首页 / C++ / vc++实现内核级进程保护

vc++实现内核级进程保护

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了vc++实现内核级进程保护，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7340字，纯文字阅读大概需要11分钟。

内容图文

vc++实现内核级进程保护

保护核心代码

#include "ntddk.h"

#define NT_DEVICE_NAME L"//Device//ProtectProcess"
#define DOS_DEVICE_NAME L"//DosDevices//ProtectProcess"

#define IOCTL_PROTECT_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)

NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp);
VOID OnUnload(IN PDRIVER_OBJECT DriverObject);

#pragma pack(1) //SSDT表的结构
typedef struct ServiceDescriptorEntry {
unsigned int *ServiceTableBase;
unsigned int *ServiceCounterTableBase; //Used only in checked build
unsigned int NumberOfServices;
unsigned char *ParamTableBase;
} ServiceDescriptorTableEntry_t, *PServiceDescriptorTableEntry_t;
#pragma pack()

__declspec(dllimport) ServiceDescriptorTableEntry_t KeServiceDescriptorTable; //变量名是不能变的,因为是从外部导入
//这个是查询某个函数的地址的一个宏
#define SYSTEMSERVICE(_function) KeServiceDescriptorTable.ServiceTableBase[*(PULONG)((PUCHAR)_function+1)]

NTSYSAPI NTSTATUS NTAPI ZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);
typedef NTSTATUS (*ZWOPENPROCESS)(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL);

ZWOPENPROCESS OldZwOpenProcess;
long pid = -1;

NTSTATUS NewZwOpenProcess(OUT PHANDLE ProcessHandle,IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes,IN PCLIENT_ID ClientId OPTIONAL)
{
//用来替换的新函数
NTSTATUS nStatus = STATUS_SUCCESS;
if((long)ClientId->UniqueProcess == pid)
{
DbgPrint("保护进程 PID:%ld/n",pid);
return STATUS_ACCESS_DENIED;
}

//剩下的交给我们的原函数
nStatus = OldZwOpenProcess(ProcessHandle,DesiredAccess,ObjectAttributes,ClientId);
return STATUS_SUCCESS;
}

VOID OnUnload(IN PDRIVER_OBJECT DriverObject)
{
//卸载时会调用
UNICODE_STRING DeviceLinkString;
PDEVICE_OBJECT DeviceObjectTemp1=NULL;
PDEVICE_OBJECT DeviceObjectTemp2=NULL;

DbgPrint("驱动程序卸载.../n");

RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
IoDeleteSymbolicLink(&DeviceLinkString);
if(DriverObject)
{
  DeviceObjectTemp1=DriverObject->DeviceObject;
  while(DeviceObjectTemp1)
  {
   DeviceObjectTemp2=DeviceObjectTemp1;
   DeviceObjectTemp1=DeviceObjectTemp1->NextDevice;
   IoDeleteDevice(DeviceObjectTemp2);
  }
}
DbgPrint("设备已经卸载/n");

DbgPrint("修复SSDT表/n");
(ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = OldZwOpenProcess;

DbgPrint("驱动卸载完毕./n");
}

NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
{
//IRP_MJ_DEVICE_CONTROL的响应函数
NTSTATUS nStatus = STATUS_SUCCESS;
ULONG IoControlCode = 0;
PIO_STACK_LOCATION IrpStack = NULL;

long* inBuf = NULL;
char* outBuf = NULL;
ULONG inSize = 0;
ULONG outSize = 0;
PCHAR buffer = NULL;
PMDL mdl = NULL;

Irp->IoStatus.Status = STATUS_SUCCESS;
Irp->IoStatus.Information = 0;

