API隐藏进程源码

yh3215 · 发表于 2018-2-6 20:07:55

提升进程权限 ()
hand ＝用保护型打开进程 (2075311, 真, 取自进程ID ())
eprocess ＝取进程EProcess (取自进程ID ())
关闭系统快照 (hand)

如果真 (eprocess ＝ 0)

返回 (假)

temp ＝读物理内存 (eprocess ＋ 136, 4)

如果真 (temp ＝ { })

返回 (假)
fw_ ＝取字节集数据 (temp, #长整数型, )
fw ＝ temp
temp ＝读物理内存 (eprocess ＋ 140, 4)

如果真 (temp ＝ { })

返回 (假)
bw_ ＝取字节集数据 (temp, #长整数型, )
bw ＝ temp

如果真 (写物理内存 (fw_ ＋ 4, bw) ＝ -1)

返回 (假)

如果真 (写物理内存 (bw_, fw) ＝ -1)

返回 (假)
返回 (真)

子程序名	返回值类型	公开	备注
用保护型打开进程	整数型
参数名	类型	参考	可空	数组	备注
dwDesiredAccess	整数型
bInhert	逻辑型
ProcessId	整数型

变量名	类型	静态	数组	备注
st	整数型
cid	CLIENT_ID
oa	OBJECT_ATTRIBUTES
NumOfHandle	整数型
pbi	PROCESS_BASIC_INFORMATION
i	整数型
hProcessToDup	整数型
hProcessCur	整数型
hProcessToRet	整数型
h_info	SYSTEM_HANDLE_TABLE_ENTRY_INFO
retlen	整数型
a	字节集
b	整数型
c	字节集
ret	整数型

oa.Length ＝ 24

如果真 (bInhert)

oa.Attributes ＝位或 (oa.Attributes, 2)
cid.UniqueProcess ＝ ProcessId ＋ 1
st ＝ ZwOpenProcess (hProcessToRet, dwDesiredAccess, oa, cid)

如果真 (st ≥ 0)

ret ＝ hProcessToRet

返回 (ret)
retlen ＝ 1

循环判断首 ()

a ＝取空白字节集 (retlen)

ret ＝ ZwQuerySystemInformation (16, a, retlen, 0)

如果 (ret ＝ -1073741820)

retlen ＝ retlen × 2

a ＝取空白字节集 (retlen)

跳出循环 ()

循环判断尾 (ret ＝ -1073741820)
b ＝取字节集指针_ (a, a, 0)
RtlMoveMemory3 (NumOfHandle, b, 4)
b ＝ b ＋ 4

计次循环首 (NumOfHandle, i)

RtlMoveMemory1 (h_info, b, 16)

如果真 (h_info.ObjectTypeIndex ＝ 5)

cid.UniqueProcess ＝ h_info.UniqueProcessId

st ＝ ZwOpenProcess (hProcessToDup, 64, oa, cid)

如果真 (st ≥ 0)

st ＝ ZwDuplicateObject (hProcessToDup, h_info.HandleValue, -1, hProcessCur, 2035711, 0, 4)

如果真 (st ≥ 0)

st ＝ ZwQueryInformationProcess (hProcessCur, 0, pbi, 24, 0)

如果真 (st ≥ 0)

如果真 (pbi.UniqueProcessId ＝ ProcessId)

st ＝ ZwDuplicateObject (hProcessToDup, h_info.HandleValue, -1, hProcessToRet, dwDesiredAccess, 2, 4)

如果真 (st ≥ 0)

ret ＝ hProcessToRet

st ＝ ZwClose (hProcessCur)

st ＝ ZwClose (hProcessToDup)

b ＝ b ＋ 16

计次循环尾 ()
返回 (ret)

子程序名	返回值类型	公开	备注
提升进程权限	逻辑型		成功返回真，把一个进程的权限提升到调试级权限
参数名	类型	参考	可空	数组	备注
进程ID	整数型				欲提升权限的进程ID，若空为自进程，可以协助跨进程内存读写搜索时使用

变量名	类型	静态	数组	备注
进程句柄	整数型
令牌句柄	整数型
destLuid	LUID
进程权限	进程权限
返回	逻辑型

如果真 (0 ＝进程ID)

进程ID ＝取自进程ID ()
进程句柄＝用保护型打开进程 (2035711, 真, 进程ID)
打开令牌对象 (进程句柄, 983551, 令牌句柄)
取权限令牌 (0, “SeDebugPrivilege”, destLuid)
进程权限.PrivilegeCount ＝ 1
进程权限.Attributes ＝ 2
进程权限.LowPart ＝ destLuid.LowPart
进程权限.HighPart ＝ destLuid.HighPart
返回＝置进程权限 (令牌句柄, 假, 进程权限, 0, 0, 0)
关闭对象 (进程句柄)
返回 (返回)

