هوک کردن تابع NtQuerySystemInformation

[fahimeh1512]

باسلام و خسته نباشید
من میخوام بدونم برای مخفی کردن فرایندهای درحال اجرا روی سیستمم (کارم تو حوزه یوزرمده) میتونم تابع NtQuerySystemInformation رو هوک کنم
میخوام یه تابعی ک لیست فرایندهای موجود روی سیستمم رو نشون میده رو هوک کنم ک مثلا یکی از اونا رو ک مد نظرم هست نشون نده
میدونم اگه از CreateToolhelp32Snapshot یا EnumProcess استفاده کنم میشه
ولی این تابع رو نمیدونم برای یوزرمد هم استفاده میشه کرد یا فقط کرنل مده؟
باتشکر

[بهروز عباسی]

درود

چه سوال خوبی:لبخندساده:

بهترین راه برای این کار کرنل مده و بس . چرا ؟ چون مثلا برنامه TaskMgr خودش از توابع کرنل استفاده میکنه:شیطان: (میشه از توابع ZwXXX,NtXXXX توی User land هم استفاده کرد(تصویر زیر رو ببین TaskMgr)) به همین خاطر شما اگه توابع معمول در User land رو Hook کنید در مقابل چنین برنامه های شانسی ندارید. OK ?

113856


میدونم اگه از CreateToolhelp32Snapshot یا EnumProcess استفاده کنم میشه
ولی این تابع رو نمیدونم برای یوزرمد هم استفاده میشه کرد یا فقط کرنل مده؟
:افسرده: این توابع User mode هستن.

[fahimeh1512]

ببخشید من این نرم افزار cerbero pe insider رو دانلود کردم با چند تا برنامه امتحانش کردم خوبه
ولی میخوام تسک منیجر و مثل این ک شما عکسشو گذاشتین بازش کنم مسیرشو پیدا نمیکنم
باید چیکارکنم؟:خجالت:

[بهروز عباسی]

من الان ویندوزم 7 و این برنامه هم در این مسیر قرار داره

C:\Windows\System32\taskmgr.exe

[fahimeh1512]

یه سوال دیگه هم دارم
به برنامه تسک منیجر چطوری میشه اینجکت کرد؟؟؟ ب چه نوع دسترسی نیاز داره ؟ با کد معمولی اینجکت ک نتیجه نمیده من اگه بخوام این تابع (NtQuerySystemInformation) رو توش هوک کنم باتوجه به این ک دسترسی یوزرمد دارم چطوری این کارو بکنم؟

[Mask]

سلام.
با این روش سوال حس میکنم،خودتون هم دقیق نمیدونید چی نیاز دارید.

به برنامه تسک منیجر چطوری میشه اینجکت کرد؟؟؟
چی رو بهش اینجکت کنید؟
چرا به تسک منیجر؟

ب چه نوع دسترسی نیاز داره ؟
کلا برای dll injection و یا Code Injection در همون حال یوزر مد و با privileges سیستمی میتونید انحام بدید.

[fahimeh1512]

سلام ممنون از پاسختون
من دارم بخشی از یه روت کیت رو مینویسم که همونطور که احتمالا میدونید یکی از کارهایی که باید بتونه انجام بده اینه که خودشو و فعالیت هاشو از دید سیستم مخفی کنه و مطمئنا تو لیست پروسه ها و سرویس هایی که تسک منیجر داره نشون میده فایل روت کیت من نباید اشکار باشه
کاری که من میخوام بکنم اینه که با اینجکت کردن یه دی ال ال به تسک منیجر و هوک کردن تابعی که داره این پروسه ها رو بررسی میکنه (گویا با NtQuerySystemInformation این کارو انجام میده) از اشکار شدن روت کیتم جلوگیری کنم
تا این بخش قضیه برام روشنه دارم کم کم پیش میرم و سعی میکنم ابهاماتم رو برطرف کنم

[بهروز عباسی]

این مثال روببین
Hide process with NtQuerySystemInformation hook (http://www.rohitab.com/discuss/topic/40323-hide-process-with-ntquerysysteminformation-hook/)

بچه های اون فروم همه کرنل کارن، مثال و آموزش هم زیاد میزارن :لبخند:.