IrpStack = IoGetCurrentIrpStackLocation(Irp);

switch(IrpStack->MajorFunction)
{
case IRP_MJ_CREATE:
  DbgPrint("IRP_MJ_CREATE 被调用/n");
  break;
case IRP_MJ_CLOSE:
  DbgPrint("IRP_MJ_CLOSE 被调用/n");
  break;
case IRP_MJ_DEVICE_CONTROL:
  DbgPrint("IRP_MJ_DEVICE_CONTROL 被调用/n");
  IoControlCode = IrpStack->Parameters.DeviceIoControl.IoControlCode;
  switch(IoControlCode)
  {
  case IOCTL_PROTECT_CONTROL:
   inSize = IrpStack->Parameters.DeviceIoControl.InputBufferLength;
   outSize = IrpStack->Parameters.DeviceIoControl.OutputBufferLength;
   inBuf = (long*)Irp->AssociatedIrp.SystemBuffer;

   pid = *inBuf;
   DbgPrint("===========================/n");
   DbgPrint("IOCTL_PROTECT_CONTROL 被调用,通讯成功!/n");
   DbgPrint("输入缓冲区大小: %d/n",inSize);
   DbgPrint("输出缓冲区大小: %d/n",outSize);
   DbgPrint("输入缓冲区内容: %ld/n",*inBuf);
   DbgPrint("当前保护进程ID: %ld/n",pid);
   DbgPrint("===========================/n");

   strcpy(Irp->UserBuffer,"OK!/n");
   break;
  default:
   break;
  }
  break;
default:
  DbgPrint("未知请求包被调用/n");
  break;
}

nStatus = Irp->IoStatus.Status;

IoCompleteRequest(Irp,IO_NO_INCREMENT);

return nStatus;
}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING theRegistryPath)
{
//驱动入口函数
NTSTATUS ntStatus = STATUS_SUCCESS;
UNICODE_STRING ntDeviceName;
UNICODE_STRING DeviceLinkString;
PDEVICE_OBJECT deviceObject = NULL;

DbgPrint("驱动程序加载.../n");

RtlInitUnicodeString( &ntDeviceName, NT_DEVICE_NAME );

ntStatus = IoCreateDevice(
  DriverObject,
  0,
  &ntDeviceName,
  FILE_DEVICE_UNKNOWN,
  0,
  FALSE,
  &deviceObject );

if ( !NT_SUCCESS( ntStatus ) )
{
DbgPrint("无法创建驱动设备");
return ntStatus;
}

RtlInitUnicodeString(&DeviceLinkString,DOS_DEVICE_NAME);
ntStatus=IoCreateSymbolicLink(&DeviceLinkString,&ntDeviceName);

if(!NT_SUCCESS(ntStatus))
{
return ntStatus;
}

DriverObject->MajorFunction[IRP_MJ_CREATE] = DispatchDeviceControl;
DriverObject->MajorFunction[IRP_MJ_CLOSE] = DispatchDeviceControl;
DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchDeviceControl;
DriverObject->DriverUnload = OnUnload;

DbgPrint("驱动程序已经启动/n");

DbgPrint("修改SSDT表.../n");

//修改 ZwOpenProcess 函数地址
OldZwOpenProcess =(ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess));
(ZWOPENPROCESS)(SYSTEMSERVICE(ZwOpenProcess)) = NewZwOpenProcess;

DbgPrint("驱动程序加载完毕./n");

return STATUS_SUCCESS;
}

#include

#define BUF_SIZE 4096

int main(int argc,char* argv[])
{
char path[BUF_SIZE];
char base[BUF_SIZE];
char sername[BUF_SIZE];
char disname[BUF_SIZE];
memset(path,0,BUF_SIZE);
memset(base,0,BUF_SIZE);
memset(sername,0,BUF_SIZE);
memset(disname,0,BUF_SIZE);

SC_HANDLE rh = NULL;
SC_HANDLE sh = NULL;
if (argc == 1)
{
printf("use: install/start/uninstall/n");
exit(0);
}

