20145319 《网络渗透》免考—进程隐藏

概述

  • 实验的主要目的是通过ap ihook技术对系统回调函数进行hook，拦截系统任务管理器对进程信息的获取，并做出相应修改，从而实现目标进程在任务管理器的列表中“隐藏”
  • 主要知识如下：
  • 注入技术
  • api hook相关技术

实验内容

概念

  • 之前，我们了解了如何做到让一个程序实现任务栏隐藏来做到在用户眼中“隐身”，但如果用户打开任务管理器就能发现后台有一个未知程序正在运行，因此我们需要进一步处理，实现进程隐藏
  • 进程隐藏，分为真隐藏和伪隐藏
  • 真隐藏：顾名思义就是真的让一个程序不以一个进程的方式运行，来实现真正意义上进程隐藏，
  • 伪隐藏：则是一种障眼法，我们今天要做的，就是将任务管理器的列表中抹去目标程序的名字的戏法

伪隐藏（混淆隐藏）

  • 通过读取系统中的关键进程路径，将恶意代码重命名为类似名称（例如kernel32.dll和kerne123.dll），并复制到同一路径下
  • 此方法比较简单，原理容易理解，因此不做过多说明，重点讲述如何修改任务管理器进程列表来实现进程隐藏

伪隐藏（API HOOK）

  • 在windows中，任务管理器也是通过遍历系统中的进程信息结构体链表来，枚举进程信息来实现进程管理的，因此，我们要做的就是通过API拦截技术来拦截该信息，提前将目标进程在待显示进程列表中删除，即可实现进程隐藏
  • 首先是进程的遍历，无论在之前进程注入中获得相应Pid，还是现在进程列表，都是需要使用到进程遍历技术，进程遍历的方法有好几种，最常用的一种就是通过ToolHelp Service提供的API函数来创建系统快照，从快照中获取进程信息，核心函数为CreateToolhelp32Snapshot函数，Process32First函数和Process32Next函数
  • 以下为函数原型
HANDLE WINAPI CreateToolhelp32Snapshot(   
  	DWORD dwFlags,          //系统快照要查看的信息类型   
  	DWORD th32ProcessID      //值0表示当前进程   
  ); 

  BOOL WINAPI Process32First(   
  	HANDLE hSnapshot,        //CreateToolhelp32Snapshot函数创建的快照句柄   
  	LPPROCESSENTRY32 lppe  //进程结构体入口  
  );   
  BOOL WINAPI Process32Next(   
  	HANDLE hSnapshot,        //同上   
  	LPPROCESSENTRY32 lppe  //同上   
  );
  • 首先我们通过CreateToolhelp32Snapshot函数创建系统快照句柄，Process32First函数从名字上看我们就知道，这个函数能获取系统快照中的第一个进程信息，Process32Next则是能获得下一个进程的句柄
  • 通过这个简单的逻辑我们就可以遍历整个进程列表，代码如下
hshot=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);   
  flag=Process32First(hshot,pinfo);
  while(flag){
  	    
  	report=Process32Next(hProcess, pinfo);
  }
  • 第二种，就是通过psapi.dll提供的EnumProcesses函数、EnumProcessModules函数实现
  • 函数原型如下
BOOL EnumProcesses(
     		DWORD* pProcessIds,
     		DWORD cb,
     		DWORD* pBytesReturned
  );

  BOOL EnumProcessModules(
     		HANDLE hProcess,
     		HMODULE* lphModule,
     		DWORD cb, 
     		LPDWORD lpcbNeeded
  );
  • 遍历函数如下
HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS , FALSE, processID);     

  if(NULL != hProcess)
  {
   	HMODULE hMod;
   	DWORD cbNeeded;
   	if( EnumProcessModules(hProcess, &hMod, sizeof(hMod), &cbNeeded) )         
   	{              
         	GetModuleBaseName(hProcess, hMod, szProcessName,sizeof(szProcessName) / sizeof(TCHAR));                        
   	}
  }
  • 在第二种方法里，涉及到OpenProcess操作，进行提权操作，提权代码在博客API拦截（博客链接）中有展示
  • 最后就是通过ZwQuerySystemInformation()函数和SystemHandleInformation标记实现遍历，仍然有许多进程遍历的方法，不过大多数都只能在某些局限性环境下实现，在此就不一一演示了
  • 其实上述所有的进程遍历的方法在根本上都与ZwQuerySystemInformation()函数有关，因此该函数也是我们hook的目标，我们仍旧采用inline hook的手法实现与我们自定义的MyZwQuerySystemInformation()函数地址替换，具体原理参见API拦截技术
  • 代码实现如下：
  • dll代码
  • 注入代码
  • 我们先运行窗口小程序hello5319.exe，将dll注入之后即发现进程列表中hello5319.exe已经消失了