NT环境下进程隐藏的实现

作者：局部变量

下载源代码
逆风者

　　在NT环境下隐藏进程，也就是说在用户不知情的条件下，执行自己的代码的方法有很多种，比如说使用注册表插入DLL，使用Windows挂钩等等。其中比较有代表性的是Jeffrey Richer在《Windows核心编程》中介绍的LoadLibrary方法和罗云彬在《windows环境下32位汇编语言程序设计》中介绍的方法。两种方法的共同特点是：都采用远程线程，让自己的代码作为宿主进程的线程在宿主进程的地址空间中执行，从而达到隐藏的目的。相比较而言，Richer的方法由于可以使用c/c 等高级语言完成，理解和实现都比较容易，但他让宿主进程使用LoadLibrary来装入新的DLL，所以难免留下蛛丝马迹，隐藏效果并不十分完美。罗云彬的方法在隐藏效果上绝对一流，不过，由于他使用的是汇编语言，实现起来比较难（起码我写不了汇编程序:)）。笔者下面介绍的方法可以说是对上述两种方法的综合：采用c/c 编码，实现完全隐藏。并且，笔者的方法极大的简化了远程线程代码的编写，使其编写难度与普通程序基本一致。


基础知识

　　让自己的代码作为宿主进程的线程，在宿主进程的地址空间中执行确实是个不错的主意。但是要自己把程序放到其他进程的地址空间中去运行，将面临一个严峻的问题：如何实现代码重定位。关于重定位问题，请看下面的程序：

… 

int func()//函数func的定义 

… 

int a = func();//对func的调用 

…

这段程序经过编译链接后，可能会变成下面的样子： 

… 

0x00401800: push ebp//这是函数func的入口 

0x00401801: mov ebp, esp 

… 

0x00402000: call 00401800//对函数func的调用 

0x00402005: mov dword ptr [ebp-08], eax 

… 

… 

0x00801800: push ebp//这是函数func的入口 

0x00801801: mov ebp, esp 

… 

0x00802000: call 00401800//00401800处是什么 

0x00802005: mov dword ptr [ebp-08], eax 

…