木马/后门程序在WINNT中进程隐藏及查找的方法

　　if ( !EnumProcesses( aProcesses, sizeof(aProcesses), cbNeeded ) ) return 0;

　　cProcesses = cbNeeded / sizeof(DWORD);

　　// 按有效的PID遍历所有的进程

　　for ( i = 0; i cProcesses; i++ )

　　{

　　// 打开特定PID的进程

　　hProcess = OpenProcess( PROCESS_QUERY_INFORMATION |

　　PROCESS_VM_READ,

　　FALSE, aProcesses[i]);

　　// 取得特定PID的进程名

　　if ( hProcess )

　　{

　　if ( EnumProcessModules( hProcess, hMod, sizeof(hMod), cbNeeded) )

　　{

　　GetModuleBaseName( hProcess, hMod,

　　szProcessName, sizeof(szProcessName) );

　　//将取得的进程名与输入的进程名比较，如相同则返回进程PID

　　if(!_stricmp(szProcessName, InputProcessName)){

　　CloseHandle( hProcess );

　　return aProcesses[i];

　　}

　　}

　　}//end of if ( hProcess )

　　}//end of for

　　//没有找到相应的进程名，返回0

　　CloseHandle( hProcess );

　　return 0;

　　}//end of ProcessToPID

　　//错误处理函数CheckError()

　　//如果iReturnCode等于iErrorCode,则输出pErrorMsg并退出

　　void CheckError(int iReturnCode, int iErrorCode, char *pErrorMsg)

　　{

　　if(iReturnCode==iErrorCode) {

　　printf(%s Error:%dnn, pErrorMsg, GetLastError());

　　//清场处理

　　if (pszLibFileRemote != NULL)

　　VirtualFreeEx(hRemoteProcess, pszLibFileRemote, 0, MEM_RELEASE);

　　if (hRemoteThread != NULL) CloseHandle(hRemoteThread );

　　if (hRemoteProcess!= NULL) CloseHandle(hRemoteProcess);

　　exit(0);

　　}

　　}//end of CheckError()

　　//使用方法说明函数usage()

　　void usage(char * pErrorMsg)

　　{

　　printf(%snn,pErrorMsg);

　　printf(ttRemote Process DLL by Shotgunn);

　　printf(tThis program can inject a DLL into remote processn);

　　printf(Email:n);

　　printf(tShotgun@Xici.Netn);

　　printf(HomePage:n);

　　printf(thttp://It.Xici.Netn);

　　printf(thttp://www.Patching.Netn);

　　printf(USAGE:n);

　　printf(tRmtDLL.exe PID[|ProcessName] DLLFullPathNamen);

　　printf(Example:n);

　　printf(tRmtDLL.exe 1024 C:WINNTSystem32MyDLL.dlln);

　　printf(tRmtDLL.exe Explorer.exe C:MyDLL.dlln);

　　exit(0);

　　}//end of usage()