Windows7遍历PspCidTable表检测隐藏进程

合集下载

查找隐藏文件夹的方法

查找隐藏文件夹的方法
查找隐藏文件夹的方法有多种，以下是一些常见的方法：
方法一：使用文件资源管理器
1. 在左下角搜索框输入“控制面板”，点击“回车”进入控制面板。

2. 点击“文件资源管理器选项”。

3. 点击“查看”，在高级设置窗口找到“隐藏文件和文件夹”，选择“显示隐藏的文件、文件夹和驱动器”，最后点击“确认”。

方法二：使用命令提示符
1. 按下键盘上的“Windows”键和“E”键打开“文件资源管理器”。

2. 找到并勾选两个选项并单击“应用”和“确定”按钮。

3. 按下键盘上的“Windows”键和“R”键，然后在运行对话框中键入“cmd”并单击“确定”按钮打开命令提示符。

4. 键入“dir /ah”并按下回车键，这将显示电脑中所有隐藏的文件和文件夹的列表。

方法三：使用控制面板
1. 点击页面上方的“查看”，找到并勾选“显示隐藏的文件、文件夹和驱动器”和“隐藏已知文件类型的扩展名”。

Windows内核级防护系统

Windows内核级防护系统孟晨宇;史渊;王佳伟;周洁;康晓凤【摘要】Windows操作系统是当今应用最广泛的个人计算机操作系统,针对这一操作系统的病毒和木马层出不穷.大多数杀毒软件主要依赖特征码识别技术、校验和技术、软件模拟技术检测病毒.本系统从手动杀毒角度出发,变被动防御为主动查杀,特别是Rootkit保护的内核级木马,通过检测相应的被挂钩函数,内核中被修改的地址,找到相应的进程,从而实现了木马进程的强杀、相应内核内容的恢复等功能,更有效的保护计算机操作系统的安全.【期刊名称】《软件》【年(卷),期】2016(037)003【总页数】6页(P16-20,26)【关键词】内核防护;手动杀毒;信息安全;Rootkit【作者】孟晨宇;史渊;王佳伟;周洁;康晓凤【作者单位】徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000);徐州工程学院信电工程学院,江苏徐州221000)【正文语种】中文【中图分类】TP311本文著录格式：孟晨宇，史渊，王佳伟，等. Windows内核级防护系统［J］. 软件，2016，37（3）：16-20随着网络技术的发展，计算机在人民生活中的地位越来越重要。

计算机在给人民的生活和工作带来极大便利的同时，也带来了信息安全问题。

Windows操作系统是当今应用最广泛的个人计算机操作系统，针对这一操作系统的病毒和木马层出不穷。

[1]而且更为严重的是内核级Rootkit的诞生，给系统安全带来了极大的破坏性。

内核是操作系统的核心，内核的完整性保护对维护操作系统至关重要。

[2]所以本系统旨在从内核出发，全方位的利用多种综合检测技术维护系统内核的安全性以及完整性。

1.1 系统整体设计方案本系统主要分为用户层和内核层，[3]用户层利用VC++ 6.0开发，采用C++语言实现，[3-5]内核层利用WDK开发，采用C语言实现。

windows7怎么查看进程

windows7怎么查看进程
我们看不见的电脑程序在运行占用着CPU，那么windows7怎么查看进程呢?接下来大家跟着店铺一起来了解一下windows7查看进程的解决方法吧。

windows7查看进程方法一
1、首先按键盘“win+R”调出“运行”菜单，填进“msinfo32”字符令按回车键;
2、过一会儿就会有“系统信息”弹现出来，展开“系统摘要—软件环境—正在运行任务”项目，就能往右方栏中看见windows7系统电脑正在运行中的全部程序具体信息了。

windows7查看进程方法二
1、右键点击下方的任务栏，然后在出现的下滑菜单中选择“启动任务管理器”，在弹出来的任务管理器窗口中将界面切换到进程这一栏，出现的信息也是目前正在运行的软件信息。

