[测试]WIN7X86上的进程路径欺骗（过PCHUNTER等流行ARK）

Tesla.Angela

如果需要购买这个PoC的源码，请查看这里。

注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。

---

64位版本：http://www.m5home.com/bbs/thread-8197-1-1.html

废话不说直接上图。注意PID和EPROCESS没变化，进程路径、父进程ID等变化了。

（^隐藏前^）

（^隐藏后^）

使用方法：
输入PID，即可把进程伪装成『C:\WINDOWS\SYSTEM32\SVCHOST.EXE』。

使用禁忌：
1.目标程序存放的路径至少要比"C:\WINDOWS\SYSTEM32\SVCHOST.EXE"长，如果路径是"C:\1.EXE"就无法伪装。
2.目标程序必须存放在系统盘，否则很容易蓝屏。

gfw

前排卖汽水瓜子

hapi

恩，这个看看

mlyknown

学习了

jgyolm

学习了解下

homexigua

路径为什么需要那么长?

Thinkpador

看看是什么情况

yhcyhy2010

看看是什么情况

huangchao209

下来学习下，

huangchao209

下来学习下，