說說windows內核中為什麽要隱藏線程?(附源碼)
阿新 • • 發佈:2019-01-08
null ioc hide 使用 做什麽 read %d form adc 一、論:
接著上一篇來談談,進程都能隱藏,單獨隱藏進程中的某一個線程幹啥?
二、需求:
需求源動力,就是有需求,除了正兒八經熱愛喜歡專研的朋友,無利無名、無食而學日不思,真的讓人很尊敬。
三、打個比方:
當你想要去實現隱藏線程的時候你有可能在幹什麽?做一個工具?或者說是學習?通過隱藏線程可以更深入理解windows內部原理?進程與線程之間的關系?一個正常進程裏面包含惡意線程?這是一個很棒的學習方式。也許你會用它來做一些事情,以前想寫過一個類似於ARK的工具,才有了學習的需求及動力。但是還沒有實際的環境去應用隱藏線程,沒有需求,但還是把代碼認真的寫出來,分享一些知識,知識在於分享。
四、還是那些結構體:
有時候我在想,不用winAPI我能做什麽事?也許我還能做很多的事情,因為有足夠的結構體我就不慌、但是,如果沒有了結構體我能做什麽事情?這個還真不好說,其實相對於windows我更為喜歡Linux那種自由。
介紹主人公_ETHREAD與_KTHREAD:
1、_EPROCESS.ThreadListHead ---> _ETHREAD
2、_KPROCESS.ThreadListHead ---> _KTHREAD
線程屬於進程,一個進程由多個線程、那麽同一個進程的多個線程使用的是相同的進程空間,線程也叫做輕量級進程。線程掛靠技術,也可以本線程使用其他進程的空間。
windows下線程是最小執行單位,每個進程至少會有一個主線程去響應執行。同樣_ETHREAD屬於執行體層,內嵌偏移0是_KTHREAD(微內核層),異曲同工之妙,windows的管理不得不說很優秀,可以用藝術來形容。
_KPROCESS中會有一個成員叫做ThreadListHead字段是進程所有線程的鏈表。指向的位置是_KTHREAD.ThreadListEntry,這個地方當時異或了好久,為啥?為啥這個鏈表指向的就是這個結構體這個位置,其實我現在也很糾結.
_KPROCESS.ThreadListHead指向 -----> _KTHREAD.ThreadListEntry
就是這個情況.內核就是通過這個來遍歷屬於某一個進程空間的所有線程。詳細資料還是參考:https://bbs.pediy.com/thread-223858.htm 個人感覺翻譯過來的文章質量五星好評。
五、貼上源碼
接著上一篇來談談,進程都能隱藏,單獨隱藏進程中的某一個線程幹啥?
二、需求:
需求源動力,就是有需求,除了正兒八經熱愛喜歡專研的朋友,無利無名、無食而學日不思,真的讓人很尊敬。
三、打個比方:
當你想要去實現隱藏線程的時候你有可能在幹什麽?做一個工具?或者說是學習?通過隱藏線程可以更深入理解windows內部原理?進程與線程之間的關系?一個正常進程裏面包含惡意線程?這是一個很棒的學習方式。也許你會用它來做一些事情,以前想寫過一個類似於ARK的工具,才有了學習的需求及動力。但是還沒有實際的環境去應用隱藏線程,沒有需求,但還是把代碼認真的寫出來,分享一些知識,知識在於分享。
四、還是那些結構體:
有時候我在想,不用winAPI我能做什麽事?也許我還能做很多的事情,因為有足夠的結構體我就不慌、但是,如果沒有了結構體我能做什麽事情?這個還真不好說,其實相對於windows我更為喜歡Linux那種自由。
1、_EPROCESS.ThreadListHead ---> _ETHREAD
2、_KPROCESS.ThreadListHead ---> _KTHREAD
線程屬於進程,一個進程由多個線程、那麽同一個進程的多個線程使用的是相同的進程空間,線程也叫做輕量級進程。線程掛靠技術,也可以本線程使用其他進程的空間。
windows下線程是最小執行單位,每個進程至少會有一個主線程去響應執行。同樣_ETHREAD屬於執行體層,內嵌偏移0是_KTHREAD(微內核層),異曲同工之妙,windows的管理不得不說很優秀,可以用藝術來形容。
_KPROCESS中會有一個成員叫做ThreadListHead字段是進程所有線程的鏈表。指向的位置是_KTHREAD.ThreadListEntry,這個地方當時異或了好久,為啥?為啥這個鏈表指向的就是這個結構體這個位置,其實我現在也很糾結.
