weixin_44762129的博客

原创 2021-05-15

断链隐藏进程## 一个令人头疼的问题，众所周知x64在patch guard的保护下，不能断掉eprocess 的Activeprocesslink，因为pg监控着全局变量，断掉后会在十几分钟到几个小时之间随机蓝屏，但是最近的一款新的软件名为YDARK的类似Pchunter的监控软件实现了断链隐藏进程的效果，windbg简单分析发现他处理了kprocess的processlistentry而不是eprocess 里的link，并且没有处理pg，没有使用infinity hook，达到了断链隐藏的效果，与作者