2 |
WinProcessHide 应用进程隐藏
3 |

4 |

5 |

6 |
7 |

8 |
9 |
10 | 这是一项基于Windows内核的应用进程隐藏,以至于包括系统软件在内的任何软件都无法检测到该应用,无需注入器,无需dll即可不被检测,适用于游戏黑客、电脑程序、外挂隐藏
11 |
12 |
13 |
14 |
15 |
16 | ## 适用于
17 | WINDOWS 7
18 | WINDOWS 8
19 | WINDOWS 10
20 | WINDOWS 11
21 |
22 | ## 原理
23 | 该隐藏思路是通过开启电脑内核调试功能,使用WinDbg从系统内核修改应用唯一的EPROCESS结构,从EPROCESS修改pid实现系统内核内隐藏应用进程,使得任何进程检测应用均无法检测。
24 |
25 | ## 使用教程
26 | ### 📌下载及开启调试模式
27 | 1.在微软应用商店下载WinDbg
28 |
29 | 2.以**管理员权限**启动CMD或powershell,输入以下命令
30 |
31 | - bcdedit -debug on
32 | - shutdown /r /t 0
33 |
34 | 此时电脑会开启内核调试模式并重启
35 | ### 🔍查找16进制进程编号
36 | 3.以**管理员权限**启动WinDbg,按下**ctrl+k**选择**Local**继续
37 |
38 | 4.顶部导航栏**View**选择**Command**,等待符号安装后即可进入内核调试命令行
39 |
40 | 5.命令行输入!process 0 0 XXX.exe查找进程(XXX是你要隐藏的应用进程名,你可以在任务管理器查看)
41 |
42 | - kd> !process 0 0 XXX.exe
43 | - PROCESS 8241d490 SessionId: none Cid: 0178 Peb: 7ffdf000 ParentCid: 0004
44 | - DirBase: 02b40040 ObjectTable: e148a4a0 HandleCount: 19.
45 | - Image: XXX.exe
46 |
47 | 6.记下 **- PROCESS 8241d490** ,然后输入
48 |
49 | - dt _eprocess 8241d490
50 |
51 | 此时你就可以看到XXX.exe应用的唯一的EPROCESS结构
52 |
53 | - 0: kd> dt _eprocess
54 | nt!_EPROCESS
55 | +0x000 Pcb : _KPROCESS
56 | +0x438 ProcessLock : _EX_PUSH_LOCK
57 | +0x440 UniqueProcessId : Ptr64 Void
58 | +0x448 ActiveProcessLinks : _LIST_ENTRY
59 | +0x458 RundownProtect : _EX_RUNDOWN_REF
60 | ......
61 |
62 | 我们只用看 **+0x440 UniqueProcessId : Ptr64 Void** 其中 **Void**前面的数字就是XXX.exe的16进制Pid号
63 | ### 🕶️伪装
64 | 7.在任务管理器找一个**你想伪装的**应用,**右键**选择**转到详细信息**,记下该应用的Pid号,将该pid号从当前的10进制**转成16进制**,如abcd
65 |
66 | 8.输入 **ed 8241d490+0x440 abcd** 其中abcd是你想伪装的应用16进制Pid号,回车即可
67 | ### 🎖️验证
68 | 9.重复第6步查看是否修改成功,打开任务管理器检查,此时应用已经被隐藏,在任何检测软件中都是不可见的
69 |
70 | ## 喜欢这个项目,请为我点个Star ⭐
71 |
72 | [](https://star-history.com/#star-history/star-history&Date)
--------------------------------------------------------------------------------