[测试]WIN7X64上的进程路径欺骗（过PCHUNTER等流行ARK）

Tesla.Angela · 发表于 2014-9-23 18:24:34

如果需要购买这个PoC的源码，请查看这里。

注意：部分PoC使用了知名的泄露证书（比如：“HT SRL”等）进行签名，微软在最新的系统上已经将这些证书拉黑。如果您发现驱动无法加载，请使用没有被微软拉黑的证书给驱动重新进行签名，或使用signtool工具移除驱动的签名后再关闭DSE进行测试。

32位版本：http://www.m5home.com/bbs/thread-8196-1-1.html

废话不说直接上图。注意PID和EPROCESS没变化，进程路径、父进程ID等变化了。
值得一提的是：这种方法不会触发PATCHGUARD，并支持32位和64位两种进程。

（^32位进程隐藏前^）

（^32位进程隐藏后^）

（^64位进程隐藏前^）

（^64位进程隐藏后^）

使用方法：
输入PID，即可把进程伪装成『C:\WINDOWS\SYSTEM32\SVCHOST.EXE』或『C:\WINDOWS\SYSWOW64\SVCHOST.EXE』（根据进程位数而定）。
使用禁忌：
1.目标程序存放的路径至少要比"C:\WINDOWS\SYSTEM32\SVCHOST.EXE"长，如果路径是"C:\1.EXE"就无法伪装。
2.目标程序必须存放在系统盘，否则很容易蓝屏。

46785131 · 发表于 2014-9-23 18:31:51

TA出品.必出精品!~~

KOK20141001 · 发表于 2014-10-7 13:41:35

谢谢分享哈哈哈哈

virus_kf · 发表于 2014-10-30 14:48:20

有啥子用呢

homexigua · 发表于 2014-11-14 13:35:10

看看什么情况

zfdyq · 发表于 2014-12-9 19:54:29

学习了~

sinmon · 发表于 2014-12-9 22:32:23

谢谢分享

yhcyhy2010 · 发表于 2014-12-13 22:10:57

谢谢分享

basketwill · 发表于 2014-12-23 13:16:22

需要

cfhkwv · 发表于 2014-12-30 18:52:57

研究研究

Thinkpador · 发表于 2015-3-6 22:01:45

学习学习

從零開始 · 发表于 2015-3-7 18:08:08

必须看看

upring · 发表于 2015-3-28 21:48:26

谢谢分享

TouDaiMa · 发表于 2015-3-31 16:01:45

不实用

xiaomo · 发表于 2015-4-4 20:27:32

学习了..................

shaodian87 · 发表于 2015-4-12 10:16:05

哇这个东西有点霸道啊

陌路人 · 发表于 2015-4-19 23:29:10

一定要看看

lcg2015 · 发表于 2015-4-26 17:20:47

这个不错，一定要要学习一下

lcg2015 · 发表于 2015-4-26 17:21:23

有源码吗？

dagangwood · 发表于 2015-4-28 08:43:35

谢谢， LZ五一快乐！

黑衣 · 发表于 2015-4-29 22:27:55

好东西都要收藏

黑衣 · 发表于 2015-4-29 22:28:14

怎么还要回复第二次！~~

luqi_44 · 发表于 2015-4-30 02:33:09

看看看看

lanjingling888 · 发表于 2015-5-19 12:54:20

大概看一下

309100 · 发表于 2015-6-25 12:55:43

弄个下来研究下...

ganjun · 发表于 2015-7-8 22:40:13

提示: 该帖被管理员或版主屏蔽

x13579 · 发表于 2015-7-11 16:33:50

看看是什么东西

crkey · 发表于 2015-8-1 11:04:49

能讲下大概原理么

wqh21 · 发表于 2015-8-1 20:00:44

黑科技啊

li53133 · 发表于 2015-8-14 08:55:46

谢谢分享

MakeRead · 发表于 2015-8-22 10:00:09

学习学习

绿林科技 · 发表于 2015-8-22 22:03:33

谢谢分享

账号		自动登录	找回密码
密码			加入我们

[测试]WIN7X64上的进程路径欺骗（过PCHUNTER等流行ARK）

评分