彻底改掉进程名
写了个改进程名的东西，跟大家分享！技术含量不高，大牛飘过。
先总结一下，一个进程的名字有可能从以下部位获取（参考小伟同学的《伪造进程初探》一文）：
一、EPROCESS中：
1、EPROCESS-->ImageFileName（很常用，冰刃获取进程名的地方）
2、EPROCESS-->SeAuditProcessCreationInfo->ImageFileName（任务管理器获取进程名的地方，NtQueryInformationProcess就是从这里获取进程名的）
3、EPROCESS->SectionObject->Segment->ControlArea->FileObject->FileName（RKU获取进程名的方法）
4、VAD（记录用户空间内存分配情况的数据结构，里面当然有进程的exe模块）
二、PEB中：
1、PEB-->ProcessParameters-->ImagePathName
2、PEB-->ProcessParameters-->CommandLine
3、PEB-->ProcessParameters-->WindowTitle（这个地方比较奇怪，如果双击的是exe的快捷方式，则记录的是快捷方式的路径，还是一并改掉的好）
4、PEB-->LDR-->InLoadOrderModuleList->第一个结构->FullDllName
5、PEB-->LDR-->InLoadOrderModuleList->第一个结构->BaseDllName
6、PEB-->LDR-->InMemoryOrderModuleList->第一个结构->FullDllName（此处的BaseDllName貌似为NULL，就不管它了）
（PEB-->LDR-->InInitializationOrderModuleList这个表里貌似没有exe模块，也不管它了）
把这些地方都改掉即可彻底改掉进程名（如果不够彻底，谢谢补充！）。
示例代码如下（示例代码中以winmine.exe做测试，平台为XP SP3。代码中硬编码很多，通用性不强。）：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
