用户态检测内核级的隐藏进程

• 作者: Hovi．Delphicx
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 隐藏进程 RING3
• 年，卷（期）: 2009,（9）
• 页码范围: 106-109
• 页数: 4页
• 分类号: TP316

摘要

自从买了《黑客防线VC专辑》之后，就一直在研究里面关于检测隐藏进程的文章。书中检测隐藏进程的方法主要分为检测PSpCidTable、检测进程调度链或者挂钩SwapContext。然而我遗憾的发现，这些方法不仅要编写虚拟设备驱动程序，而且还检查不出著名的进程隐藏实例phide_ex。其实逃避这些方法的检测很简单，只要把自己的信息在PspCidTable上抹除，以及暂时不调度自身或者恢复相应的钩子就可以了。