#include < ntddk.h >

/// 不同的windows版本下面的偏移值不同 #define   EPROCESS_SIZE       0x25C  // EPROCESS结构大小

#define   PEB_OFFSET          0x1B0

#define   FILE_NAME_OFFSET    0x174

#define   PROCESS_LINK_OFFSET 0x088

#define   PROCESS_ID_OFFSET   0x084

#define   EXIT_TIME_OFFSET    0x078

#define   OBJECT_HEADER_SIZE  0x018

#define   OBJECT_TYPE_OFFSET  0x008

#define  PDE_INVALID 2 

#define  PTE_INVALID 1 

#define  VALID 0 

ULONG     pebAddress;          // PEB地址的前半部分

PEPROCESS pSystem;             // system进程

ULONG     pObjectTypeProcess;  // 进程对象类型

ULONG   VALIDpage(ULONG addr) ;   // 该函数直接复制自 Ring0下搜索内存枚举隐藏进程

BOOLEAN IsaRealProcess(ULONG i);  // 该函数复制自 Ring0下搜索内存枚举隐藏进程

VOID    WorkThread(IN PVOID pContext);

ULONG   GetPebAddress();           // 得到PEB地址前半部分

VOID    EnumProcess();             // 枚举进程

VOID    ShowProcess(ULONG pEProcess);  // 显示结果

VOID    OnUnload(IN PDRIVER_OBJECT DriverObject)

{

}

NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject,IN PUNICODE_STRING RegistryPath)

{

  HANDLE hThread; 

  DriverObject  ->  DriverUnload  =  OnUnload;

  pSystem     =  PsGetCurrentProcess();

  pebAddress  =  GetPebAddress();

  pObjectTypeProcess  =   * (PULONG)((ULONG)pSystem  -  OBJECT_HEADER_SIZE  + OBJECT_TYPE_OFFSET);  

  PsCreateSystemThread( & hThread, 

    (ACCESS_MASK) 0 , 

    NULL, 

    (HANDLE) 0 , 

    NULL, 

    WorkThread, 

    NULL ); 

   return  STATUS_SUCCESS;

}

/ / VOID WorkThread(IN PVOID pContext) 

{ 

  EnumProcess();

  PsTerminateSystemThread(STATUS_SUCCESS);  

}

// // ULONG  GetPebAddress()

{

  ULONG Address;

  PEPROCESS pEProcess;

         // 由于system进程的peb总是零 我们只有到其他进程去找了

  pEProcess  =  (PEPROCESS)((ULONG)((PLIST_ENTRY)((ULONG)pSystem  +  PROCESS_LINK_OFFSET)) -> Flink  -  PROCESS_LINK_OFFSET);

  Address    =   * (PULONG)((ULONG)pEProcess  +  PEB_OFFSET);

   return  (Address  &   0xFFFF0000 );  

}

// / VOID EnumProcess()

{

  ULONG  uSystemAddress  =  (ULONG)pSystem;

  ULONG  i;

  ULONG  Address;

  ULONG  ret;

  DbgPrint( " ------------------------------------------- " );

  DbgPrint( " EProcess    PID    ImageFileName " );

  DbgPrint( " --------------------------------- " );

  

   for (i  =   0x80000000 ; i  <  uSystemAddress; i  +=   4 ) {

// system进程的EPROCESS地址就是最大值了

    ret  =  VALIDpage(i); 

     if  (ret  ==  VALID) { 

      Address  =   * (PULONG)i;

       if  (( Address  &   0xFFFF0000 )  ==  pebAddress) {

// 每个进程的PEB地址都是在差不多的地方，地址前半部分是相同的       

         if (IsaRealProcess(i)) { 

          ShowProcess(i  -  PEB_OFFSET);  

           i  +=  EPROCESS_SIZE;                

        }  

      }  

    } else   if (ret  ==  PTE_INVALID) { 

      i  -= 4 ; 

      i  +=   0x1000 ; // 4k 

    } else { 

      i -= 4 ; 

      i +=   0x400000 ; // 4mb 

    }  

  }

  ShowProcess(uSystemAddress); // system的PEB总是零 上面的方法是枚举不到的 不过我们用PsGetCurrentProcess就能得到了

  DbgPrint( " ------------------------------------------- " );

  

}

/ VOID    ShowProcess(ULONG pEProcess)

{

  PLARGE_INTEGER ExitTime;

  ULONG PID;

  PUCHAR pFileName;

  

  ExitTime  =  (PLARGE_INTEGER)(pEProcess  +  EXIT_TIME_OFFSET);  

   if (ExitTime -> QuadPart  !=   0 )  // 已经结束的进程的ExitTime为非零

     return  ;

  PID  =   * (PULONG)(pEProcess  +  PROCESS_ID_OFFSET);

  pFileName  =  (PUCHAR)(pEProcess  +  FILE_NAME_OFFSET);

  DbgPrint( " 0x%08X  %04d   %s " ,pEProcess,PID,pFileName);

}

/ ULONG VALIDpage(ULONG addr) 

{ 

  ULONG pte; 

  ULONG pde; 

  

  pde  =   0xc0300000   +  (addr >> 22 ) * 4 ; 

   if (( * (PULONG)pde  &   0x1 )  !=   0 ) { 

     // large page 

     if (( * (PULONG)pde  &   0x80 )  !=   0 ) { 

       return  VALID; 

    }  

    pte  =   0xc0000000   +  (addr >> 12 ) * 4 ; 

     if (( * (PULONG)pte  &   0x1 )  !=   0 ) { 

       return  VALID; 

    } else { 

       return  PTE_INVALID; 

    }  

  }  

   return  PDE_INVALID; 

}  

/// / BOOLEAN IsaRealProcess(ULONG i) 

{ 

  NTSTATUS STATUS; 

  PUNICODE_STRING pUnicode; 

  UNICODE_STRING Process; 

  ULONG pObjectType; 

  ULONG ObjectTypeAddress; 

  

   if  (VALIDpage(i -  PEB_OFFSET)  !=  VALID) { 

     return  FALSE; 

  }  

  ObjectTypeAddress  =  i  -  PEB_OFFSET  -  OBJECT_HEADER_SIZE  +  OBJECT_TYPE_OFFSET ;

  

   if  (VALIDpage(ObjectTypeAddress)  ==  VALID) { 

    pObjectType  =   * (PULONG)ObjectTypeAddress; 

  } else { 

     return  FALSE; 

  }  

  

   if (pObjectTypeProcess  ==  pObjectType) {  // 确定ObjectType是Process类型

     return  TRUE; 

  }  

   return  FALSE; 

}