易语言隐藏进程

系统结构:进程隐藏,提升进程权限D,取进程EProcess,十六文本至长整数,读物理内存,写物理内存,取特殊目录,获取特别文件夹位置_,从列表id取路径_,NtSystemDebugControl,ZwQuerySystemInformation,

======窗口程序集1
           |  |
           |  |------ _按钮1_被单击
           |  |
           |  |------ _按钮2_被单击
           |  |
           |  |------ 进程隐藏
           |  |
           |  |------ 提升进程权限D
           |  |
           |  |------ 取进程EProcess
           |  |
           |  |------ 十六文本至长整数
           |  |
           |  |------ 读物理内存
           |  |
           |  |------ 写物理内存
           |  |
           |  |------ _模块_调用转向
           |  |
           |  |------ 取特殊目录
           |  |
           |  |
======调用的Dll
           |  |
           |  |---[dll]------   _打开进程
           |  |
           |  |---[dll]------   _关闭对象
           |  |
           |  |---[dll]------   _取自进程ID
           |  |
           |  |---[dll]------   获取特别文件夹位置_
           |  |
           |  |---[dll]------   从列表id取路径_
           |  |
           |  |---[dll]------   _取指针_字节集
           |  |
           |  |---[dll]------   NtSystemDebugControl
           |  |
           |  |---[dll]------   ZwQuerySystemInformation
           |  |
           |  |---[dll]------   _写内存3
           |  |
           |  |---[dll]------   _写内存2
           |  |
           |  |---[dll]------   _进制文本转整数
           |  |
           |  |---[dll]------   _打开令牌对象
           |  |
           |  |---[dll]------   _取权限令牌
           |  |
           |  |---[dll]------   _置进程权限

调用的DLL命令:

.DLL命令 _打开进程, 整数型, , "OpenProcess", , kernel32.dll
    .参数 访问级别, 整数型, , 2035711完全访问
    .参数 子进程继承, 整数型, , 0为子进程继承
    .参数 进程ID, 整数型, , 要打开的进程标识

.DLL命令 _关闭对象, 整数型, , "CloseHandle", 公开, kernel32.dll
    .参数 对象句柄, 整数型

.DLL命令 _取自进程ID, 整数型, , "GetCurrentProcessId", 公开, kernel32.dll

.DLL命令 获取特别文件夹位置_, 整数型, , "SHGetSpecialFolderLocation", , shell32.dll
    .参数 窗口句柄, 整数型, , hwndOwner
    .参数 文件夹位置, 整数型, , nFolder
    .参数 结构, xbsdy5sg, 传址, pIdl

.DLL命令 从列表id取路径_, 整数型, , "SHGetPathFromIDListA", , shell32.dll
    .参数 结构指针, 整数型, , pIdl
    .参数 路径, 文本型, 传址, pszPath

.DLL命令 _取指针_字节集, 整数型, , "lstrcpyn"
    .参数 目的指针, 字节集, 传址
    .参数 源指针, 字节集, 传址
    .参数 复制长度, 整数型, , 0

.DLL命令 NtSystemDebugControl, 整数型, , "NtSystemDebugControl", , ntdll.dll
    .参数 Command, 整数型, , 8
    .参数 InputBuffer, 字节集
    .参数 InputBufferLength, 整数型
    .参数 OutputBuffer, 整数型
    .参数 OutputBufferLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 ZwQuerySystemInformation, 整数型, , "ZwQuerySystemInformation", , ntdll.dll
    .参数 SystemInformationClass, 整数型, , 未知类型：SYSTEM_INFORMATION_CLASS。
    .参数 SystemInformation, 字节集, , any
    .参数 SystemInformationLength, 整数型
    .参数 ReturnLength, 整数型, 传址

.DLL命令 _写内存3, 整数型, , "RtlMoveMemory"
    .参数 dest, 整数型, 传址
    .参数 Source, 整数型
    .参数 len, 整数型, , 4

.DLL命令 _写内存2, 整数型, , "RtlMoveMemory"
    .参数 dest, h4e6hhtrdes
    .参数 Source, 整数型
    .参数 len, , , 284

.DLL命令 _进制文本转整数, 整数型, , "StrToInt64ExA", , shlwapi.dll进制文本转整数_64-bit integer
    .参数 pszString, 文本型
    .参数 dwFlags, 整数型
    .参数 piRet, 长整数型, 传址

.DLL命令 _打开令牌对象, 逻辑型, , "OpenProcessToken", , advapi32.dll打开过程令牌对象
    .参数 进程句柄, 整数型
    .参数 权限, 整数型
    .参数 令牌句柄, 整数型, 传址

.DLL命令 _取权限令牌, 整数型, , "LookupPrivilegeValueA", , advapi32.dll返回特权名LUID
    .参数 系统服务名, 整数型, , lpSystemName
    .参数 权限名, 文本型, 传址
    .参数 权限结构, ebw4ythr, 传址

.DLL命令 _置进程权限, 逻辑型, , "AdjustTokenPrivileges", , advapi32.dll使能/取消令牌特权
    .参数 令牌句柄, 整数型
    .参数 DisableAllPrivileges, 逻辑型
    .参数 NewState, ebyrt, 传址
    .参数 BufferLength, 整数型
    .参数 PreviousState, 整数型
    .参数 ReturnLength, 整数型