伪装进程过DXF读写方法与源码

三木目

编译环境是 VS2013+WDK8.1
测试环境  XP32

毕竟创建线程,还要等待线程执行,速度慢了很多吧,感觉别扭
通宵一晚上,查了下资料,把伪装进程弄了出来
测试还是有点效果,不过也不是很完美
必须要过掉 ZwOpenProcess ,NtReadProcessMemory,NtWriteProcessMemory这三个函数HOOK才能读写
不过总算摆脱了线程的方式,而且那三个HOOK也容易过,内心感觉爽了一下.

老样子,对内核不是太了解的我,不会WinDbg,不会双机调试
写出这些代码,基本上都是蓝屏重启千万次慢慢修改的
得出结论,学内核,windbg还是要学的,毕竟没法调试,很多东西都不好弄明白是什么原因,ring3下至少还有OD调试

源码就不打包了,就那么几行代码而已.
先贴代码,再说说遇到不解的问题

1. VOID ChangeName2(ULONG pProcess1/**被伪装的进程**/, ULONG pProcess2/**要伪装的进程**/)
   
2.    {
   
3.        KAPC_STATE kapc1, kapc2;
   
4.        PUNICODE_STRING CurrentDirectory=NULL,
   
5.                         DllPath=NULL,
   
6.                         ImagePathName=NULL,
   
7.                         CommandLine=NULL,
   
8.                         ldr1_FullName=NULL,
   
9.                         ldr1_BaseName=NULL,
   
10.                         ldr2_FullName=NULL;
    
11. 
    
12.         
    
13.        ULONG ProcessParameters, peb, ldr, ldr1, ldr2, ldr3,x1;
    
14. 
    
15.        WCHAR CurrentDirectory2[256] = { 0 },
    
16.            DllPath2[256] = { 0 },
    
17.            ImagePathName2[256] = { 0 },
    
18.            CommandLine2[512] = { 0 },
    
19.            ldr1_FullName2[256] = { 0 },
    
20.            ldr1_BaseName2[256] = { 0 },
    
21.            ldr2_FullName2[256] = { 0 };
    
22. 
    
23.        peb = *(PULONG)(pProcess1 + 0x1b0);
    
24. //     DbgPrint("peb = %08X", peb);
    
25.        KeStackAttachProcess((PEPROCESS)pProcess1, &kapc1);
    
26.        _try
    
27.        {
    
28.             
    
29.            ProcessParameters = *(PULONG)(peb + 0x010);
    
30. //         DbgPrint("ProcessParameters = %08X", ProcessParameters);
    
31.            CurrentDirectory = (PUNICODE_STRING)(ProcessParameters + 0x24); //CurrentDirectory
    
32.            DllPath = (PUNICODE_STRING)(ProcessParameters + 0x30); //DllPath
    
33.            ImagePathName = (PUNICODE_STRING)(ProcessParameters + 0x38); //ImagePathName
    
34.            CommandLine = (PUNICODE_STRING)(ProcessParameters + 0x40); //CommandLine
    
35.            RtlCopyMemory(CurrentDirectory2, CurrentDirectory->Buffer, wcslen(CurrentDirectory->Buffer)*2);
    
36.            RtlCopyMemory(DllPath2, DllPath->Buffer, wcslen(DllPath->Buffer)*2);
    
37.            RtlCopyMemory(ImagePathName2, ImagePathName->Buffer, wcslen(ImagePathName->Buffer)*2);
    
38.            RtlCopyMemory(CommandLine2, CommandLine->Buffer, wcslen(CommandLine->Buffer)*2);
    
39.      
    
40.            //DbgPrint("CurrentDirectory2 %S  %d  %S  %d", CurrentDirectory2, wcslen(CurrentDirectory2), CurrentDirectory->Buffer, wcslen(CurrentDirectory->Buffer));
    
41.            //DbgPrint("DllPath %S  %d  %S  %d", DllPath2, wcslen(DllPath2), DllPath->Buffer, wcslen(DllPath->Buffer));
    
42.            //DbgPrint("ImagePathName %S  %d  %S  %d", ImagePathName2, wcslen(ImagePathName2), ImagePathName->Buffer, wcslen(ImagePathName->Buffer));
    
43.            //DbgPrint("CommandLine2 %S  %d", CommandLine2, wcslen(CommandLine2));
    
44.            //DbgPrint("CommandLine %S  %d",  CommandLine->Buffer, wcslen(CommandLine->Buffer));
    
45. 
    
