Windows7遍历PspCidTable表检测隐藏进程

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ＺＨＯＵ．ＬｉＲｏｎＭＡｅ－ｎ２ｇ，ＷｎＬｏｇ
（ｉｒｒ，ｚｏｏｌｇｆｅｈｏｏｙＱｚｏ２００ＣｉａＬｂａｙＱｕｈｕＣｌｅｏＴｃｎｌｇ，ｕｈｕ３４０，ｈｎ）ｅ（ｆｒｔｎａｄＥｇｎｅｉｇＣｌｇ，ｕｈｕＣｌｇｆｅｈｏｏｙＱｕｈｕ３４０，ｈｎ）ＩｏｍａｉｎｉｅｒｏｌｅＱｚｏｏｌｅＴｃｎｌｇ，ｚｏ２００Ｃｉｎｏｎｎｅｅｏａ
ｓｅｎｔｅｏａｔｍａｉａｌｅｅｔｐｏｅｓｓｘｅｍｅｔｎｗｉｄｗｓ７ｏｅａｉｎｓｓｍｈｗｅｈｔｔｅｔｐａｄｍｅｈｄｔｕｏｔｌｄｔｃｒｃｓｅ．Ｅｐｒｎｓｏｎｏｐｒｔｙｔｃｙｉｏｅｓｏｄｔａｈａｇｒｈａｎｍｅａｅａｌｐｏｅｓｓｗｉｉｈｅｃｅｃ，ｎｌｄｒｅｓｓｔａｏｋｄｆｎｔｎｈｔｎｍｅａｅｌｏｉｔｃｌｅｕｒｔｌｒｃｓｅｔｈｇｆｉｎｙｉｃｕｅｐｏｓｅｈｔｏｅｕｃｉｓｔａｕｒｔｄｍｌｈｉｃｈｏｅｐｏｅｓｓｏｉｃｌｎｅｅｔｅｎｌｐｃｈｎｅｅｅａａｔｅｓｌｒｃｓｅｒｒｔｅｔｒｄｉｏｋｒｅａｅｃａｇｄｋｒｌｔｍｄｅ￣ｄｅｙｎｓｎｄｏ
有进程，包括通过挂钩枚举进程的函数或进入内核空间直接修改内核数据来达到隐藏自身目的的进程。
关键词：进程；ＰｐｉＴｂｅｓＣｄａｌ；指针；内核ＷｉｄｗｓｇｄｃｓＣｉＴｂｅｔｅｅｔｉｄｎＰｒｃｓｅｎｏＥｒｏｉｅＰｐｄａｌｏｄｔｃｄｅｏｅｓｓ７ｈ
ｔｂａｎｍｅｒｄｒｓｎｏｓＰｓｄｂｅＴｈｅａｇｒｔｍｆＥｒｏｉｉｇＰｓＣｉＴａｌ，ｎｌｒｎｐｔｅｏｏｔｉｍｏｙａｄｅｓｏｆｗｉｄｗｓ７＇ｐＣｉＴａｌ．ｌｏｈｏｇｄｃｎｐｄｂｅｆａｌｂｇｓｕｈｉｉｙｉ
ｐｏｅｓｓｉｃｕｅｈｄｅｒｃｓｅ．ｅｐｐｒａａｙｓｓｔｅｓｒｃｕｅｏｒｃｓｅｌｄｉｄｎｐｏｅｓｓＴｈａｅｎｌｅｈｔｕｔｒｆｗｉｄｗｓ７＇ＰｓＣｉＴｂｅｅｐｕｎｓｔｅｈｄｎｎｏｓｐｄａｌ，ｘｏｄｍｔｅｈｅ
内核枚举进程的ＡＩＰ或直接修改内核数据，让它们返回的数据始终遗漏病毒自身进程的信息，一般的进程
访问一个对象的时候，如打开一个文件，系统就会创建一个对象旬柄，通过这个句柄可以对这个文件进行各种的操作。句柄和对象的联系是通过句柄表来进行的，准确来说一个句柄就是它所对应的对象在句柄表
Ａｂｓｒｃ：ＰｓＣｉＴａｅｐｒｓｒｅｌｐｏｎｅｆｐｏｅｓｓａｄｔｒａｄ，ＥｒｏｉｉｐｄａｌａｎｍｅａｅａｌｔａｔｐｄｂｌｅｅｖｓａｌｉｔｒｏｒｃｓｅｎｈｅｓｇｄｃｎｇＰｓＣｉＴｂｅｃｎｅｕｒｔｌ
计算机系统应用
ｈｐｌｗ－Ｓ．ｒ．Ｒ：ｗｗｃ．ｏｇｃｌ－ａａ
２１０１年第 Βιβλιοθήκη Baidu ０卷第９期
Ｗｉｄｗ遍历ＰｐｉＴｂｅｎｏｓ７ｓＣｄａｌ表检测隐藏进程①
周利荣，马文龙
（浙江衢州职业技术学院图书馆，衢州３４０）２００（浙江衢州职业技术学院信息与工程学院，衢州３４０）２００
ＫｅｗｏｄｓｐｏｅｓＰｓｄｂｌ；ｉｔｒＫｅｅｙｒ：ｒｃｓ；ｐＣｉＴａｅｐｏｎｅ；ｒｌｎ
任何病毒和木马的活动都和进程有关，因此，查看系统中活动的进程成为我们检测病毒最直接的方法。
但病毒进程为了逃避检测，常常进入内核空间，修改
摘
要：ｓＣｄａｌ表保存着所有进程和线程对象的指针，ＰｐｉＴｂｅ遍历ＰｐｉＴｂｅｓＣｄａｌ表可以枚举所有进程包括隐藏进程。
分析了ｗｎｏｓ７的Ｐｐｉａｌ的结构，论述了ｗｎｏｓ７的ＰｐｉＴｂｅ表的内存地址获取方法，遍历ｉｄｗｓＣｄｂｅ表ＴｉｄｗｓＣｄａｌＰｐｉａｌ表的算法，最后给出自动检测的实现步骤及方法。在ｗｎｏｓ７操作系统上实验表明可高效枚举所ｓＣｄｂｅＴｉｄｗ
中的索引。通过句柄，可以在句柄表中找到对象的指针，通过指针对对象进行操作。ＰｐｉＴｂｅ就是这样ｓＣｄａｌ
检测工具自然就检测不到病毒进程了【ａｐｐｉＴｂｅｌｓＣｄａｌ】