Windows驱动开发：内核无痕隐藏自身分析

ytn2001

前面有一篇文章《驱动开发：断链隐藏驱动程序自身》通过摘除驱动的链表实现了断链隐藏自身的目的，但此方法恢复时会触发PG会蓝屏，偶然间在网上找到了一个作者介绍的一种方法，觉得有必要详细分析一下他是如何实现的进程隐藏的，总体来说作者的思路是最终寻找到MiProcessLoaderEntry的入口地址，该函数的作用是将驱动信息加入链表和移除链表，运用这个函数即可动态处理驱动的添加和移除问题。

具体的实现过程可能包括以下步骤：

寻找 MiProcessLoaderEntry 函数的入口地址。这可以通过分析内核符号表、反汇编内核代码或使用其他技术手段来完成。一旦找到了该函数的地址，就可以在代码中引用它。
调用 MiProcessLoaderEntry 函数。通过调用 MiProcessLoaderEntry 函数，可以将驱动信息加入到相应的链表中或从链表中移除。具体的参数和调用方式可能会根据具体情况而有所不同，需要根据目标系统的内核版本和架构进行适配。

隐藏进程。通过正确地使用 MiProcessLoaderEntry 函数，可以实现进程隐藏的效果。涉及到将驱动信息从相应的链表中移除，使得系统在查找进程信息时无法获取到被隐藏的进程。
MiProcessLoaderEntry 是 Windows 内核中的一个函数，用于处理驱动加载和卸载时的链表操作。负责将驱动的加载信息添加到内核的驱动链表中，或者从链表中移除已卸载的驱动。

游客，如果您要查看本帖隐藏内容请回复

代码爱好者

6666666666666

18371826220

Windows驱动开发：内核无痕隐藏自身分析