浅析进程“伪隐藏”技术与实现两则
作者：冰狐荡子 泉源：www.icyfoxlovelace.com
进程隐藏？干吗用？你不晓得？我晕！进程隐藏技术多用于木马和病毒中（还用你说？！），用于进步其生活率。实在现要领因WIN体系架构差别而各别，一些常用要领材料许多，我在这里也就不多说啦！
这里的"伪隐藏"指的是，固然在"WINDOWS使命管理器"进程列表中可以看到其进程存在，但在硬盘中却找不到或者说不容易找到其绝对应的步伐文件。
一：乾坤大挪移
各人都晓得，当一个步伐正在运转时，WIN体系是不允许我们把其删除的（所以才会有人寻找步伐自删除_blank>技术），但却不知各人能否注意到，在WIN2000中，当一个步伐正在运转时，我们固然不克不及把它删除，但我们却可以把步伐文件在统一分区内挪动地位以及重命名，你可以自己实验一下！这也就是"Windows文件保护"所利用的要领！试想，要是我们的步伐在运转后，立刻把本身挪动地位偏重命名，而在"WINDOWS使命管理器"进程列表中表现的却照旧原来的步伐名，那你又该怎样来查找到其对应的步伐文件呢？当然要是步伐在内存中没有进行变形的话，你可以利用内存查看_blank>软件（如WINHEX）并利用查找功效来找到绝对应的步伐文件，但要是步伐在内存中变形
，也可以说解密，使得内存映像和硬盘中的原步伐文件差别，那我是临时没法找出来啦！
完成_blank>代码如下(MASM)：
;进程隐藏之乾坤大挪移（只能在同分区内挪动）
.386
.model flat, stdcall
option casemap:none
include windows.inc
include kernel32.inc
includelib kernel32.lib
include user32.inc
includelib user32.lib
.data?
selfname db MAX_blank>_PATH dup(?)
.data
movename db "c:\mm.jpg",0
.code
main:
invoke GetModuleFileName,NULL,addr selfname,MAX_blank>_PATH ;得到本身路径
mov al, byte ptr selfname ;得到所在分区
mov byte ptr movename,al ;修正movename，使其在同分区内挪动
invoke MoveFile,addr selfname,addr movename ;把本身挪动地位并改名
invoke MessageBox,NULL,offset selfname,offset movename,MB_blank>_OK
invoke ExitProcess, NULL
end main
本例程在WIN2000下调试通过，XP" target=_blank>XP和WIN2003应该也可以，请有条件的弟兄测试，WIN98和WINME不克不及用，与硬盘格式有关！
二：步伐自删除（仅实用于NTFS硬盘分区格式)
在NTFS分区下存在文件流早已不是什么秘密啦，但各人重要用它来隐藏文件，我在一次测试中却发现当我运转一个文件流步伐时，这个文件流步伐所在的宿主文件倒是可以被删除的！进一步测试发现文件流步伐运转时并无法间接删除这个文件流步伐，只能删除宿主文件，从而来删除文件流步伐。利用此特性，我们同样可以完成类似于上例的效果，且比其隐藏效果要好点。要领为：判断能否是NTFS格式分区，要是是则把本身复制为一个文件流，并运转复制的文件流，运转时检测到自己是存在于文件流中时就删除宿主文件。
完成_blank>代码如下(MASM)：
;进程隐藏之文件流（只能用于NTFS分区格式）
.386
.model flat, stdcall
option casemap:none
include windows.inc
include kernel32.inc
includelib kernel32.lib
include user32.inc
includelib user32.lib
.data?
selfname db MAX_blank>_PATH dup(?)
szFileSystemName db 10 dup(?)
.data
delname db "`.`:icyfox.exe",0
;此处的"`.`:icyfox.exe"可以改为其他文件名如"cs.txt:cs.exe"
;我这里用"`.`"的目标是为了防备删除其他存在的文件
szErr db "我不在NTFS格式的分区内，退出!",0
szYes db "我在上面的流内，已被删除！",0
.code
main:
invoke GetModuleFileName,NULL,addr selfname,MAX_blank>_PATH
mov bl,byte ptr selfname+3
mov byte ptr selfname+3,0
xor eax,eax
;上面获取本身所在分区格式，并判断能否是NTFS格式
invoke GetVolumeInformation,addr selfname,eax,eax,\
eax,eax,eax,addr szFileSystemName, sizeof szFileSystemName
mov byte ptr selfname+3,bl
.if dword ptr szFileSystemName!='SFTN';NTFS
invoke MessageBox,NULL,offset szErr,NULL,MB_blank>_OK
invoke ExitProcess, NULL
.endif
;上面判断自己能否在流（STREAM）中
;要是路径中含有两个:号，说明自己在文件流中
lea esi,selfname
xor edx,edx
@@:
LODSB
or al,al
jz @F ;遇到0结束
.if al==":"
INC edx
.endif
.if edx==2
mov byte ptr [esi-1],0
invoke DeleteFile,addr selfname ;删除宿主文件
invoke MessageBox,NULL,offset delname,offset szYes,MB_blank>_OK
invoke ExitProcess, NULL
.endif
jmp @B
;上面是当本身不在文件流中时，把本身复制到流中并运转
@@:
invoke CopyFile,addr selfname,addr delname,FALSE
invoke WinExec,addr delname,NULL
invoke ExitProcess, NULL
end main
附加品：
我在测试时发现,当delname(也就是流名)为" .:icyfox.exe" (.前为一空格，也可以是其他字符)时，会产生一个无法删除的文件" ."，我的盘中还留着它，请各人想想办法帮我删失它！我怀疑可能和谁人文件夹毛病有关，但如今是文件，我在后面加上\也删不失!
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
