說說windows內核中爲何要隱藏線程？

1、論：
 接着上一篇來談談，進程都能隱藏，單獨隱藏進程中的某一個線程幹啥？
2、需求：
 需求源動力，就是有需求，除了正兒八經熱愛喜歡專研的朋友，無利無名、無食而學日不思，真的讓人很尊敬。
3、打個比方：
 當你想要去實現隱藏線程的時候你有可能在幹什麼？作一個工具？或者說是學習？經過隱藏線程能夠更深刻理解windows內部原理？進程與線程之間的關係？一個正常進程裏面包含惡意線程？這是一個很棒的學習方式。也許你會用它來作一些事情，之前想寫過一個相似於ARK的工具，纔有了學習的需求及動力。可是尚未實際的環境去應用隱藏線程，沒有需求，但仍是把代碼認真的寫出來，分享一些知識，知識在於分享。
4、仍是那些結構體：
 有時候我在想，不用winAPI我能作什麼事？也許我還能作不少的事情，由於有足夠的結構體我就不慌、可是，若是沒有告終構體我能作什麼事情？這個還真很差說，其實相對於windows我更爲喜歡Linux那種自由。
 介紹主人公_ETHREAD與_KTHREAD:
  一、_EPROCESS.ThreadListHead ---> _ETHREAD
  二、_KPROCESS.ThreadListHead ---> _KTHREAD
 線程屬於進程，一個進程由多個線程、那麼同一個進程的多個線程使用的是相同的進程空間，線程也叫作輕量級進程。線程掛靠技術，也能夠本線程使用其餘進程的空間。
 windows下線程是最小執行單位，每一個進程至少會有一個主線程去響應執行。一樣_ETHREAD屬於執行體層，內嵌偏移0是_KTHREAD（微內核層）,殊途同歸之妙，windows的管理不得不說很優秀，能夠用藝術來形容。
  _KPROCESS中會有一個成員叫作ThreadListHead字段是進程全部線程的鏈表。指向的位置是_KTHREAD.ThreadListEntry，這個地方當時異或了很久，爲啥？爲啥這個鏈表指向的就是這個結構體這個位置，其實我如今也很糾結.

 _KPROCESS.ThreadListHead指向 -----> _KTHREAD.ThreadListEntry

 就是這個狀況.內核就是經過這個來遍歷屬於某一個進程空間的全部線程。詳細資料仍是參考：https://bbs.pediy.com/thread-223858.htm 我的感受翻譯過來的文章質量五星好評。
5、貼上源碼
注：
 用戶層與頭文件源碼與隱藏線層套路同樣，代碼可複用（改一下控制碼的宏定義便可）
如下測試代碼沒有到三環進行通信，在0環進行的測試（主代碼斷鏈部分與進程斷鏈同樣，這裏給出僞代碼及思路）

驅動層：

#include "HideThreadHeader.h"

VOID UnLoad(PDRIVER_OBJECT pDriverObj)
{
    UNICODE_STRING DeleteSymbolicLinkName;
    RtlInitUnicodeString(&DeleteSymbolicLinkName, L"\\DosDevices\\SymbolicLinkName");

    IoDeleteSymbolicLink(&DeleteSymbolicLinkName);
    IoDeleteDevice(pDriverObj->DeviceObject);

    KdPrint(("UnLoad Sucess"));
}

NTSTATUS DefaultFun(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
    UNREFERENCED_PARAMETER(pDeviceObj);

    irp->IoStatus.Information = 0;

    irp->IoStatus.Status = STATUS_SUCCESS;

    IoCompleteRequest(irp, IO_NO_INCREMENT);

    return STATUS_SUCCESS;
}

NTSTATUS onCreate(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
    UNREFERENCED_PARAMETER(pDeviceObj);

    irp->IoStatus.Information = 0;

    irp->IoStatus.Status = STATUS_SUCCESS;

    IoCompleteRequest(irp, IO_NO_INCREMENT);

    return STATUS_SUCCESS;
}

NTSTATUS onClose(DEVICE_OBJECT* pDeviceObj, IRP* irp)
{
    UNREFERENCED_PARAMETER(pDeviceObj);

    irp->IoStatus.Information = 0;

    irp->IoStatus.Status = STATUS_SUCCESS;