46. 
    
47.            ldr = *(PULONG)(peb + 0x00C);
    
48.            ldr1 = *(PULONG)(ldr + 0x00C);
    
49.            ldr2 = *(PULONG)(ldr + 0x014);
    
50. //         ldr3 = *(PULONG)(ldr + 0x01C);
    
51. 
    
52.            ldr1_FullName = (PUNICODE_STRING)(ldr1 + 0x24); //FullDllName 完整路径
    
53.            ldr1_BaseName = (PUNICODE_STRING)(ldr1 + 0x2C); //BaseDllName 文件名称
    
54.            ldr2_FullName = (PUNICODE_STRING)(ldr2 + 0x24); //FullDllName 完整路径
    
55. 
    
56.            RtlCopyMemory(ldr1_FullName2, ldr1_FullName->Buffer, wcslen(ldr1_FullName->Buffer) * 2);//FullName这里写过遍历,好像第一个都是EXE
    
57.            RtlCopyMemory(ldr1_BaseName2, ldr1_BaseName->Buffer, wcslen(ldr1_BaseName->Buffer) * 2); //BaseName
    
58.            RtlCopyMemory(ldr2_FullName2, ldr2_FullName->Buffer, wcslen(ldr2_FullName->Buffer) * 2);//FullName这里跟上面一样,ldr2的baseName遍历出来没数据,就不获取修改了
    
59. 
    
60. 
    
61.        }
    
62.        __except (EXCEPTION_EXECUTE_HANDLER)
    
63.        {
    
64.            DbgPrint("KeStackAttachProcess失败1");
    
65. 
    
66.        }
    
67.        KeUnstackDetachProcess(&kapc1);
    
68.        peb = *(PULONG)(pProcess2 + 0x1b0);
    
69.        KeStackAttachProcess((PEPROCESS)pProcess2, &kapc2);
    
70.        _try
    
71.        {
    
72.            ProcessParameters = *(PULONG)(peb + 0x010);
    
73. 
    
74.     //     RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x24), CurrentDirectory2, wcslen(CurrentDirectory2) * 2);// 这里也不能修改,改了程序会出错...
    
75.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x30), DllPath2, wcslen(DllPath2) * 2);
    
76.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x38), ImagePathName2, wcslen(ImagePathName2) * 2);
    
77.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x40), CommandLine2, wcslen(CommandLine2) * 2);
    
78. 
    
79.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x70), L"",0);//WindowTitle
    
80.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x78), L"", 0);//DesktopInfo
    
81.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x80), L"",0);//ShellInfo
    
82.          //  RtlInitEmptyUnicodeString((PUNICODE_STRING)(ProcessParameters + 0x88), NULL, 0);//RuntimeData 这里遍历是NULL,所以不改
    
83.          
    
84.          
    
85.            ldr = *(PULONG)(peb + 0x00C);
    
86.            ldr1 = *(PULONG)(ldr + 0x00C);
    
87.            ldr2 = *(PULONG)(ldr + 0x014);
    
88.            //          ldr3 = *(PULONG)(ldr + 0x01C); //这里没遍历到进程名称,所以不改了
    
89. 
    
90.     //     RtlInitEmptyUnicodeString((PUNICODE_STRING)(ldr1 + 0x24), ldr1_FullName2, wcslen(ldr1_FullName2) * 2); //FullDllName 完整路径 不知道为什么,改了这里,激活窗口,程序就会消失
    
91.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ldr1 + 0x2C), ldr1_BaseName2, wcslen(ldr1_BaseName2) * 2); //BaseName    文件名称
    
92.            RtlInitEmptyUnicodeString((PUNICODE_STRING)(ldr2 + 0x24), ldr2_FullName2, wcslen(ldr2_FullName2) * 2); //FullDllName 完整路径,ldr2的 baseName没有数据,所以只改 FullName
    
93. 
    