以上就是Win7系统下查看后台正在运行的进程的两大方法，有了这方法，用户就可以随时掌握后台正在运行哪些进程，哪些进程占用CPU过高，或是出现其他恶意病毒进程。

进程中dll模块的隐藏

进程中dll模块的隐藏为了避免自己的某个dll模块被别人检测出来，有时候希望在自己加载一个dll之后，或者将dll注入到他人进程之后避免被检查出来。

这就需要想办法抹掉这个dll的模块信息，使得Toolhelp、psapi等枚举模块的API无法枚举它。

我们可以先简单看看Windows枚举进程内模块的办法吧：首先是BOOL EnumProcessModules( HANDLE hProcess, HMODULE* lphModule, DWORD cb, LPDWORD lpcbNeeded);EnumProcessModules实际调用EnumProcessModulesInternal进行枚举。

下面是vista下psapi的代码片断：.text:514024B8 push ebx.text:514024B9 push 18h.text:514024BB lea eax, [ebp+stProcessBasicInfo].text:514024BE push eax.text:514024BF push ebx ;ebx=0.text:514024C0 push [ebp+hProcess].text:514024C3 call ds:__imp__NtQueryInformationProcess@20 ; NtQueryInformationProcess(x,x,x,x,x).text:514024C9 cmp eax, ebx.text:514024CB jge short loc_514024E0调用NtQueryInformationProcess获得ProcessBasicInformation，在PROCESS_BASIC_INFORMATION结构中取得PEB地址。

然后读取指定进程PEB中的数据text:514024E0 loc_514024E0: ; CODE XREF:EnumProcessModulesInternal(x,x,x,x,x)+24j.text:514024E0 mov eax, [ebp+stProcessBasicInfo.PebBaseAddress].text:514024E3 cmp eax, ebx.text:514024E5 jnz short loc_514024EE.text:514024E7 push 8000000Dh.text:514024EC jmp short loc_514024CE.text:514024EE ; —————————————————————————.text:514024EE.text:514024EE loc_514024EE: ; CODE XREF:EnumProcessModulesInternal(x,x,x,x,x)+3Ej.text:514024EE push ebx ; lpNumberOfBytesRead.text:514024EF push 4 ; nSize.text:514024F1 lea ecx, [ebp+Ldr].text:514024F4 push ecx ; lpBuffer.text:514024F5 add eax, 0Ch.text:514024F8 push eax ; lpBaseAddress.text:514024F9 push [ebp+hProcess] ; hProcess.text:514024FC mov edi, ds:__imp__ReadProcessMemory@20 ; ReadProcessMemory(x,x,x,x,x).text:51402502 call edi ; ReadProcessMemory(x,x,x,x,x) ; ReadProcessMemory(x,x,x,x,x)这里读取的是PEB地址+0C处的四个字节。

电脑进程隐藏方法

电脑进程隐藏方法
1、方法比较简单，首先，你需要在网上搜索相关的隐藏进程的第三方软件工具。

这里就以HideToolz为例子，你在浏览器上输入“HideToolz”就会出现相关的官方下载界面，下载并将这个软件安装到你的电脑当中。

2、下载完后，电脑桌面上就会显示出一个HideToolz的压缩包，鼠标选中这个压缩包，双击打开这个压缩包。

然后在压缩包中找到该软件的应用程序，就能够进入到这个软件了。

通过这个软件，你可以看到目前电脑正在运行的软件有哪些、一共有多少软件是电脑当下所在运行的。

3、做完上面的步骤后，现在就开始隐藏电脑的进程。

找到电脑键盘上Ctrl + Alt +【启动任务管理器】，这几个按键，同时按下去，接着在HideToolz软件上面找到你即将要将其隐藏的运行程序，鼠标放在你要进行隐藏的程序上面，然后点击右键，选择隐藏。

做完这个步骤后，你可以进入到人物管理器里面，看看程序是否已经成功隐藏了。

被成功隐藏的程序是不会出现在任务管理器里面的。

4、最后，在隐藏了相关的运行程序之后，如果你想要将隐藏的程序再次调处来，那么你则需要再次打开HideToolz这个软件，在里面找到已经隐藏的程序，并且鼠标放在隐藏的程序上，单击右键，选择“显示”这个按钮，那么随后你就又能在任务管理器中看到该运行
的进程了!
5、除了利用上面说的第三方软件进行隐藏进程，其他不利用第三方软件隐藏进程的方法也有。

