ring0级暴力搜索内存检测系统隐藏进程(或Rootkit)

简单350

ring0级暴力搜索内存检测系统隐藏进程(或Rootkit)

1. #include<ntddk.h>
   
2. 
   
3. //EPROCESS结构大小，我的系统是XP SP3，所以0x260，不过经过测试，这里设置成比实际EPROCESS小也是没问题的
   
4. #define  EPROCESS_SIZE       0x260
   
5. #define  PEB_OFFSET          0x1B0        //PEB偏移，下面就不注释了
   
6. #define  FILE_NAME_OFFSET    0x174
   
7. #define  PROCESS_LINK_OFFSET 0x088
   
8. #define  PROCESS_ID_OFFSET   0x084
   
9. #define  EXIT_TIME_OFFSET    0x078
   
10. 
    
11. #define  OBJECT_HEADER_SIZE  0x018
    
12. #define  OBJECT_TYPE_OFFSET  0x008
    
13. 
    
14. ULONG        ulPebAddress;                        //PEB地址的前半部分
    
15. ULONG        ulStartAddress, ulEndAddress;        //起始，结束地址
    
16. ULONG        ulObjectType;                        //进程对象类型
    
17. 
    
18. BOOLEAN        IsaRealProcess(ULONG pEprocess);    //该函数判断是否真的是进程
    
19. VOID        WorkThread(IN PVOID pContext);        //新开线程防止系统顿卡
    
20. VOID        UpdateEndStartPebAddress();            //更新首尾地址和PEB地址
    
21. VOID        EnumProcess();                        //枚举进程
    
22. VOID        ShowProcess(ULONG pEProcess);        //显示进程信息
    
23. 
    
24. VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
    
25. {
    
26. }
    
27. 
    
28. NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)
    
29. {
    
30.     HANDLE hThread;
    
31. 
    
32.     DriverObject -> DriverUnload = OnUnload;
    
33.     UpdateEndStartPebAddress();
    
34. 
    
35.     ulObjectType = *(PULONG)((ULONG)ulEndAddress - OBJECT_HEADER_SIZE + OBJECT_TYPE_OFFSET);
    
36.     PsCreateSystemThread(&amp;hThread,
    
37.         (ACCESS_MASK)0,
    
38.         NULL,
    
39.         (HANDLE)0,
    
40.         NULL,
    
41.         WorkThread,
    
42.         NULL );
    
43. 
    
44.     return STATUS_SUCCESS;
    
45. }
    
46. 
    
47. 
    
48. VOID WorkThread(IN PVOID pContext)
    
49. {
    
50.     EnumProcess();
    
51.     PsTerminateSystemThread(STATUS_SUCCESS);
    
52. }
    
53. 
    
54. VOID UpdateEndStartPebAddress()
    
55. {
    
56.     ULONG ulEProcessAddress = (ULONG)IoGetCurrentProcess();
    
57.     ULONG pEProcess;
    
58.     //IoGetCurrentProcess返回的是System进程EPROCESS结构地址，此处已经是搜索结束处。
    
59.     ulStartAddress = ulEndAddress = ulEProcessAddress;
    
60. 
    
61.     ulEProcessAddress = (ULONG)(((PLIST_ENTRY)(ulEProcessAddress + PROCESS_LINK_OFFSET))->Flink) - PROCESS_LINK_OFFSET;
    
62.     ulPebAddress = *(PULONG)(ulEProcessAddress + PEB_OFFSET) &amp; 0xFFFF0000;
    
63. 
    
64.     while (ulEProcessAddress != ulEndAddress)
    
65.     {        //遍历EPROCESS结构，找到最小地址处
    
66.         ulEProcessAddress = (ULONG)(((PLIST_ENTRY)(ulEProcessAddress + PROCESS_LINK_OFFSET))->Flink) - PROCESS_LINK_OFFSET;
    
67.         if (ulStartAddress > ulEProcessAddress)
    
68.             ulStartAddress = ulEProcessAddress;
    
69.     }
    
70. }
    
71. 
    
