最新动态
QQ:【3219054341】
内核驱动实战｜在系统核心层隐藏后门进程
发布时间：2026-07-30 14:12:07 浏览次数：112
一次渗透测试中，目标服务器安装了某知名EDR（端点检测和响应系统），用户层提权后不到5分钟就会被查杀。我决定写一个内核驱动——Windows的内核层驱动只要加载成功，就能在系统管理程序（VMM）之下运行，比杀毒软件更底层。
我用C写了一个简易驱动，核心功能是hook ZwQuerySystemInformation这个系统调用——Windows的任务管理器、杀毒软件扫描进程时都会调用这个API获取进程列表。驱动里用一个硬编码的PID黑名单，只要遍历到指定PID就跳过不返回。这样任务管理器显示不出来、杀毒软件扫描不出来，只有通过WinObj在对象管理器中能看到对象指针，但普通管理员不会用这个工具。
加载驱动用了一个已知的驱动程序签名绕过方法：替换CI.dll的验证函数指针，让Windows误以为驱动已签名。然后创建\\.\设备对象供用户层程序通信，用DeviceIoControl控制隐藏进程的开启和关闭。整个操作不需要重启服务器，加载即生效。EDR扫描的时候系统已经告诉它“没有这个进程”，它根本看不到我。
相关新闻
详解波士顿大学修改期末挂科成绩grade分数
2024-08-14 21:40:29
大家是否曾深思过，寻求教务处主任调整成绩之举，与网络上某些声称能修改成绩的服务，在某种层面上，共享着一种不屈不挠的精神内核。当我们的辛勤耕耘未获应有的认可，当每一分汗水都被无形地抹去，当被迫置身于非所愿之事中，那份深藏于...
我很好奇，为什么现在有那么多人选择在网上找人代考或者代刷网课呢？
2024-09-02 14:46:25
寻求网课代学与考试代考服务，不仅能以经济实惠的方式确保学业成绩优异，还能极大地释放您的时间，让您能专注于核心课程的学习或是投身于个人热爱的活动中。网课时长各异，从一两个月的速成课程到横跨整个学期的深入学习项目，不一而足，...
新加坡代考安全吗？新加坡替考,新加坡考试找枪手
2024-09-02 15:07:54
**如何确保新加坡英文论文在线合作的最高安全性？** 在当今数字化时代，虽然通过网络平台与英文论文代写及代考服务合作看似提供了前所未有的便捷与匿名性，避免了面对面的直接接触与潜在曝光风险，但网络世界的虚拟性也隐含着...
