unhide 搜索隱藏進程和 TCP/UDP 端口——通過修改加載的so文件來實現隱藏，待研究實現思路
問題現象：服務器負載很高，top和ps 無法查看進程，有異常任務計划但是查不到進程排查困難 排查還在/etc/hosts發現增加了如下異常映射 猜測是，但是沒有進程最終核實到是/etc/ld.so.preload 設置了隱藏進程 嘗試直接刪除或編輯此文件無效， 最終嘗試echo ...
原文：windows：3環自行加載PE文件實現進程隱藏
windows下運行一個exe程序，一般都是直接雙擊exe，然后就能運行了，對於普通小白用戶來說非常簡單易用，所以windows能壟斷桌面個人PC領域幾十年是有原因的 對於業內的人士而言，當用雙擊exe的時候： 為啥能運行這個程序了 所謂 運行 的本質到底是什么 為什么能在任務管理器或其他類似process hacker的軟件查到正在運行的程序 對於病毒 木馬而言，怎么才能讓用戶點擊運行后又不會 ...
2021-05-05 22:26 1 947 推薦指數：
相關推薦
windows服務隱藏 以及進程隱藏
隱藏windows服務（效果：在services.msc中看不到服務） https://mrxn.net/Infiltration/503.html 以上方法在windows 2008上使用，當次有效；重啟后發現服務在服務管理器中也找不到了，完美！！ 在windows 2012中也測試 ...
PE文件結構及其加載機制（一）
一、PE文件結構 PE即Portable Executable，是win32環境自身所帶的執行體文件格式，其部分特性繼承自Unix的COFF（Common Object File Format）文件格式。PE表示該文件格式是跨win32平台的，即使Windows運行在非Intel的CPU ...
進程隱藏的實現
通過Hook SSDT (System Service Dispatch Table) 隱藏進程 1.原理介紹: Windows操作系統是一種分層的架構體系。應用層的程序是通過API來訪問操作系統。而API又是通過ntdll里面的核心API來進行系統服務的查詢。核心API通過對int ...
內存加載PE文件（nim學習系列）
內存加載PE文件（nim學習系列） 項目地址： https://github.com/S3cur3Th1sSh1t/Nim-RunPE 該項目源於https://github.com/aaaddress1/RunPE-In-Memory，S3cur3Th1sSh1t將其轉成nim lang ...
PE文件結構及其加載機制（二）
在學習之前，我們來看看上次的進度 以及對應的結構體 同樣的，我們先在msdn中查看下這個結構體 第一個值，表示文件的格式，它可能的值有 IMAGE_NT_OPTIONAL_HDR_MAGIC，這個值包括兩個值，分別為 ...
PE文件結構及其加載機制（三）
原來是4096B，也就是4kb了。 第十二個值是FileAlignment，表示文件對齊粒度。 The alignment of the raw data of sections in the image file, in bytes. The value should ...
PE文件動態加載執行過程
主要步驟： 1.將要加載的文件讀取到內存中(簡稱為文內)，檢查文件格式無誤后，根據可選PE頭(簡稱op頭)的SizeOfImage，申請出一塊空間用於存儲該文件加載到內存后展開的數據(簡稱為內內)。記得先全部初始化為0，免去后續拷貝中對齊補0的步驟。 2.將文件數據拷貝到申請出來內存空間 ...