为搬家了还有板砖很忙没办法工头都懂得的~~~~ 先说antiantidebug 都知道 32位的驱动保护不用VT说白了就是 HOOK过来 HOOK过去比的是谁的钩子深谁的钩子更多~~~~ 然而 64位呢很多保护例如TP/HP/HS 基本就是驱动几个callbacks 应用层几个钩子反调试模拟一场等等我的 PASS方法呢例如TP钩子 KIuse

首先，最高效的应该是这种办法,但是最不稳定的也是这种办法。虽然不会触发 PG ，但是由于调用方太多了，所以动不动炸进程或者蓝屏。进程对象(EPORCESS)->PsProcessType 线程对象(PETHREAD)->PsThreadType 文件对象(FileObject)->IoFileObjectType … 具体流程不分析大概是这样，创建对象->Ob插入对象->系统访问(对象,这些对象是分配出来的不归PG管理)->根据对象Index->寻找对应Ob回调

安全技术/病毒

9,513

社区成员

28,956

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章