但是相对来说步骤复杂一些。

找寻隐藏进程 Process Lasso帮你忙

找寻隐藏进程 Process Lasso帮你忙
遇到程序失去响应怎么办？相信大部分用户都知道这么一个解决方法：按下Ctrl+Alt+Del启动系统任务管理器，找到失去响应的进程终结它。

任务管理器对于我们平时应用的重要性可见一斑，虽然Windows已经内置了一个看似不错的任务管理器，但是它的功能，还完全不够强大，一些常见的病毒和流氓软件都可以轻松在其面前遁形。

这时候，你需要一个功能更强大的替代品，Process Lasso会是一个不错的选择。

Process Lasso是一款小巧的系统进程查看软件，目前最新版本为3.99.36 Beta，有针对32位系统和64位系统的两个版本。

通过Process Lasso的主界面，可以显示出完整的系统进程列表，并且对于每个进程的信息显示的非常详细，涵盖了启动时间，程序信息，启动地址，定位目标等。

软件主界面
强大的进程处理功能
除此之外，对于详细的进程的处理方式，用户也有多种选择，不仅可以简单的终止进程，还可以设定终止条件，并且可以降低进程的优先级，强大的管理功能使得用户对于系统内个进程的调度了如指掌。

如果你正在寻觅一款强大的系统进程管理器，不妨来试试Process Lasso，相信不会让你失望的。

win7 内存诊断报告

Win7 内存诊断报告概述本文档旨在介绍如何使用Windows 7操作系统自带的工具来进行内存诊断。

通过这些步骤，您可以检测和解决任何可能与内存相关的问题，以提高计算机的性能和稳定性。

步骤1：打开“Windows记事本”1.首先，点击屏幕左下角的“开始”按钮。

2.在开始菜单的搜索栏中输入“记事本”并按下“Enter”键。

3.“Windows记事本”应该会出现在搜索结果中。

单击它以打开应用程序。

步骤2：复制并运行命令1.在“Windows记事本”中，输入以下命令：mdsched.exe2.在文件菜单中，选择“保存”并将文件保存在您希望保存的位置（例如桌面）上，并将文件名命名为“memory_diagnostic.bat”（不包含引号）。

步骤3：运行内存诊断工具1.找到您刚刚保存的“memory_diagnostic.bat”文件并双击打开它。

2.您可能会看到一个用户账户控制的弹窗，点击“是”以允许该程序对计算机进行更改。

3.接下来，您将看到一个内存诊断工具的窗口。

选择“立即重新启动并检查问题”以运行工具，并在计算机重新启动之前保存您的工作。

步骤4：等待检测完成1.计算机将会重新启动并开始进行内存检测。

2.等待检测过程完成，这可能需要一段时间。

期间，请不要关闭计算机或中断检测过程。

步骤5：查看诊断结果1.当内存检测完成后，您的计算机将会重新启动。

2.在重新启动后，您将看到一个名为“Windows记事本”的窗口，其中包含内存诊断的结果。

3.在结果中，如果没有找到任何问题，您将看到一条消息，说明内存没有发现任何错误。

4.如果有错误，将会显示有关错误的详细信息。

您可以将这些信息保存并与技术支持人员共享，以获取帮助解决问题。

结论通过按照以上步骤，您可以轻松地使用Windows 7的内存诊断工具来检测和解决可能与内存相关的问题。

通过定期进行内存诊断，您可以保持计算机的良好性能和稳定性。

请注意，这个内存诊断工具只能检测物理内存问题，并不能用于解决所有可能的计算机性能问题。

教你win7隐藏文件怎么显示出来

教你win7隐藏文件怎么显示出来导读：经常使用电脑的朋友会发现电脑中某些磁盘的容量很大，但是打开之后发现只有几个文件，这是因为这些文件都隐藏成为隐藏文件了，今天小编就来讲讲 win7显示隐藏文件的方法。

临近年关，很多朋友都已经回家了，所有最近跟小编求助的用户特别多，这不刚才就有个人问我隐藏文件显示的方法，为了满足这个用户的需求，接下来小编就来说说windows7系统隐藏文件显示的方法。

win7隐藏文件怎么显示出来1.进入win7系统桌面，点击桌面左下角的开始按钮，在弹出的开始菜单中选择计算机打开。

start WampSEner 信A 手I J 舄Q lETe^t&r存%问里锂旺2OL2迂宦皇聞赅 IH!巨虞HiIP ~I隐藏文件显示电脑图解i2.在打开的计算机界面中点击左上角的阻止按钮，点击文件夹和搜索选项打开，进入下RQQ邑雪看看恶器百度極器国片音乐计算机揑制窗慎设腎曲涪机誓辦［技持Netj5e jns IDE 7,3一步隐藏文件电脑图解24•通过鼠标拉动界面下方的下拉条找到并点击显示隐藏的文件、文件夹或驱动器”点击确定即可。

