说说windows内核中为什么要隐藏线程？（附源码）

一、论：
接着上一篇来谈谈，进程都能隐藏，单独隐藏进程中的某一个线程干啥？
二、需求：
需求源动力，就是有需求，除了正儿八经热爱喜欢专研的朋友，无利无名、无食而学日不思，真的让人很尊敬。
三、打个比方：
当你想要去实现隐藏线程的时候你有可能在干什么？做一个工具？或者说是学习？通过隐藏线程可以更深入理解windows内部原理？进程与线程之间的关系？一个正常进程里面包含恶意线程？这是一个很棒的学习方式。也许你会用它来做一些事情，以前想写过一个类似于ARK的工具，才有了学习的需求及动力。但是还没有实际的环境去应用隐藏线程，没有需求，但还是把代码认真的写出来，分享一些知识，知识在于分享。
四、还是那些结构体：
有时候我在想，不用winAPI我能做什么事？也许我还能做很多的事情，因为有足够的结构体我就不慌、但是，如果没有了结构体我能做什么事情？这个还真不好说，其实相对于windows我更为喜欢Linux那种自由。
介绍主人公_ETHREAD与_KTHREAD:
1、_EPROCESS.ThreadListHead ---> _ETHREAD
2、_KPROCESS.ThreadListHead ---> _KTHREAD
线程属于进程，一个进程由多个线程、那么同一个进程的多个线程使用的是相同的进程空间，线程也叫做轻量级进程。线程挂靠技术，也可以本线程使用其他进程的空间。
windows下线程是最小执行单位，每个进程至少会有一个主线程去响应执行。同样_ETHREAD属于执行体层，内嵌偏移0是_KTHREAD（微内核层）,异曲同工之妙，windows的管理不得不说很优秀，可以用艺术来形容。
_KPROCESS中会有一个成员叫做ThreadListHead字段是进程所有线程的链表。指向的位置是_KTHREAD.ThreadListEntry，这个地方当时异或了好久，为啥？为啥这个链表指向的就是这个结构体这个位置，其实我现在也很纠结.

_KPROCESS.ThreadListHead指向 -----> _KTHREAD.ThreadListEntry

就是这个情况.内核就是通过这个来遍历属于某一个进程空间的所有线程。详细资料还是参考：https://bbs.pediy.com/thread-223858.htm 个人感觉翻译过来的文章质量五星好评。
五、贴上源码
注：
用户层与头文件源码与隐藏线层套路一样，代码可复用（改一下控制码的宏定义即可）
以下测试代码没有到三环进行通讯，在0环进行的测试（主代码断链部分与进程断链一样，这里给出伪代码及思路）

驱动层：

#include "HideThreadHeader.h"

VOID UnLoad(PDRIVER_OBJECT pDriverObj)
{
UNICODE_STRING DeleteSymbolicLinkName;
RtlInitUnicodeString(&DeleteSymbolicLinkName, L"\\DosDevices\\SymbolicLinkName");

IoDeleteSymbolicLink(&DeleteSymbolicLinkName);
IoDeleteDevice(pDriverObj->DeviceObject);

KdPrint(("UnLoad Sucess"));
}

NTSTATUS DefaultFun(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
UNREFERENCED_PARAMETER(pDeviceObj);

irp->IoStatus.Information = 0;

irp->IoStatus.Status = STATUS_SUCCESS;

IoCompleteRequest(irp, IO_NO_INCREMENT);

return STATUS_SUCCESS;
}

NTSTATUS onCreate(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
UNREFERENCED_PARAMETER(pDeviceObj);

irp->IoStatus.Information = 0;

irp->IoStatus.Status = STATUS_SUCCESS;

IoCompleteRequest(irp, IO_NO_INCREMENT);

return STATUS_SUCCESS;
}

NTSTATUS onClose(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
UNREFERENCED_PARAMETER(pDeviceObj);

irp->IoStatus.Information = 0;

irp->IoStatus.Status = STATUS_SUCCESS;

