一个隐藏进程路径的程序，可以欺骗PowerTool、PCHunter等

显示全部楼层 · 发表于 2016-1-11 21:09:15

一个比较完整的进程信息欺骗DEMO（过XT、PT等流行ARK）

进程欺骗.zip (15.91 KB, 下载次数: 3776)

显示全部楼层 · 发表于 2016-1-12 00:40:34

本帖最后由 benlvan 于 2016-1-12 00:50 编辑

原帖这里：http://www.m5home.com/bbs/thread-7594-1-1.html（BIN和SRC都是公开的）
欺骗ARK的PoC太多了，类似的帖还有一堆：

[原创]WIN7X64上的DLL路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8392-1-1.html

[原创]WIN7X86上的DLL路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8391-1-1.html

[原创]WIN64上的“隐形”IRP拦截（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8229-1-1.html

[原创]WIN32上的“隐形”IRP拦截（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8228-1-1.html

[原创]WIN64上的驱动路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8200-1-1.html

[原创]WIN32上的驱动路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8199-1-1.html

[原创]WIN7X64上的进程路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8197-1-1.html

[原创]WIN7X86上的进程路径欺骗（过PCHUNTER等流行ARK）
http://www.m5home.com/bbs/thread-8196-1-1.html

其实RK只要有了驱动，完全可以让任何AV/ARK感知不到其存在（包括网络连接）。

显示全部楼层 · 发表于 2016-1-12 01:13:16

benlvan 发表于 2016-1-12 00:40
原帖这里：http://www.m5home.com/bbs/thread-7594-1-1.html（BIN和SRC都是公开的）
欺骗ARK的PoC太多了， ...

原来这些文章都是你写的，厉害

显示全部楼层 · 发表于 2016-1-12 12:22:52

这个程序可以干坏事

显示全部楼层 · 发表于 2016-1-13 10:14:51

没看懂这是啥，有什么用？

显示全部楼层 · 发表于 2016-1-13 23:44:39

不是看的到吗

显示全部楼层 · 发表于 2016-1-14 23:49:04

WTool完美暴露"test测试测试测试123123.exe"

显示全部楼层 · 发表于 2016-1-15 00:08:25

jinfu 发表于 2016-1-14 23:49
WTool完美暴露"test测试测试测试123123.exe"

然而路径仍然是错误的，wtool2.6，当然通过命令行能读取peb路径，然而其它工具也能读取。

显示全部楼层 · 发表于 2016-1-15 16:30:34

win 7 64位驱动加载失败

显示全部楼层 · 发表于 2016-1-15 20:27:15

加了驱动都是一样的，除非在虚拟机这样的环境，因为虚拟机已经把所有资源的接口包了

[讨论] 一个隐藏进程路径的程序，可以欺骗PowerTool、PCHunter等

评分