    IoCompleteRequest(irp, IO_NO_INCREMENT);

    return STATUS_SUCCESS;
}

// 遍歷屬於某個進程全部線程 經過斷鏈實現隱藏線程
VOID HideThreadListLink()
{

    CLIENT_ID* ThreadId = NULL;
    PEPROCESS pkProcess = NULL;
    PKTHREAD pkThread = NULL;
    PETHREAD pEthread = NULL;
    LIST_ENTRY* pEthreadNext = NULL;
    LIST_ENTRY* pEthreadCurrent = NULL;

    pkProcess = PsGetCurrentProcess();

    // 獲取_KPROCESS->ThreadListHead(_LIST_ENTRY)
    pEthreadCurrent = (LIST_ENTRY *)((ULONG_PTR)pkProcess + 0x02c);

    /* 注：

            1. _KPROCESS.ThreadListHead->Flink指向的是一個_KTHREAD.ThreadListEntry 
            2. _KTHREAD.ThreadListEntry - 偏移ThreadListEntry獲取到KTHREAD地址，其實也就是ETHREAD地址.

    */

    KdPrint(("ThreadListHead.Flink = %p\n", pEthreadCurrent->Flink));
    KdPrint(("ThreadListHead.blink = %p\n", pEthreadCurrent->Blink));

    // 這個 (PETHREAD)(PEPROCESS + 0x2c)
    pEthreadNext = pEthreadCurrent->Flink;

    DbgBreakPoint();

    while (pEthreadCurrent != pEthreadNext)
    {
        pkThread = (PKTHREAD)((ULONG_PTR)pEthreadNext - 0x1e0);

        // pKthread->Teb 偏移 0x88
        // KdPrint(("pKThread->Teb = %p , %s \n", (ULONG_PTR)pkThread + 0x88, (((ULONG_PTR)pKThread + 0x88) == NULL || pkThread->Teb > 0x80000000 ? "System Thread" : "Non System Thread")));
        // 轉換成EPROCESS
        pEthread = (PETHREAD)pkThread;

        DbgBreakPoint();

        // pEthread->Cid  偏移0x22c  
        ThreadId = (CLIENT_ID *)((ULONG_PTR)pEthread + 0x22c);

        KdPrint(("ThreadId = %d, ProcessId = %d\n\n", ThreadId->UniqueThread, ThreadId->UniqueProcess));

        // 這個地方也可使用斷鏈 僞代碼
        if (ThreadId->UniqueThread == "隱藏的線程id")
        {
            // 與進程隱藏斷鏈方式同樣
        }

        pEthreadNext = pEthreadNext->Flink;
    }
}

// 驅動對象入口點
NTSTATUS DriverEntry(DRIVER_OBJECT* pDriverObj,  UNICODE_STRING* RegistryPath)
{

    UNREFERENCED_PARAMETER(irp);

    DbgBreakPoint();

    for (int i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; ++i) {
        pDriverObj->MajorFunction[i] = DefaultFun;
    }

    pDriverObj->DriverUnload = UnLoad;
    pDriverObj->MajorFunction[IRP_MJ_CREATE] = onCreate;
    pDriverObj->MajorFunction[IRP_MJ_CLOSE] = onClose;

    UNICODE_STRING DeviceName;
    UNICODE_STRING SymbolicLinkName;
    DEVICE_OBJECT* DeviceObj;
    NTSTATUS nStatus = STATUS_SUCCESS;

    RtlInitUnicodeString(&DeviceName, L"\\Device\\DeviceName");
    RtlInitUnicodeString(&SymbolicLinkName, L"\\DosDevices\\SymbolicLinkName");

    nStatus = IoCreateDevice(pDriverObj, 0, &DeviceName, FILE_DEVICE_UNKNOWN, 0, 0, &DeviceObj);

    if (!NT_SUCCESS(nStatus))
        return nStatus;

    nStatus = IoCreateSymbolicLink(&SymbolicLinkName, &DeviceName);

    if (!NT_SUCCESS(nStatus))
        return nStatus;

    DbgBreakPoint();

    // 沒有使用控制碼等處理  僞代碼進行測試
    HideThreadListLink();

    return STATUS_SUCCESS;
}