想必有些人听说过RootKit这种东西，它能隐藏自身或者别的进程/文件/注册表项等等。

听起来很可怕不是，比较新的灰鸽子就有这些功能。

想必也有人听说过 IceSword，大名鼎鼎的 Anti-RootKit 工具。灰鸽子隐藏的东西在它的检测下是绝对逃不过的。

那么杀灰鸽子必须用 IceSword 么？答案是否定的。事实上，灰鸽子是一款技术含量极低的 RootKit （它甚至不配叫这个名字）。

它的技术含量低到什么程度呢？用 VB 只需写上几行代码即可干掉灰鸽子。

相信么？不信吧……Let's Go！

用某些技术手段可以看到，灰鸽子将一个或两个 DLL（视版本不同数量有所不同）注入至系统所有进程，这个/些 DLL 用来实现 API Hook。

API Hook 是什么？抱歉，限于篇幅，具体定义请自行 Google。

它 Hook 的 API 之一是未公开的 NtQuerySystemInformation，用于隐藏其进程。
用户模式下枚举进程，无论是 ToolHelpAPI 系列，还是 PSAPI 系列，都会最终调用到这个 API。
所以灰鸽子 Hook 了这个 API，当发现正在枚举进程时，它会检查当前返回的结果是否为自己的进程，如果是的话直接忽略并返回下一个进程。
于是所有普通的进程管理工具（任务管理器、Process Explorer 等）中都不会出现其进程。

那么有什么办法可以检出其隐藏进程呢？IceSword 的方法是直接加载驱动程序进入内核，无视其 Hook（很拽吧？），并通过直接读取未公开内核链表 PspCidTable 枚举出所有线程，进而得到所有进程。

如果你对系统还算熟悉，你会了解到每个进程都对应了一个 PID（Process ID，进程标识符），其实就是一串数字。它是随机产生的，且如果没有特殊情况的话在整个系统里是唯一的。

你还会了解到如果要对其他进程进行操作的话，需要调用一个API：OpenProcess。它由 Kernel32.dll 导出。

其中第一个参数为你想获得的访问权限（也就是你得到的句柄的权限）。
第二个参数指定句柄是否可继承，无关紧要。
第三个参数是关键，它指定了你想打开的进程的PID。

实际上，这个 API 将参数略作处理后就直接呼叫了内核 API：NtOpenProcess。

我们看看这个API究竟做了什么。

不要被吓倒，这个NtOpenProcess对参数进行检查（主要是检查进程权限）和处理后就传递给了另一个内核API：PsLookupProcessByProcessId。
那么我们继续追踪下去。

PAGE:0049D73D                 push    PspCidTable
PAGE:0049D743                 call    ExMapHandleToPointer

这两个最为关键。你看到什么了？没错，PspCidTable。这个 API 用另外几个内核 API 遍历 PspCidTable 以确定一个进程是否存在。还记得 IceSword 是怎么检测隐藏进程的么（不过，最新版不只是检查了这个表）？

那么，回溯到文章开头，OpenProcess。你想到了什么？

打开“立即”窗口，运行一下看看结果吧。
至 于怎么干掉灰鸽子，很简单，把检测到的隐藏进程的句柄传递给 TerminateProcess 这个 API 即可。不过之前 OpenProcess 的时候访问权限要换成 PROCESS_TERMINATE。一旦其主进程被结束，其隐藏手段也就完全失效，然后就可以可以用普通工具直接看到其文件等。

本文仅用于科普，技术稍好点的 RootKit 可轻松突破此方法。

本文借用了国外部分研究资料，在此向作者表示感谢。

谢谢观赏。

THE END

版权所有(C)FlowerCode[0GiNr]