亠►计算机鬢文悴旧舉窘任1一 :筍V) ZM(F)秒助出)组現”墨统僅怪歯包更耳徨厚囲网舷动器（C：）骚⑶2.S7 G3 可冃.±^29.3 GE二鈕去■ E:.i^S.5 G£共 276 GEIlJ 布局诃移动存储的设备(1)3.在弹出的文件夹选项界面中切换到查看选项，进入下一步显示文件电脑图解3當規芦-挖拿交眸旧钿〔E %9fV) TWT) m(H)名称V> dB托哽速下戴cert2 34557a 奇-PPTV^8磁t=图h丄计算机CFLog 】n曲吃LUIntel P 亡州_口屮 Piooram QMDownloadQ\r od PlayerT&mpTSLOG2013-06-06 17^1 2012- 05-24 12:07 2013- 05-0119:01 2012-05^2 2012- 05-51 1&57 2009*RM4 1037 2013- 0&-071Z44 2.0-1^-0^-It 101 £52013-08-02 11:19 2013-0&-13 14?17 2013-05-0115: G1 2012-09-07 13:53丈1转N 牛去..<_4关高级设运:躺终昼示囹标，丛不显示MS皑标指向文件实和篁面顷时显示擢示信息良示砸功器号显示隐龍的帀鹼殛帝畅櫃动I 器I 髓讎召蹩豔醜蠶蹬①&单独的遵程申打羿文件夹窗口 i 右娠\~曰早和f 丰回*显示隐藏文件电脑图解45.重新打开电脑磁盘，我们就可以看到很多新的文件了，这些就是之前的隐藏文件了。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ｐｏｅｓｓｉｃｕｅｈｄｅｒｃｓｅ．ｅｐｐｒａａｙｓｓｔｅｓｒｃｕｅｏｒｃｓｅｌｄｉｄｎｐｏｅｓｓＴｈａｅｎｌｅｈｔｕｔｒｆｗｉｄｗｓ７＇ＰｓＣｉＴｂｅｅｐｕｎｓｔｅｈｄｎｎｏｓｐｄａｌ，ｘｏｄｍｔｅｈｅ
计算机系统应用
ｈｐｌｗ－Ｓ．ｒ．Ｒ：ｗｗｃ．ｏｇｃｌ－ａａ
２１０１年第２０卷第９期
Ｗｉｄｗ遍历ＰｐｉＴｂｅｎｏｓ７ｓＣｄａｌ表检测隐藏进程①
周利荣，马文龙
（浙江衢州职业技术学院图书馆，衢州３４０）２００（浙江衢州职业技术学院信息与工程学院，衢州３４０）２００
ＺＨＯＵ．ＬｉＲｏｎＭＡｅ－ｎ２ｇ，ＷｎＬｏｇ
（ｉｒｒ，ｚｏｏｌｇｆｅｈｏｏｙＱｚｏ２００ＣｉａＬｂａｙＱｕｈｕＣｌｅｏＴｃｎｌｇ，ｕｈｕ３４０，ｈｎ）ｅ（ｆｒｔｎａｄＥｇｎｅｉｇＣｌｇ，ｕｈｕＣｌｇｆｅｈｏｏｙＱｕｈｕ３４０，ｈｎ）ＩｏｍａｉｎｉｅｒｏｌｅＱｚｏｏｌｅＴｃｎｌｇ，ｚｏ２００Ｃｉｎｏｎｎｅｅｏａ
