隐藏进程和保护进程防止被结束

【实例简介】

原理就是HOOK SSDT
只是为了复习下驱动的一些基本知识，工具基本用处不是很大
但是代码有很多值得初学者学习的地方
很多可以拿来重用的
win7 xp测试通过

【实例截图】

【核心代码】

//用来去掉内存的可写属性，从而实现内存只读
VOID DisableWriteProtect(ULONG oldAttr)
{
_asm
{
mov eax, oldAttr
mov cr0, eax
sti;
}
}



//用来去掉内存的只读保护，从而实现可以写内存
VOID EnableWriteProtect(PULONG pOldAttr)
{
ULONG uAttr; 

_asm 
{ 
cli;
mov  eax, cr0; 
mov  uAttr, eax; 
and  eax, 0FFFEFFFFh; // CR0 16 BIT = 0 
mov  cr0, eax; 
}; 

//保存原有的 CRO 属性 
*pOldAttr = uAttr; 
}


//备份 SSDT 中原有服务的地址，因为我们在解除 Hook 时需要还原 SSDT 中原有地址
VOID BackupSysServicesTable()
{
ULONG i;

for(i = 0; (i < KeServiceDescriptorTable->ntoskrnl.NumberOfService) && (i < MAX_SYSTEM_SERVICE_NUMBER); i )
{
oldSysServiceAddr[i] = KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[i];
//oldSysServiceAddr[i] = *(PULONG)((ULONG)KeServiceDescriptorTable->ntoskrnl.ServiceTableBase 4 * i);

KdPrint(("\nBackupSysServicesTable - Function Information { Number: 0x%04X , Address: %08X}", i, oldSysServiceAddr[i]));
}
}


//开启HOOK
NTSTATUS InstallSSDTHook(ULONG oldService, ULONG newService)
{
ULONG uOldAttr = 0;
EnableWriteProtect(&uOldAttr);
SYSCALL_FUNCTION(oldService) = newService;
//KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[SYSCALL_INDEX(oldService)] = newService;
DisableWriteProtect(uOldAttr);
return STATUS_SUCCESS;
}


//关闭HOOK
NTSTATUS UnInstallSSDTHook(ULONG oldService)
{
ULONG uOldAttr = 0;
EnableWriteProtect(&uOldAttr);
SYSCALL_FUNCTION(oldService) = oldSysServiceAddr[SYSCALL_INDEX(oldService)];
//KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[SYSCALL_INDEX(oldService)] = oldSysServiceAddr[SYSCALL_INDEX(oldService)];
DisableWriteProtect(uOldAttr);
return STATUS_SUCCESS;
}