72. 
    
73. VOID EnumProcess()
    
74. {
    
75. 
    
76.     ULONG  i;
    
77.     ULONG nCount = 2;
    
78.     ULONG  Address;
    
79.     ULONG  ret;
    
80. 
    
81.     KdPrint(("-------------------------------------------\r\n"));
    
82.     KdPrint(("EProcess    PID    ImageFileName\r\n"));
    
83.     KdPrint(("-------------------------------------------\r\n"));
    
84.     //系统空闲进程的检测方法有点特殊，只作参考
    
85.     ShowProcess(*(PULONG)(ulStartAddress + PROCESS_ID_OFFSET));
    
86.     //system的PEB总是零 上面的方法是枚举不到的 不过我们用PsGetCurrentProcess就能得到了
    
87.     ShowProcess(ulEndAddress);
    
88. 
    
89.     for(i = ulStartAddress; i < ulEndAddress; i += 4) {//system进程的EPROCESS地址就是最大值了
    
90.         if (MmIsAddressValid((PVOID)i)) {
    
91.             Address = *(PULONG)i;
    
92.             if (( Address &amp; 0xFFFF0000) == ulPebAddress){//每个进程的PEB地址都是在差不多的地方，地址前半部分是相同的      
    
93.                 if (IsaRealProcess(i)) {
    
94.                     ShowProcess(i - PEB_OFFSET);
    
95.                     i -= 4;
    
96.                     i += EPROCESS_SIZE;
    
97.                     nCount ++;
    
98.                 }
    
99.             }
    
100.         } else {
     
101.             i -= 4;
     
102.             i += 0x5000000;//5M
     
103.         }
     
104.     }   
     
105.     KdPrint(("-------------------------------------------\r\n"));
     
106.     KdPrint(("=====   Total Processes count:%3d   =======\r\n", nCount));
     
107.     KdPrint(("-------------------------------------------\r\n"));
     
108. }
     
109. 
     
110. 
     
111. VOID ShowProcess(ULONG pEProcess)
     
112. {
     
113.     PLARGE_INTEGER ExitTime;
     
114.     ULONG PID;
     
115.     PUCHAR pFileName;
     
116. 
     
117.     ExitTime = (PLARGE_INTEGER)(pEProcess + EXIT_TIME_OFFSET);
     
118.     if(ExitTime->QuadPart != 0) //已经结束的进程的ExitTime为非零
     
119.         return ;
     
120. 
     
121.     PID = *(PULONG)(pEProcess + PROCESS_ID_OFFSET);
     
122.     pFileName = (PUCHAR)(pEProcess + FILE_NAME_OFFSET);
     
123. 
     
124.     KdPrint(("0x%08X  %04d   %s\r\n",pEProcess,PID,pFileName));
     
125. }
     
126. 
     
127. 
     
128. BOOLEAN IsaRealProcess(ULONG pEprocess)
     
129. {
     
130.     NTSTATUS STATUS;
     
131.     PUNICODE_STRING pUnicode;
     
132.     UNICODE_STRING Process;
     
133.     ULONG pObjectType;
     
134.     ULONG ObjectTypeAddress;
     
135. 
     
136.     if (!MmIsAddressValid((PVOID)(pEprocess - PEB_OFFSET)))
     
137.         return FALSE;
     
138. 
     
139.     ObjectTypeAddress = pEprocess - PEB_OFFSET - OBJECT_HEADER_SIZE + OBJECT_TYPE_OFFSET ;
     
140. 
     
141.     if (MmIsAddressValid((PVOID)ObjectTypeAddress)) {
     
142.         pObjectType = *(PULONG)ObjectTypeAddress;
     
143.     } else {
     
144.         return FALSE;
     
145.     }
     
146. 
     
147.     if(ulObjectType == pObjectType) {//确定ObjectType是Process类型
     
148.         return TRUE;
     
149.     }
     
150.     return FALSE;
     
151. }

复制代码