中的索引。通过句柄，可以在句柄表中找到对象的指针，通过指针对对象进行操作。ＰｐｉＴｂｅ就是这样ｓＣｄａｌ
检测工具自然就检测不到病毒进程了【ａｐｐｉＴｂｅｌｓＣｄａｌ】
Ａｂｓｒｃ：ＰｓＣｉＴａｅｐｒｓｒｅｌｐｏｎｅｆｐｏｅｓｓａｄｔｒａｄ，ＥｒｏｉｉｐｄａｌａｎｍｅａｅａｌｔａｔｐｄｂｌｅｅｖｓａｌｉｔｒｏｒｃｓｅｎｈｅｓｇｄｃｎｇＰｓＣｉＴｂｅｃｎｅｕｒｔｌ
摘
要：ｓＣｄａｌ表保存着所有进程和线程对象的指针，ＰｐｉＴｂｅ遍历ＰｐｉＴｂｅｓＣｄａｌ表可以枚举所有进程包括隐藏进程。
分析了ｗｎｏｓ７的Ｐｐｉａｌ的结构，论述了ｗｎｏｓ７的ＰｐｉＴｂｅ表的内存地址获取方法，遍历ｉｄｗｓＣｄｂｅ表ＴｉｄｗｓＣｄａｌＰｐｉａｌ表的算法，最后给出自动检测的实现步骤及方法。在ｗｎｏｓ７操作系统上实验表明可高效枚举所ｓＣｄｂｅＴｉｄｗ
有进程，包括通过挂钩枚举进程的函数或进入内核空间直接修改内核数据来达到隐藏自身目的的进程。
关键词：进程；ＰｐｉＴｂｅｓＣｄａｌ；指针；内核ＷｉｄｗｓｇｄｃｓＣｉＴｂｅｔｅｅｔｉｄｎＰｒｃｓｅｎｏＥｒｏｉｅＰｐｄａｌｏｄｔｃｄｅｏｅｓｓ７ｈ
ｓｅｎｔｅｏａｔｍａｉａｌｅｅｔｐｏｅｓｓｘｅｍｅｔｎｗｉｄｗｓ７ｏｅａｉｎｓｓｍｈｗｅｈｔｔｅｔｐａｄｍｅｈｄｔｕｏｔｌｄｔｃｒｃｓｅ．Ｅｐｒｎｓｏｎｏｐｒｔｙｔｃｙｉｏｅｓｏｄｔａｈａｇｒｈａｎｍｅａｅａｌｐｏｅｓｓｗｉｉｈｅｃｅｃ，ｎｌｄｒｅｓｓｔａｏｋｄｆｎｔｎｈｔｎｍｅａｅｌｏｉｔｃｌｅｕｒｔｌｒｃｓｅｔｈｇｆｉｎｙｉｃｕｅｐｏｓｅｈｔｏｅｕｃｉｓｔａｕｒｔｄｍｌｈｉｃｈｏｅｐｏｅｓｓｏｉｃｌｎｅｅｔｅｎｌｐｃｈｎｅｅｅａａｔｅｓｌｒｃｓｅｒｒｔｅｔｒｄｉｏｋｒｅａｅｃａｇｄｋｒｌｔｍｄｅ￣ｄｅｙｎｓｎｄｏ
ＫｅｗｏｄｓｐｏｅｓＰｓｄｂｌ；ｉｔｒＫｅｅｙｒ：ｒｃｓ；ｐＣｉＴａｅｐｏｎｅ；ｒｌｎ
任何病毒和木马的活动都和进程有关，因此，查看系统中活动的进程成为我们检测病毒最直接的方法。
但病毒进程为了逃避检测，常常进入内核空间，修改
ｔｂａｎｍｅｒｄｒｓｎｏｓＰｓｄｂｅＴｈｅａｇｒｔｍｆＥｒｏｉｉｇＰｓＣｉＴａｌ，ｎｌｒｎｐｔｅｏｏｔｉｍｏｙａｄｅｓｏｆｗｉｄｗｓ７＇ｐＣｉＴａｌ．ｌｏｈｏｇｄｃｎｐｄｂｅｆａｌｂｇｓｕｈｉｉｙｉ
内核枚举进程的ＡＩＰ或直接修 Nhomakorabea改内核数据，让它们返回的数据始终遗漏病毒自身进程的信息，一般的进程
访问一个对象的时候，如打开一个文件，系统就会创建一个对象旬柄，通过这个句柄可以对这个文件进行各种的操作。句柄和对象的联系是通过句柄表来进行的，准确来说一个句柄就是它所对应的对象在句柄表