易语言隐藏进程模块源码 [db:版本]

易语言隐藏进程模块源码

系统结构:隐藏进程,用保护型打开进程,提升进程权限,写物理内存,读物理内存,取进程EProcess,十六文本至长整数,取字节集指针_,NtSystemDebugControl,取自进程ID,关闭系统快照,ZwQuerySystemInformation,复制内存整数,RtlMoveMemory2,StrToInt64ExA,打开令牌对象,取权限令牌,置进程权限,关闭对象,ZwOpenProcess,RtlMoveMemory3,RtlMoveMemory1,ZwDuplicateObject,ZwQueryInformationProcess,ZwClose,

======程序集1
| |
| |------ _启动子程序
| |
| |------ _临时子程序
| |
| |------ 隐藏进程
| |
| |------ 用保护型打开进程
| |
| |------ 提升进程权限
| |
| |------ 写物理内存
| |
| |------ 读物理内存
| |
| |------ 取进程EProcess
| |
| |------ 十六文本至长整数
| |
| |
======调用的Dll
| |
| |---[dll]------ 取字节集指针_
| |
| |---[dll]------ NtSystemDebugControl
| |
| |---[dll]------ 取自进程ID
| |
| |---[dll]------ 关闭系统快照
| |
| |---[dll]------ ZwQuerySystemInformation
| |
| |---[dll]------ 复制内存整数
| |
| |---[dll]------ RtlMoveMemory2
| |
| |---[dll]------ StrToInt64ExA
| |
| |---[dll]------ 打开令牌对象
| |
| |---[dll]------ 取权限令牌
| |
| |---[dll]------ 置进程权限
| |
| |---[dll]------ 关闭对象
| |
| |---[dll]------ ZwOpenProcess
| |
| |---[dll]------ RtlMoveMemory3
| |
| |---[dll]------ RtlMoveMemory1
| |
| |---[dll]------ ZwDuplicateObject
| |
| |---[dll]------ ZwQueryInformationProcess
| |
| |---[dll]------ ZwClose

调用的DLL命令:

.DLL命令 取字节集指针_, 整数型, "kernel32.dll", "lstrcpynA", , 成功返回保存变量指针,失败返回0
.参数 保存变量, 字节集, 传址, 保存的变量
.参数 待拷变量, 字节集, 传址, 拷与的变量或数据
.参数 拷贝长度, 整数型, , 拷贝长度可用0

.DLL命令 NtSystemDebugControl, 整数型, "ntdll.dll", "NtSystemDebugControl"
.参数 Command, 整数型, , 8
.参数 InputBuffer, 字节集
.参数 InputBufferLength, 整数型
.参数 OutputBuffer, 整数型
.参数 OutputBufferLength, 整数型
.参数 ReturnLength, 整数型, 传址

.DLL命令 取自进程ID, 整数型, "kernel32.dll", "GetCurrentProcessId"

.DLL命令 关闭系统快照, 整数型, "kernel32.dll", "CloseHandle"
.参数 快照句柄, 整数型

.DLL命令 ZwQuerySystemInformation, 整数型, "ntdll.dll", "ZwQuerySystemInformation"
.参数 SystemInformationClass, 整数型, , 未知类型：SYSTEM_INFORMATION_CLASS。
.参数 SystemInformation, 字节集, , any
.参数 SystemInformationLength, 整数型
.参数 ReturnLength, 整数型, 传址

.DLL命令 复制内存整数, 整数型, "kernel32.dll", "RtlMoveMemory"
.参数 目标地址, 整数型, 传址
.参数 源地址, 整数型
.参数 复制长度, 整数型

.DLL命令 RtlMoveMemory2, 整数型, , "RtlMoveMemory"
.参数 dest, SYSTEM_HANDLE_INFORMATION
.参数 Source, 整数型
.参数 len, , , 284

.DLL命令 StrToInt64ExA, 整数型, "shlwapi.dll", "StrToInt64ExA", , 64-bit integer
.参数 pszString, 文本型
.参数 dwFlags, 整数型, , 1为16进制，0为10进制
.参数 piRet, 长整数型, 传址

.DLL命令 打开令牌对象, 逻辑型, "advapi32.dll", "OpenProcessToken", , 打开过程令牌对象
.参数 进程句柄, 整数型
.参数 权限, 整数型
.参数 令牌句柄, 整数型, 传址

.DLL命令 取权限令牌, 整数型, "advapi32.dll", "LookupPrivilegeValueA", , 返回特权名LUID
.参数 系统服务名, 整数型, , lpSystemName
.参数 权限名, 文本型, 传址
.参数 权限结构, LUID, 传址

.DLL命令 置进程权限, 逻辑型, "advapi32.dll", "AdjustTokenPrivileges", , 使能/取消令牌特权
.参数 令牌句柄, 整数型
.参数 DisableAllPrivileges, 逻辑型
.参数 NewState, 进程权限, 传址
.参数 BufferLength, 整数型
.参数 PreviousState, 整数型
.参数 ReturnLength, 整数型

.DLL命令 关闭对象, 整数型, "kernel32.dll", "CloseHandle"
.参数 对象句柄, 整数型

.DLL命令 ZwOpenProcess, 整数型, "ntdll.dll", "ZwOpenProcess"
.参数 hProcess, 整数型, 传址
.参数 DesiredAccess, 整数型
.参数 ObjectAttributes, OBJECT_ATTRIBUTES
.参数 ClientId, CLIENT_ID

.DLL命令 RtlMoveMemory3, 整数型, , "RtlMoveMemory", , 常规API,从地址读一个整数
.参数 dest, 整数型, 传址
.参数 Source, 整数型
.参数 len, , , 4

.DLL命令 RtlMoveMemory1, 整数型, , "RtlMoveMemory", , 常规API
.参数 dest, SYSTEM_HANDLE_TABLE_ENTRY_INFO
.参数 Source, 整数型
.参数 len, , , 284

.DLL命令 ZwDuplicateObject, 整数型, "ntdll.dll"
.参数 SourceProcessHandle, 整数型
.参数 SourceHandle, 整数型
.参数 TargetProcessHandle, 整数型
.参数 TargetHandle, 整数型, 传址
.参数 DesiredAccess, 整数型
.参数 HandleAttributes, 整数型
.参数 Options, 整数型

.DLL命令 ZwQueryInformationProcess, 整数型, "ntdll.dll", "ZwQueryInformationProcess"
.参数 SystemInformationClass, 整数型, , 未知类型：SYSTEM_INFORMATION_CLASS。
.参数 dd, 整数型
.参数 SystemInformation, PROCESS_BASIC_INFORMATION, , any
.参数 SystemInformationLength, 整数型
.参数 ReturnLength, 整数型, 传址

.DLL命令 ZwClose, 整数型, "ntdll.dll", "ZwClose"
.参数 hnd