94.        }
    
95.            __except (EXCEPTION_EXECUTE_HANDLER)
    
96.        {
    
97.            DbgPrint("KeStackAttachProcess失败2");
    
98. 
    
99.        }
    
100.        KeUnstackDetachProcess(&kapc2);
     
101.        PUNICODE_STRING str1,str2;
     
102.       
     
103.       //如果要过DXF读写,修改0x174跟0x1F4 这两处就可以了,其他不用改,至于改这么多,纯当学习了
     
104.        RtlCopyMemory((PCHAR)(pProcess2 + 0x174), (PCHAR)(pProcess1 + 0x174),16);
     
105. 
     
106.        str1 = (PUNICODE_STRING)(*(PULONG)(pProcess1 + 0x1F4));
     
107.        str2 = (PUNICODE_STRING)(*(PULONG)(pProcess2 + 0x1F4));
     
108.         
     
109.        RtlInitEmptyUnicodeString(str2, str1->Buffer, wcslen(str1->Buffer) * 2);
     
110.         
     
111.        //EPROCESS->SectionObject->Segment->ControlArea->FileObject->FileName
     
112.        x1 = *(PULONG)(pProcess1 + 0x138);
     
113.        if (x1!=0)
     
114.        {
     
115.            x1 = *(PULONG)(x1 + 0x14);
     
116.            x1 = *(PULONG)x1;
     
117.            x1 = *(PULONG)(x1 + 0x024);
     
118.            str1 = (PUNICODE_STRING)(x1 + 0x030);
     
119. 
     
120.            x1 = *(PULONG)(pProcess2 + 0x138);
     
121.            if (x1!=0)
     
122.            {
     
123.                x1 = *(PULONG)(x1 + 0x14);
     
124.                x1 = *(PULONG)x1;
     
125.                x1 = *(PULONG)(x1 + 0x024);
     
126.                str2 = (PUNICODE_STRING)(x1 + 0x030);
     
127.                RtlInitEmptyUnicodeString(str2, str1->Buffer, wcslen(str1->Buffer) * 2);
     
128.            }
     
129.             
     
130.        }
     
131.         
     
132.        //x1 = *(int*)(pProcess + 0x11C); // VAD 这里不知道怎么遍历 ,就不修改了
     
133.        //x1 = *(int*)(x1 + 0x10);
     
134.        //x1 = *(int*)(x1 + 0x018);
     
135.        //x1 = *(int*)(x1 + 0x024);
     
136.        //str1 = (PUNICODE_STRING)(x1 + 0x030);
     
137.        //if (str1)
     
138.        // DbgPrint("FileName = %S ", str1->Buffer);

复制代码

上面这段代码中   ,有几处不明白:
1、修改 CurrentDirectory 会造成程序出错，好像后台程序不会（没窗口的那种吧）。
2、修改 ldr1_FullName 程序会消失，跟 curdir一样,后台程序好像不会消失.
3、VAD 这个不知道怎么遍历，没改
4、把上面能改的都改了，PCHunter还是能获取到路径,不知道是不是3的原因

代码调用如下且有一个问题不明白,贴出来给大家看:

1. PEPROCESS pProcess1,/*csrss.exe*/
   
2.                           pProcess2 /*CE.exe*/;
   
3.                 PsLookupProcessByProcessId((HANDLE)0x25C, &pProcess1);
   
4.                 PsLookupProcessByProcessId((HANDLE)0x110, &pProcess2);
   
5.                 if (pProcess1 != NULL && pProcess2 != NULL)
   
6.                 {
   
7.                     ChangeName2((ULONG)pProcess1, (ULONG)pProcess2);
   
8.                     ObDereferenceObject(pProcess1);
   
9.                 //  ObDereferenceObject(pProcess2); //不知道为什么,不能删除对象,删除了关闭程序就蓝
   
10.                 }

复制代码