KProtect价值3000元的公司级反调试产品 还原复现开源

tiangao

KProtect价值3000元的公司级反调试产品 还原复现开源

0x00 前言
该项目仅仅只是对 某总口中价值3000元/月公司级反调试产品 $KProtect 的还原复现
加上少量的代码优化 减少了很多硬编码 整个项目 Ring0+Ring3 实际功能代码不超过400行

0x01 隐藏进程
原理没什么多说的，基本就是 @xiaofu 所分析的
将 EPROCESS->InheritedFromUniqueProcessId 置为 System
将 EPROCESS->UniqueProcessId 置为 winlogon.exe（其他系统进程皆可）
通过动态获取 InheritedFromUniqueProcessId 和 UniqueProcessId 偏移 提高兼容性
值得注意的是，此方法会在 低版本 Win7系统 任务管理器 出现 Bug
现象是 winlogon 的进程会疯狂增加 且增加的进程 Pid 为 -1
（仅仅只是任务管理器表项增加 实际进程只有一个）
在高版本 Win7 和 Win10 没有此现象

游客，如果您要查看本帖隐藏内容请回复

1aa82e

什么东西？           

hcjnx

看看源码的实现

gg666

好好学习天天向上

10000

好好学习

210001480

看看           

cjlovefree

感谢分享

a6627450

kan kan shi shen me

yuntang

看一看瞧一瞧了谢谢

z083957

在高版本 Win7 和 Win10 没有此现象啊