.版本 2<br />
<br />
.子程序 用保护型打开进程, 整数型<br />
.参数 dwDesiredAccess, 整数型<br />
.参数 bInhert, 逻辑型<br />
.参数 ProcessId, 整数型<br />
.局部变量 st, 整数型<br />
.局部变量 cid, CLIENT_ID<br />
.局部变量 oa, OBJECT_ATTRIBUTES<br />
.局部变量 NumOfHandle, 整数型<br />
.局部变量 pbi, PROCESS_BASIC_INFORMATION<br />
.局部变量 i, 整数型<br />
.局部变量 hProcessToDup, 整数型<br />
.局部变量 hProcessCur, 整数型<br />
.局部变量 hProcessToRet, 整数型<br />
.局部变量 h_info, SYSTEM_HANDLE_TABLE_ENTRY_INFO<br />
.局部变量 retlen, 整数型<br />
.局部变量 a, 字节集<br />
.局部变量 b, 整数型<br />
.局部变量 c, 字节集<br />
.局部变量 ret, 整数型<br />
<br />
oa.Length ＝ 24<br />
.如果真 (bInhert)<br />
    oa.Attributes ＝ 位或 (oa.Attributes, 2)<br />
.如果真结束<br />
cid.UniqueProcess ＝ ProcessId ＋ 1<br />
st ＝ ZwOpenProcess (hProcessToRet, dwDesiredAccess, oa, cid)<br />
.如果真 (st ≥ 0)<br />
    ret ＝ hProcessToRet<br />
    返回 (ret)<br />
.如果真结束<br />
retlen ＝ 1<br />
.循环判断首 ()<br />
    a ＝ 取空白字节集 (retlen)<br />
    ret ＝ ZwQuerySystemInformation (16, a, retlen, 0)<br />
    .如果 (ret ＝ -1073741820)<br />
        retlen ＝ retlen × 2<br />
        a ＝ 取空白字节集 (retlen)<br />
    .否则<br />
        跳出循环 ()<br />
    .如果结束<br />
<br />
.循环判断尾 (ret ＝ -1073741820)<br />
b ＝ 取字节集指针_ (a, a, 0)<br />
RtlMoveMemory3 (NumOfHandle, b, 4)<br />
b ＝ b ＋ 4<br />
.计次循环首 (NumOfHandle, i)<br />
    RtlMoveMemory1 (h_info, b, 16)<br />
    .如果真 (h_info.ObjectTypeIndex ＝ 5)<br />
        cid.UniqueProcess ＝ h_info.UniqueProcessId<br />
        st ＝ ZwOpenProcess (hProcessToDup, 64, oa, cid)<br />
        .如果真 (st ≥ 0)<br />
            st ＝ ZwDuplicateObject (hProcessToDup, h_info.HandleValue, -1, hProcessCur, 2035711, 0, 4)<br />
            .如果真 (st ≥ 0)<br />
                st ＝ ZwQueryInformationProcess (hProcessCur, 0, pbi, 24, 0)<br />
                .如果真 (st ≥ 0)<br />
                    .如果真 (pbi.UniqueProcessId ＝ ProcessId)<br />
                        st ＝ ZwDuplicateObject (hProcessToDup, h_info.HandleValue, -1, hProcessToRet, dwDesiredAccess, 2, 4)<br />
                        .如果真 (st ≥ 0)<br />
                            ret ＝ hProcessToRet<br />
                        .如果真结束<br />
<br />
                    .如果真结束<br />
<br />
                .如果真结束<br />
<br />
            .如果真结束<br />
            st ＝ ZwClose (hProcessCur)<br />
        .如果真结束<br />
        st ＝ ZwClose (hProcessToDup)<br />
    .如果真结束<br />
    b ＝ b ＋ 16<br />
.计次循环尾 ()<br />
返回 (ret)<br />
<br />
.子程序 提升进程权限, 逻辑型, , 成功返回真，把一个进程的权限提升到调试级权限<br />
.参数 进程ID, 整数型, 可空, 欲提升权限的进程ID，若空为自进程，可以协助跨进程内存读写搜索时使用<br />
.局部变量 进程句柄, 整数型<br />
.局部变量 令牌句柄, 整数型<br />
.局部变量 destLuid, LUID<br />
.局部变量 进程权限, 进程权限<br />
.局部变量 返回, 逻辑型<br />
<br />
.如果真 (0 ＝ 进程ID)<br />
    进程ID ＝ 取自进程ID ()<br />
.如果真结束<br />
进程句柄 ＝ 用保护型打开进程 (2035711, 真, 进程ID)<br />
打开令牌对象 (进程句柄, 983551, 令牌句柄)<br />
取权限令牌 (0, “SeDebugPrivilege”, destLuid)<br />
进程权限.PrivilegeCount ＝ 1<br />
进程权限.Attributes ＝ 2<br />
进程权限.LowPart ＝ destLuid.LowPart<br />
进程权限.HighPart ＝ destLuid.HighPart<br />
返回 ＝ 置进程权限 (令牌句柄, 假, 进程权限, 0, 0, 0)<br />
关闭对象 (进程句柄)<br />
返回 (返回)

13434230728 · 发表于 2024-9-6 04:28:17

不知道能不能使用

byronzhj · 发表于 2023-4-30 19:22:30

不知道能不能使用

5019 · 发表于 2021-12-9 00:06:21

好用吗，有没有更了的发我一下

白优星辰 · 发表于 2021-11-14 21:16:14

666666666666666666666666666666

zgg0133 · 发表于 2021-9-5 18:30:26

根本就隐藏不了

phuai007 · 发表于 2020-12-8 17:04:15

win7 64 不能用

云峰98 · 发表于 2020-4-4 18:56:21

下了很多都是加载驱动失败。win7.这个再试试了

w1285378872 · 发表于 2019-12-22 22:07:56

666666666666666

dfcf297132 · 发表于 2019-10-27 10:48:43

想学习一下，看来需要好好努力

		自动登录	找回密码
密码			注册

[易语言纯源码] API隐藏进程源码

点评

评分