最新动态
【QQ:2951089139】
内核驱动实战｜在系统核心层隐藏后门进程
发布时间：2026-07-30 14:12:07 浏览次数：7
一次渗透测试中，目标服务器安装了某知名EDR（端点检测和响应系统），用户层提权后不到5分钟就会被查杀。我决定写一个内核驱动——Windows的内核层驱动只要加载成功，就能在系统管理程序（VMM）之下运行，比杀毒软件更底层。
我用C写了一个简易驱动，核心功能是hook ZwQuerySystemInformation这个系统调用——Windows的任务管理器、杀毒软件扫描进程时都会调用这个API获取进程列表。驱动里用一个硬编码的PID黑名单，只要遍历到指定PID就跳过不返回。这样任务管理器显示不出来、杀毒软件扫描不出来，只有通过WinObj在对象管理器中能看到对象指针，但普通管理员不会用这个工具。
加载驱动用了一个已知的驱动程序签名绕过方法：替换CI.dll的验证函数指针，让Windows误以为驱动已签名。然后创建\\.\设备对象供用户层程序通信，用DeviceIoControl控制隐藏进程的开启和关闭。整个操作不需要重启服务器，加载即生效。EDR扫描的时候系统已经告诉它“没有这个进程”，它根本看不到我。
相关新闻
教育部国外学位认证缺少成绩单怎么认证
2024-08-13 11:17:14
当教育部 国外学历认证 过程中遇到缺少材料的情况时，申请人可以采取以下步骤来解决问题，确保认证流程能够顺利进行： 1. 明确缺失材料清单 首先，仔细阅读教育部留学服务中心或相关认证机构发出的缺失材料通知...
留学生认证国外学历认证需要哪些材料？认证后有什好处
2024-08-14 00:36:45
申请国外学历学位认证所需提交材料清单： 1. 个人二寸彩色证件照片一张：请确保照片清晰、背景色符合规范，以便用于认证文件的制作。 2. 国外源语言学位证书或高等教育文凭原件及复印件：请完整提交您在国外获得的...
美国代考被抓，如何解决 不容忽视-作弊有被开除停学风险
2024-08-31 11:08:34
**应对美国留学考试代考被揭露的全方位策略** 在美国留学期间，一旦涉及考试代考并被揭露，学生将不得不面对一系列严峻的后果，涵盖学术不端与行政惩戒的双重打击。为了有效化解这一危机，以下是一系列精心策划的解决方案，旨...