::GetModuleFileName(0,base,BUF_SIZE);
int p = strlen(base);
while(base[p] != '//'){p--;}
strncpy(path,base,p+1);
memset(base,0,BUF_SIZE);
sprintf(base,"%sInstall.ini",path);
memset(path,0,BUF_SIZE);
::GetPrivateProfileString("Config","Path","",path,BUF_SIZE,base);
::GetPrivateProfileString("Config","ServiceName","",sername,BUF_SIZE,base);
::GetPrivateProfileString("Config","DisplayName","",disname,BUF_SIZE,base);

printf("[*]Service Name:%s/n",sername);
printf("[*]Display Name:%s/n",disname);
printf("[*]Driver Path:%s/n",path);

sh = OpenSCManager(NULL,NULL,SC_MANAGER_ALL_ACCESS);

if (!sh){
  printf("[-]Error OpenSCManger./n");
  exit(0);
}

if (argc == 2 && !strcmp(argv[1],"install"))
{
  if (!strcmp(path,""))
  {
   printf("[-]error read Install.ini/n");
   exit(0);
  }

  rh = CreateService(sh,sername,disname,
   SERVICE_ALL_ACCESS,
   SERVICE_KERNEL_DRIVER,
   //{
   //SERVICE_SYSTEM_START,
   SERVICE_DEMAND_START,
   //}
   SERVICE_ERROR_NORMAL,
   path,
   NULL,NULL,NULL,NULL,NULL);

  if (!rh){
   printf("[-]error CreateService./n");
   exit(0);
  }

printf("[-]Install Service Complete.../n");
}else if (argc == 2 && !strcmp(argv[1],"start"))
{

rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);

  if (!rh){
   printf("error OpenService./n");
   exit(0);
  }

StartService(rh,NULL,NULL);

printf("[-]Start Service Complete.../n");

}else if (argc == 2 && !strcmp(argv[1],"uninstall"))
{
rh = OpenService(sh,sername,SERVICE_ALL_ACCESS);

  if (!rh){
   printf("error OpenService./n");
   exit(0);
  }

SERVICE_STATUS ss;
ControlService(rh,SERVICE_CONTROL_STOP,&ss);

printf("[-]Stop Service Complete.../n");

DeleteService(rh);

printf("[-]Delete Service Complete.../n");
}

CloseServiceHandle(rh);
CloseServiceHandle(sh);

return 1;
}

内容总结

以上是互联网集市为您收集整理的vc++实现内核级进程保护全部内容，希望文章能够帮你解决vc++实现内核级进程保护所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/922757.html

来源：【匿名】

【上一篇】vc++进程注入钩子DLL通用模块开源【下一篇】c++有个库什么的吗?

更多 ►

【vc++实现内核级进程保护】教程文章相关的互联网学习教程文章

windows c++ 根据进程名获取进程全路径【代码】【图】

代码有些拙略，能够根据进程名字获取进程的全路径。但是以32位编译的代码不能获取64位进程信息，GetLastError等于299。#include <Windows.h> #include <TlHelp32.h> #include <iostream> #include <conio.h>usingnamespace std;char* GetProcessPath(char* szProcessName) {PROCESSENTRY32 pe32;pe32.dwSize = sizeof(pe32);HANDLE hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);if (hSnapShot == INVALID_HANDLE_...

linux c++(进程相关的函数 & 第一篇 fork)【代码】

进程相关的函数创建一个新的线程 pid_t fork(void);* 失败 -1* 成功，两次返回父进程返回，子进程的id子进程返回0 pid_t getpid(void); //获得当前进程的 pid_t getppid(void); //获得当前进程父进程的id#include <stdio.h> #include <unistd.h> #include <stdlib.h>int main() {printf("Begin ....\n");pid_t pid = fork();if(pid < 0){ perror("fork err");return -1; }else if(pid == 0){ //子进程printf("I am child,pid ...

vc++基础班[26]---进程的相关操作

①、ShellExecute 进行进程的创建，属于 shell api：//int iRet = (int)ShellExecute(m_hWnd, _T("open"), _T("NOTEPAD.EXE"), _T("C:\\123.txt"), NULL, SW_SHOW);int iRet = (int)ShellExecute(m_hWnd, _T("open"), _T("C:\\WINDOWS\\NOTEPAD.EXE"), _T("C:\\123.txt"), NULL, SW_SHOW);if (iRet > 32){ MessageBox(_T("执行成功！"));}else{ MessageBox(_T("执行失败！"));} 备注：ShellExecute 函数不仅可以打开文件，还可以打...

