[BIN+SRC]一个比较完整的进程信息欺骗DEMO（过XT、PT等流行ARK）

Tesla.Angela · 发表于 2013-4-12 00:57:38

修改了EPROCESS结构体的名称、路径、命令行、父进程ID、启动时间、令牌等信息，让一个进程看起来非常像svchost.exe。而且，DKOM后的这个进程可以正常工作。

修改之后，taskmgr.exe显示进程用户组为SYSTEM；AntiSpy 1.4、GMER 1.0.15、IceSword 1.22、Kernel Detective v1.4.0、PsNull3（最后一版）、IceLight 1.96.48、PowerTool 4.2、RkU 3.8 SR2、SnipeSword 1.0.3.5、Wsyscheck、PCHunter 1.2、天琊（最后一版）等ARK全部显示了错误的进程路径信息；SysReveal显示不了进程路径。

BIN仅支持XP。

隐藏进程前（注意PID为1008的进程）：

隐藏进程后（注意PID为1008的进程）：

核心代码（不少代码是从网上COPY来的，特此感谢原作者）：

游客，如果您要查看本帖隐藏内容请回复

破解这个DEMO的办法（仅猜测，未实践）：

游客，如果您要查看本帖隐藏内容请回复

liubin121051 · 发表于 2013-4-12 01:24:15

看看看看看啊啊

kk1025 · 发表于 2013-4-12 07:47:48

回復看內容囉, 感謝大大提供

dico · 发表于 2013-4-12 08:06:13

本帖最后由 dico 于 2013-4-12 08:07 编辑

老大又放招了，特来支持，膜拜！
晕，权限不够！郁闷。设置这么高权限干嘛

1haoyu · 发表于 2013-4-12 12:15:51

学习核心代码！

xmlpull · 发表于 2013-4-12 16:51:26

牛。！

sanyoo · 发表于 2013-4-14 20:23:04

看一下

lpmjknj · 发表于 2013-4-16 08:47:52

权限太高不能下载。

watchsky · 发表于 2013-4-18 16:30:23

watchsky · 发表于 2013-4-18 16:34:31

x64win7偷令牌总蓝，是PG？

Tesla.Angela · 发表于 2013-4-19 12:13:34

watchsky 发表于 2013-4-18 16:34
x64win7偷令牌总蓝，是PG？

是的。偷令牌跟断链隐藏进程、内核HOOK一样，都被视为“藐视微软”的行为。所以PG一样会管。
但如果说偷完令牌创建进程再把令牌改回去，应该就没事了。就好象你去扒窃，没被警察逮到现行警察就没办法。

vip235689 · 发表于 2013-4-19 21:22:38

白名單過法?

kk1025 · 发表于 2013-4-19 22:27:59

想看,但權限太高看不到

pyq逍遥 · 发表于 2013-4-23 18:29:13

好东西

飘在未来 · 发表于 2013-4-23 23:26:10

路过看看！！！

wszjljx · 发表于 2013-4-23 23:41:38

看看是怎么实现的到底操作了哪些数据

夜太美 · 发表于 2013-4-29 04:04:05

Antispy 1.5 已经可以完美枚举到
FXice普通和强力的枚举进程可以完美枚举到

而且,不管是在线程处还是在句柄处都能找到痕迹...

Tesla.Angela · 发表于 2013-4-29 11:25:56

夜太美发表于 2013-4-29 04:04
Antispy 1.5 已经可以完美枚举到
FXice普通和强力的枚举进程可以完美枚举到

你眼睛是不是长在屁股上了，不看贴就回？这是隐藏进程么？这是进程信息欺骗。
AntiSpy 1.5看到的依然是修改过的信息。其他的菜鸟ARK就更加不用说了。
要破解这个DEMO，唯一的办法就是在我还没有修改进程信息时就记录了真实的信息。

rkq1991 · 发表于 2013-4-30 15:51:00

回复看看学习下。。。

nnluyi · 发表于 2013-5-1 08:52:49

有这么牛啊,
回复的验证码太难搞了

lkytal · 发表于 2013-5-1 19:24:28

学习下~

oopww · 发表于 2013-5-3 22:31:03

普通用户，加载不了驱动。。。。。
有没有办法越权？就是在普通用户下创建管理员权限的进程，应用该进程做一些其他事！

bugmany · 发表于 2013-5-3 23:27:22

没法下载src...看看核心代码也好

wjy81 · 发表于 2013-5-6 09:57:19

支持一下。。。。。。。。。。。。

coffeemlx · 发表于 2013-5-11 13:11:14

谢谢楼主提供分享！

zerovos · 发表于 2013-5-17 15:44:18

此一次看看是什么

jzy1115 · 发表于 2013-5-25 09:16:43

看看了。。。

404022 · 发表于 2013-6-13 12:52:09

不知道能不能用在Win764上。。。

bboyiori · 发表于 2013-6-20 17:56:55

在hook里面应该与蛛丝马迹

samvon · 发表于 2013-7-7 19:23:41

看起来很容易被利用的样子...

redcat · 发表于 2013-7-8 12:17:41

下来用用3Q

xxy19804 · 发表于 2013-7-11 09:48:19

我要深入研究下，长见识啊

账号		自动登录	找回密码
密码			加入我们

[BIN+SRC]一个比较完整的进程信息欺骗DEMO（过XT、PT等流行ARK）

点评