Kernel-Process-Hollowing 项目下载及安装教程

1. 项目介绍

Kernel-Process-Hollowing 是一个 Windows x64 内核模式下的 rootkit 进程隐藏 POC（概念验证）项目。该项目展示了如何从内核级别实现进程隐藏技术。通过该项目，开发者可以学习到内核编程、进程隐藏技术以及 SSDT（系统服务描述符表）钩子等高级技术。

2. 项目下载位置

要下载 Kernel-Process-Hollowing 项目，请按照以下步骤操作：

1. 打开命令行终端（如 CMD 或 PowerShell）。
2. 使用 git clone 命令下载项目：

git clone https://github.com/XaFF-XaFF/Kernel-Process-Hollowing.git

3. 下载完成后，项目文件将保存在当前目录下的 Kernel-Process-Hollowing 文件夹中。

3. 项目安装环境配置

3.1 操作系统要求

• Windows 10 x64 或更高版本
• Windows Server 2016 x64 或更高版本

3.2 开发工具要求

• Visual Studio 2019 或更高版本
• Windows Driver Kit (WDK) 10 或更高版本

3.3 环境配置步骤

1. 安装 Visual Studio：

   • 下载并安装 Visual Studio 2019 或更高版本。
   • 在安装过程中，确保选择“使用 C++ 的桌面开发”工作负载。

2. 安装 Windows Driver Kit (WDK)：

   • 下载并安装 WDK 10 或更高版本。
   • 安装完成后，确保 WDK 工具已正确配置到系统环境变量中。

3.4 环境配置示例

4. 项目安装方式

1. 打开项目解决方案：

   • 在 Visual Studio 中，打开下载的项目文件夹中的 Kernel-Process-Hollowing.sln 解决方案文件。

2. 配置项目属性：

   • 右键点击解决方案资源管理器中的项目名称，选择“属性”。
   • 在“配置属性”中，确保“平台工具集”设置为“Visual Studio 2019 (v142)”或更高版本。
   • 确保“驱动程序模型”设置为“WDM”。

3. 编译项目：

   • 选择“生成”菜单，然后点击“生成解决方案”。
   • 编译完成后，生成的驱动文件将位于项目目录的 x64/Debug 或 x64/Release 文件夹中。

5. 项目处理脚本

Kernel-Process-Hollowing 项目包含以下主要处理脚本：

• EncryptPayload：用于加密和解密进程的负载数据。
• SsdtHook：用于实现 SSDT 钩子，隐藏进程。

5.1 EncryptPayload 脚本

// EncryptPayload.cpp
#include "EncryptPayload.h"

void EncryptPayload(BYTE* payload, size_t size) {
    for (size_t i = 0; i < size; i++) {
        payload[i] ^= 0xAA;
    }
}

5.2 SsdtHook 脚本

// SsdtHook.cpp
#include "SsdtHook.h"

void SsdtHook() {
    // 实现 SSDT 钩子逻辑
}

通过以上步骤，您可以成功下载、配置并安装 Kernel-Process-Hollowing 项目，并了解其主要处理脚本的功能。