C++ windows进程间通信

最近一直在找共享内存同步的操作，恰好这篇文章有讲解。本文转载：https://blog.csdn.net/bing_bing_bing_/article/details/82875302方便记录，copy了一份。2.进程间的通信2.1进程本章讲解windows平台下，进程间的通信方式。进程是一个具有一定独立功能的程序关于某个数据集合的一次运行活动，是操作系统动态执行的基本单元。简单的说，进程就是一段程序的执行过程。进程和线程：进程是系统动态执行的基本单位，也是系统分配资源的...

C++.进程2【代码】

#include <Psapi.h> #include <vector> BOOL TraversalProcess2(OUT std::vector<DWORD> &vec) {vec.clear();try{BYTE *pbt = 0;DWORD dwSize = 0, dw = 0x1000;BOOL b = 0;for (; dw < INT_MAX && !b; dw *= 2){if (pbt){delete pbt;pbt = 0;}pbt = new BYTE[dw];if (pbt){b = EnumProcesses((DWORD*)pbt, dw, &dwSize);}}if (pbt && b){DWORD *pdw = (DWORD*)pbt;for (DWORD i = 0; i < dwSize / sizeof(DWORD); ++i){vec.push_b...

基于FIFO的c++多进程log封装【代码】

1#ifndef PROCESS_LOG_H2#define PROCESS_LOG_H3 4 #include <string>5 #include <sstream>6 #include <cstring>7 8 #include <fcntl.h>9 #include <sys/stat.h> 10 #include <sys/types.h> 11 #include<sys/time.h> 12 #include<unistd.h> 1314using std::string; 1516#define LOG_KIND_FILE_NAME 1 17#define LOG_KIND_FIFO_NAME 2 1819#define LOG_ERROR_OPEN_FILE 1 20#define LOG_ERROR_MKFIFO 2 21#define LOG_ERROR_OPEN_FI...

C++学习笔记42：进程管理【代码】

子进程异步清除　　SIGCHLD信号：子进程终止时，向父进程自动发送，编写此信号处理例程，异步清除子进程#include <signal.h> #include <string.h> #include <sys/types.h> #include <sys/wait.h>sig_atomic_t child_exit_status; extern"C" {void CleanUp(int sig_num){int status;wait(&status); //清除子进程child_exit_status = status; //存储子进程的状态 } }int main() {//处理SIGCHLD信号struct sigactio...

C++.进程4【代码】

#include <vector> typedef LONG NTSTATUS; typedef LONG KPRIORITY; #define STATUS_SUCCESS ((NTSTATUS) 0x00000000) #define NT_SUCCESS(Status) ((NTSTATUS)(Status) >= 0) #define STATUS_INFO_LENGTH_MISMATCH ((NTSTATUS)0xC0000004L) typedef struct _CLIENT_ID {HANDLE UniqueProcess;HANDLE UniqueThread; } CLIENT_ID, *PCLIENT_ID; typedef struct _SYSTEM_THREAD_INFORMATION {LAR...

c++ 网络编程（二）TCP/IP linux 下多进程socket通信多个客户端与单个服务端交互代码实现回声服务器【代码】

原文作者：aircraft原文链接：https://www.cnblogs.com/DOMLX/p/9612820.html LINUX下：一.服务端代码下面用了多个close来关闭文件描述符，可能有的小伙伴会有疑惑。。。。我就说一句，创建进程的时候会把父进程的资源都复制一份，而你这个子进程只需要保留自己需要处理的资源，其他的自然要关闭掉，不然父亲一个儿子一个待会打起来怎么办嘿嘿注意了：就像进程间的通信需要属于操作系统的资源管道来进行，套接字也属于操作...

