Win64 驱动内核编程-21.DKOM隐藏和保护进程

最新推荐文章于 2025-09-11 12:49:30 发布
原创 最新推荐文章于 2025-09-11 12:49:30 发布 · 1.4w 阅读 · 25 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#驱动 #DKOM隐藏和保护进程 #断链隐藏进程

本文介绍了DKOM(Direct Kernel Object Manipulation)在Windows 64位系统中如何隐藏和保护进程，核心是操作EPROCESS结构体的ActiveProcessLinks和Flags字段。通过修改这些字段，可以实现进程的隐藏，使得ZwQuerySystemInformation无法枚举到隐藏的进程，同时设置Flags为0会导致OpenProcess失败。然而，这种方法存在风险，如影响CreateProcess调用和可能导致蓝屏，更适合于Rootkit而非正规软件。文中给出了实现隐藏和保护进程的代码示例。

DKOM隐藏和保护进程

主要就是操作链表，以及修改节点内容。

DKOM 隐藏进程和保护进程的本质是操作 EPROCESS 结构体，不同的系统用的时候注意查下相关定义，确定下偏移，下面的数据是以win7 64为例。

关 注 两 个 成 员 ： ActiveProcessLinks 和 Flag 。

ActiveProcessLinks 把各个EPROCESS 

最低0.47元/天 解锁文章
驱动签名 隐藏进程 保护进程 多种方式 保护进程的 驱动
05-18
多种方法 保护进程 断链 修改Flag hook对象 抹psp表 csscs表 注册回调 ObRegisterCallbacks
驱动级进程保护 隐藏 注入
08-04
驱动级进程保护 隐藏 注入 W7 W8 W10 32 64位都支持 不蓝屏
X64位驱动保护-隐藏进程躲避游戏检测
热门推荐
hzw320的博客
08-24 2万+
前面我学习过 32位系统里进行驱动隐藏进程，http://bbs.dult.cn/thread-10701-1-1.html 来防止破解或被游戏检测到辅助 本节例子教程讲述的是在64位 win7系统进行驱动隐藏进程， 毕竟现在网络上能在64位win7系统里进行驱动隐藏进程的非常少 所以独立团有必要在驱动模块里加入强大的64位系统驱动隐藏进程功能 隐藏后的效果如下： 可以看见64位...
Windows进程隐藏与反查杀技术实现详解
最新发布
weixin_35706255的博客
09-11 1243
进程隐藏是恶意软件中常见且关键的对抗技术，其核心目标是通过各种手段使恶意进程在系统进程中“消失”或伪装，以逃避安全软件和管理员的检测。随着操作系统安全机制的不断增强，进程隐藏技术也不断演进，从简单的命名混淆到复杂的内核级Hook与驱动隐藏，技术层级日益深入。理解进程隐藏的原理与实现方式，不仅有助于攻击者实现持久化控制，也为防御者提供了识别与对抗的思路。本章将介绍进程隐藏的基本概念、技术分类及其在攻防对抗中的作用，为后续章节的技术剖析奠定基础。
Windows内核和驱动进程保护
01-06
驱动开发环境详细配置，SSDT钩子的进程保护，详细的源代码
驱动级别隐藏进程源代码
06-09
之前在csdn下载的代码，修改了其中的两个bug：1、在有些机器上运行时蓝屏。2、存在内核内存的泄露（通常半天时间后就会死机或自动重启）。 这个是没有完全改好的：（ 自己不能编辑资源，所以又上传了一个（驱动级别隐藏进程源代码2）
驱动实现进程保护
Cosmopolitan的博客
09-24 3888
//基于SSDT Hook //Hook ZwTerminateProcess对传入的进程进行检查，如果匹配，则返回拒绝访问 #include <ntddk.h> #include <windef.h> #include "SSDTHook.h" typedef enum _SYSTEM_INFORMATION_CLASS { SystemBasicInformati...
WIN64驱动编程基础教程
12-06
|-WIN64内核编程的基本规则 |-驱动程序与应用程序通信 |-内核里使用内存 |-内核里操作字符串 |-内核里操作文件 |-内核里操作注册表 |-内核里操作进线程 |-驱动里的其它常用代码 ---------------------------...
基于DKOM技术的驱动级进程隐藏与保护
综上所述，“驱动隐藏保护进程”是一项融合了操作系统原理、内核编程、逆向工程与安全攻防的综合性技术。它不仅揭示了Windows内核架构的深层机制，也反映了系统安全边界的设计缺陷与防御难点。尽管该技术常被用于...
驱动隐藏进程
10-17
驱动级，对进程隐藏，需要的朋友，可以下载使用。
驱动隐藏进程源码
12-26
驱动隐藏进程,vs2008编译，仅供参考
驱动级进程保护 drivers
02-10
驱动级的进程保护程序，能够实现保护进程，不允许别的进程杀掉
易语言驱动进程保护模块
09-12
易语言驱动进程保护模块 隐藏进程 阻止被关闭
易语言驱动进程保护源码-易语言
06-13
易语言驱动进程保护源码
BASIC ROOTKIT that hides files, directories, and processes
02-01 1128
// BASIC ROOTKIT that hides files, directories, and processes// ----------------------------------------------------------// v0.1 - Initial, Greg Hoglund (hoglund@rootkit.com)// v0.2 - DirEntry struct
[Windows 驱动开发] 隐藏进程内存
LYSM
09-01 1935
原理 在进程的 _EPROCESS 中有一个 _RTL_AVL_TREE 类型的 VadRoot 成员，它是一个存放进程内存块的二叉树结构，如果我们找到了这个二叉树中我们想要隐藏的内存，直接将这个内存在二叉树中 “抹去”（其实是让上一个节点的 EndingVpn 指向下个节点的 EndingVpn ，让两个节点融合） 就可以达到隐藏的效果。 过程 比如你在代码中申请了两块内存： int main() { LPVOID p1 = VirtualAlloc(NULL, 0x10000, MEM_CO
【驱动级！进程隐藏-按键精灵过检】驱动级，内核级进程隐藏，进程保护。实战效果演示，免费分享。
luoqiaoliang的博客
05-20 7951
废话不多说，干货直接上！ 免费的驱动级进程隐藏工具分享，还不赶紧带上你的赞和关注白嫖一波吗？
评论 3
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值