Как стать невидимым в Windows?

Хэндлы

Вызов NtQuerySystemInformation с классом SystemHandleInformation дает

нам массив всех открытых хэндлов в структуре _SYSTEM_HANDLE_INFORMATION_EX.

#define SystemHandleInformation 0x10

typedef struct _SYSTEM_HANDLE_INFORMATION {

ULONG ProcessId;

UCHAR ObjectTypeNumber;

UCHAR Flags;

USHORT Handle;

PVOID Object;

ACCESS_MASK GrantedAccess;

} SYSTEM_HANDLE_INFORMATION, *PSYSTEM_HANDLE_INFORMATION;

typedef struct _SYSTEM_HANDLE_INFORMATION_EX {

ULONG NumberOfHandles;

SYSTEM_HANDLE_INFORMATION Information[1];

} SYSTEM_HANDLE_INFORMATION_EX, *PSYSTEM_HANDLE_INFORMATION_EX;

ProcessId указывает процесс, владеющий этим хэндлом. ObjectTypeNumber -

это тип хэндла. NumberOfHandles - количество записей в массиве Information.

Скрытие одного элемента тривиально. Нужно сдвинуть последующие записи на одну

и уменьшить значение NumberOfHandles. Сдвиг последующих записей требуется,

потому что хэндлы в массиве сгруппированы по ProcessId. Это значит, что все

хэндлы одного процесса расположены последовательно. И для каждого процесса

значение поля Handle растет.

Вспомните структуру _SYSTEM_PROCESSES, которая возвращается этой

функцией с классом SystemProcessesAndThreadsInformation. Здесь мы можем

увидеть, что каждый процесс имеет информацию о количестве хэндлов в

HandleCount. Если мы хотим сделать все идеально, нам следует изменить поле

HandleCount (в соответствии с тем, сколько хэндлов мы скрыли), когда функция

будет вызвана с классом SystemProcessesAndThreadsInformation. Но эта поправка

может требовать слишком много времени. Множество хэндлов открываются и

закрываются в течении очень короткого времени при нормальной работе системы.

Легко может случиться, что количество хэндлов изменилось между двумя вызовами

функции, поэтому нам не нужно изменять здесь поле HandleCount.

Добавить комментарий