php扩展中c++单例模式的全局对象实例被生成多个子进程销毁，为啥？该如何解决

php扩展中c++单例模式的全局对象实例被生成多个子进程销毁，为啥？？在php扩展中是用了一个单例模式的全局对象，当http服务停止时通过日志查看并且打印进程号，发现析构函数被多次调用，并且是在不同的进程里（通过进程号观察）。为什么会这样！不是说http服务启动一次，我那全局对象就实例化一次吗！服务停止时怎么会发生这么多怪异的现象！------解决方案--------------------请问你如何知道析构函数被多次调用？另外是不是你...

c++程序进程没有退出，驻留在linux系统中一般是什么原因【图】

这个程序是一个命令行程序，返回一个字符串，由php调用。运行一段时间以后，发现有大量的进程驻留。导致系统崩溃。情形如图所示，求大神帮忙分析原因。回复内容：这个程序是一个命令行程序，返回一个字符串，由php调用。运行一段时间以后，发现有大量的进程驻留。导致系统崩溃。情形如图所示，求大神帮忙分析原因。进程内部还有线程在工作，所以进程不会退出

Linux c++(socket网络通信 & 多进程服务器)【代码】

#include <stdio.h> #include <unistd.h>#include <stdlib.h>#include <sys/types.h>#include <arpa/inet.h>#include <string.h>#include <ctype.h>#include <signal.h>#include <sys/wait.h>#include <errno.h>void sigCatchFun(int num){ pid_t wpid ;while((wpid= waitpid(-1,NULL,WNOHANG))>0){printf("sig child OK\n");}} int main(int argc,c...

linux c++(进程相关的函数 & 第一篇 fork)【代码】

vc++实现内核级进程保护

vc++实现内核级进程保护保护核心代码 #include "ntddk.h"#define NT_DEVICE_NAME L"//Device//ProtectProcess"#define DOS_DEVICE_NAME L"//DosDevices//ProtectProcess"#define IOCTL_PROTECT_CONTROL CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_BUFFERED, FILE_ANY_ACCESS)NTSTATUS DispatchDeviceControl(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp);VOID OnUnload(IN PDRIVER_OBJECT DriverObject);#pra...

vc++进程注入钩子DLL通用模块开源

vc++进程注入钩子DLL通用模块开源 #include "stdafx.h"#include#define DEF_BUF_SIZE 1024// 用于存储注入模块DLL的路径全名char szDllPath[DEF_BUF_SIZE] = {0} ;// 使用远程线程向指定ID的进程注入模块BOOL InjectModuleToProcessById ( DWORD dwProcessId ){ if ( dwProcessId == 0 ) return FALSE ; // 打开进程 HANDLE hProcess = OpenProcess ( PROCESS_ALL_ACCESS, FALSE, dwProcessId ) ; if ( hProcess == NULL ) ...

首页 / C++ / vc++实现内核级进程保护

vc++实现内核级进程保护

内容导读

内容图文

内容总结

内容备注

内容手机端

【vc++实现内核级进程保护】教程文章相关的互联网学习教程文章

windows c++ 根据进程名获取进程全路径【代码】【图】

linux c++(进程相关的函数 & 第一篇 fork)【代码】

vc++基础班[26]---进程的相关操作

C++ windows进程间通信

C++.进程2【代码】

基于FIFO的c++多进程log封装【代码】

C++学习笔记42：进程管理【代码】

C++.进程4【代码】

c++ 网络编程（二）TCP/IP linux 下多进程socket通信多个客户端与单个服务端交互代码实现回声服务器【代码】

php扩展中c++单例模式的全局对象实例被生成多个子进程销毁，为啥？该如何解决

c++程序进程没有退出，驻留在linux系统中一般是什么原因【图】

Linux c++(socket网络通信 & 多进程服务器)【代码】

linux c++(进程相关的函数 & 第一篇 fork)【代码】

vc++实现内核级进程保护

vc++进程注入钩子DLL通用模块开源

进程 - 相关标签

内核 - 相关标签

C++ - 技术教程分类

C++ - 最新教程

C++ - 最热教程