IoCompleteRequest(irp, IO_NO_INCREMENT);

return STATUS_SUCCESS;
}

// 遍历属于某个进程所有线程 通过断链实现隐藏线程
VOID HideThreadListLink()
{

CLIENT_ID* ThreadId = NULL;
PEPROCESS pkProcess = NULL;
PKTHREAD pkThread = NULL;
PETHREAD pEthread = NULL;
LIST_ENTRY* pEthreadNext = NULL;
LIST_ENTRY* pEthreadCurrent = NULL;

pkProcess = PsGetCurrentProcess();

// 获取_KPROCESS->ThreadListHead(_LIST_ENTRY)
pEthreadCurrent = (LIST_ENTRY *)((ULONG_PTR)pkProcess + 0x02c);

/* 注：

1. _KPROCESS.ThreadListHead->Flink指向的是一个_KTHREAD.ThreadListEntry
2. _KTHREAD.ThreadListEntry - 偏移ThreadListEntry获取到KTHREAD地址，其实也就是ETHREAD地址.

*/

KdPrint(("ThreadListHead.Flink = %p\n", pEthreadCurrent->Flink));
KdPrint(("ThreadListHead.blink = %p\n", pEthreadCurrent->Blink));

// 这个 (PETHREAD)(PEPROCESS + 0x2c)
pEthreadNext = pEthreadCurrent->Flink;

DbgBreakPoint();

while (pEthreadCurrent != pEthreadNext)
{
pkThread = (PKTHREAD)((ULONG_PTR)pEthreadNext - 0x1e0);

// pKthread->Teb 偏移 0x88
// KdPrint(("pKThread->Teb = %p , %s \n", (ULONG_PTR)pkThread + 0x88, (((ULONG_PTR)pKThread + 0x88) == NULL || pkThread->Teb > 0x80000000 ? "System Thread" : "Non System Thread")));
// 转换成EPROCESS
pEthread = (PETHREAD)pkThread;

DbgBreakPoint();

// pEthread->Cid  偏移0x22c
ThreadId = (CLIENT_ID *)((ULONG_PTR)pEthread + 0x22c);

KdPrint(("ThreadId = %d, ProcessId = %d\n\n", ThreadId->UniqueThread, ThreadId->UniqueProcess));

// 这个地方也可以使用断链 伪代码
if (ThreadId->UniqueThread == "隐藏的线程id")
{
// 与进程隐藏断链方式一样
}

pEthreadNext = pEthreadNext->Flink;
}
}

// 驱动对象入口点
NTSTATUS DriverEntry(DRIVER_OBJECT* pDriverObj,  UNICODE_STRING* RegistryPath)
{

UNREFERENCED_PARAMETER(irp);

DbgBreakPoint();

for (int i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; ++i) {
pDriverObj->MajorFunction[i] = DefaultFun;
}

pDriverObj->DriverUnload = UnLoad;
pDriverObj->MajorFunction[IRP_MJ_CREATE] = onCreate;
pDriverObj->MajorFunction[IRP_MJ_CLOSE] = onClose;

UNICODE_STRING DeviceName;
UNICODE_STRING SymbolicLinkName;
DEVICE_OBJECT* DeviceObj;
NTSTATUS nStatus = STATUS_SUCCESS;

RtlInitUnicodeString(&DeviceName, L"\\Device\\DeviceName");
RtlInitUnicodeString(&SymbolicLinkName, L"\\DosDevices\\SymbolicLinkName");

nStatus = IoCreateDevice(pDriverObj, 0, &DeviceName, FILE_DEVICE_UNKNOWN, 0, 0, &DeviceObj);

if (!NT_SUCCESS(nStatus))
return nStatus;

nStatus = IoCreateSymbolicLink(&SymbolicLinkName, &DeviceName);

if (!NT_SUCCESS(nStatus))
return nStatus;

DbgBreakPoint();

// 没有使用控制码等处理  伪代码进行测试
HideThreadListLink();

return STATUS_SUCCESS;
}