_KPROCESS.ThreadListHead指向 -----> _KTHREAD.ThreadListEntry
就是這個情況.內核就是通過這個來遍歷屬於某一個進程空間的所有線程。詳細資料還是參考:https://bbs.pediy.com/thread-223858.htm 個人感覺翻譯過來的文章質量五星好評。
五、貼上源碼
#include "HideThreadHeader.h" VOID UnLoad(PDRIVER_OBJECT pDriverObj) { UNICODE_STRING DeleteSymbolicLinkName; RtlInitUnicodeString(&DeleteSymbolicLinkName, L"\\DosDevices\\SymbolicLinkName"); IoDeleteSymbolicLink(&DeleteSymbolicLinkName); IoDeleteDevice(pDriverObj->DeviceObject); KdPrint(("UnLoad Sucess")); } NTSTATUS DefaultFun(DEVICE_OBJECT* pDeviceObj, IRP* irp) { UNREFERENCED_PARAMETER(pDeviceObj); irp->IoStatus.Information = 0; irp->IoStatus.Status = STATUS_SUCCESS; IoCompleteRequest(irp, IO_NO_INCREMENT); return STATUS_SUCCESS; } NTSTATUS onCreate(DEVICE_OBJECT* pDeviceObj, IRP* irp) { UNREFERENCED_PARAMETER(pDeviceObj); irp->IoStatus.Information = 0; irp->IoStatus.Status = STATUS_SUCCESS; IoCompleteRequest(irp, IO_NO_INCREMENT); return STATUS_SUCCESS; } NTSTATUS onClose(DEVICE_OBJECT* pDeviceObj, IRP* irp) { UNREFERENCED_PARAMETER(pDeviceObj); irp->IoStatus.Information = 0; irp->IoStatus.Status = STATUS_SUCCESS; IoCompleteRequest(irp, IO_NO_INCREMENT); return STATUS_SUCCESS; } // 遍歷屬於某個進程所有線程 通過斷鏈實現隱藏線程 VOID HideThreadListLink() { CLIENT_ID* ThreadId = NULL; PEPROCESS pkProcess = NULL; PKTHREAD pkThread = NULL; PETHREAD pEthread = NULL; LIST_ENTRY* pEthreadNext = NULL; LIST_ENTRY* pEthreadCurrent = NULL; pkProcess = PsGetCurrentProcess(); // 獲取_KPROCESS->ThreadListHead(_LIST_ENTRY) pEthreadCurrent = (LIST_ENTRY *)((ULONG_PTR)pkProcess + 0x02c); /* 註: 1. _KPROCESS.ThreadListHead->Flink指向的是一個_KTHREAD.ThreadListEntry 2. _KTHREAD.ThreadListEntry - 偏移ThreadListEntry獲取到KTHREAD地址,其實也就是ETHREAD地址. */ KdPrint(("ThreadListHead.Flink = %p\n", pEthreadCurrent->Flink)); KdPrint(("ThreadListHead.blink = %p\n", pEthreadCurrent->Blink)); // 這個 (PETHREAD)(PEPROCESS + 0x2c) pEthreadNext = pEthreadCurrent->Flink; DbgBreakPoint(); while (pEthreadCurrent != pEthreadNext) { pkThread = (PKTHREAD)((ULONG_PTR)pEthreadNext - 0x1e0); // pKthread->Teb 偏移 0x88 // KdPrint(("pKThread->Teb = %p , %s \n", (ULONG_PTR)pkThread + 0x88, (((ULONG_PTR)pKThread + 0x88) == NULL || pkThread->Teb > 0x80000000 ? "System Thread" : "Non System Thread"))); // 轉換成EPROCESS pEthread = (PETHREAD)pkThread; DbgBreakPoint(); // pEthread->Cid 偏移0x22c ThreadId = (CLIENT_ID *)((ULONG_PTR)pEthread + 0x22c); KdPrint(("ThreadId = %d, ProcessId = %d\n\n", ThreadId->UniqueThread, ThreadId->UniqueProcess)); // 這個地方也可以使用斷鏈 偽代碼 if (ThreadId->UniqueThread == "隱藏的線程id") { // 與進程隱藏斷鏈方式一樣 } pEthreadNext = pEthreadNext->Flink; } } // 驅動對象入口點 NTSTATUS DriverEntry(DRIVER_OBJECT* pDriverObj, IRP* irp) { UNREFERENCED_PARAMETER(irp); DbgBreakPoint(); for (int i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; ++i) { pDriverObj->MajorFunction[i] = DefaultFun; } pDriverObj->DriverUnload = UnLoad; pDriverObj->MajorFunction[IRP_MJ_CREATE] = onCreate; pDriverObj->MajorFunction[IRP_MJ_CLOSE] = onClose; UNICODE_STRING DeviceName; UNICODE_STRING SymbolicLinkName; DEVICE_OBJECT* DeviceObj; NTSTATUS nStatus = STATUS_SUCCESS; RtlInitUnicodeString(&DeviceName, L"\\Device\\DeviceName"); RtlInitUnicodeString(&SymbolicLinkName, L"\\DosDevices\\SymbolicLinkName"); nStatus = IoCreateDevice(pDriverObj, 0, &DeviceName, FILE_DEVICE_UNKNOWN, 0, 0, &DeviceObj); if (!NT_SUCCESS(nStatus)) return nStatus; nStatus = IoCreateSymbolicLink(&SymbolicLinkName, &DeviceName); if (!NT_SUCCESS(nStatus)) return nStatus; DbgBreakPoint(); // 沒有使用控制碼等處理 偽代碼進行測試 HideThreadListLink(); return STATUS_SUCCESS; }
說說windows內核中為什麽要隱藏線程?(附源碼)