修改一个结束进程的程序

最新推荐文章于 2021-07-13 19:05:57 发布
原创 最新推荐文章于 2021-07-13 19:05:57 发布 · 785 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows #null #thread #server #integer #token

理论：
今天在pediy上看到了一篇文章 http://bbs.pediy.com/showthread.php?t=70971
是关于关闭进程的一篇文章，它采用关闭进程的方法，是自己实现了native api的调用。这样可以有效的防止ring3环下的hook. 其中获取操作系统版本的信息的方法，是从当前进程的peb中获得的。即，fs:[0]在ring3下指向当前线程环境块_teb, 在_teb偏移30h的位置是PEB. 也就是说fs:[30h]指向当前进程环境块。
lkd> dt _peb
ntdll!_PEB
   +0x000 InheritedAddressSpace : UChar
   +0x001 ReadImageFileExecOptions : UChar
   +0x002 BeingDebugged    : UChar
   +0x003 SpareBool        : UChar
   +0x004 Mutant           : Ptr32 Void
   +0x008 ImageBaseAddress : Ptr32 Void
   +0x00c Ldr              : Ptr32 _PEB_LDR_DATA
   +0x010 ProcessParameters : Ptr32 _RTL_USER_PROCESS_PARAMETERS
   +0x014 SubSystemData    : Ptr32 Void
   +0x018 ProcessHeap      : Ptr32 Void
   +0x01c FastPebLock      : Ptr32 _RTL_CRITICAL_SECTION
   +0x020 FastPebLockRoutine : Ptr32 Void
   +0x024 FastPebUnlockRoutine : Ptr32 Void
   +0x028 EnvironmentUpdateCount : Uint4B
   +0x02c KernelCallbackTable : Ptr32 Void
   +0x030 SystemReserved   : [1] Uint4B
   +0x034 AtlThunkSListPtr32 : Uint4B
   +0x038 FreeList         : Ptr32 _PEB_FREE_BLOCK
   +0x03c TlsExpansionCounter : Uint4B
   +0x040 TlsBitmap        : Ptr32 Void
   +0x044 TlsBitmapBits    : [2] Uint4B
   +0x04c ReadOnlySharedMemoryBase : Ptr32 Void
   +0x050 ReadOnlySharedMemoryHeap : Ptr32 Void
   +0x054 ReadOnlyStaticServerData : Ptr32 Ptr32 Void
   +0x058 AnsiCodePageData : Ptr32 Void
   +0x05c OemCodePageData : Ptr32 Void
   +0x060 UnicodeCaseTableData : Ptr32 Void
   +0x064 NumberOfProcessors : Uint4B
   +0x068 NtGlobalFlag     : Uint4B
   +0x070 CriticalSectionTimeout : _LARGE_INTEGER
   +0x078 HeapSegmentReserve : Uint4B
   +0x07c HeapSegmentCommit : Uint4B
   +0x080 HeapDeCommitTotalFreeThreshold : Uint4B
   +0x084 HeapDeCommitFreeBlockThreshold : Uint4B
   +0x088 NumberOfHeaps    : Uint4B
   +0x08c MaximumNumberOfHeaps : Uint4B
   +0x090 ProcessHeaps     : Ptr32 Ptr32 Void
   +0x094 GdiSharedHandleTable : Ptr32 Void
   +0x098 ProcessStarterHelper : Ptr32 Void
   +0x09c GdiDCAttributeList : Uint4B
   +0x0a0 LoaderLock       : Ptr32 Void
   +0x0a4 OSMajorVersion   : Uint4B
+0x0a8 OSMinorVersion   : Uint4B
   +0x0ac OSBuildNumber    : Uint2B
   +0x0ae OSCSDVersion     : Uint2B
   +0x0b0 OSPlatformId     : Uint4B
   +0x0b4 ImageSubsystem   : Uint4B
   +0x0b8 ImageSubsystemMajorVersion : Uint4B
   +0x0bc ImageSubsystemMinorVersion : Uint4B
   +0x0c0 ImageProcessAffinityMask : Uint4B
   +0x0c4 GdiHandleBuffer : [34] Uint4B
   +0x14c PostProcessInitRoutine : Ptr32     void
   +0x150 TlsExpansionBitmap : Ptr32 Void
   +0x154 TlsExpansionBitmapBits : [32] Uint4B
   +0x1d4 SessionId        : Uint4B
   +0x1d8 AppCompatFlags   : _ULARGE_INTEGER
   +0x1e0 AppCompatFlagsUser : _ULARGE_INTEGER
   +0x1e8 pShimData        : Ptr32 Void
   +0x1ec AppCompatInfo    : Ptr32 Void
   +0x1f0 CSDVersion       : _UNICODE_STRING
   +0x1f8 ActivationContextData : Ptr32 Void
   +0x1fc ProcessAssemblyStorageMap : Ptr32 Void
   +0x200 SystemDefaultActivationContextData : Ptr32 Void
   +0x204 SystemAssemblyStorageMap : Ptr32 Void
   +0x208 MinimumStackCommit : Uint4B

除此之外，还可以直接从内核共享区 _KUSER_SHARED_DATA中获得，这个办法已经在前面文章中说明了 http://hi.baidu.com/combojiang/blog/item/6f9b5802e3d8ef094bfb518d.html

代码如下： 
#include <stdio.h>
#include <windows.h>
#include <Tlhelp32.h>
#include <Ntsecapi.h>

#pragma comment(lib, "Kernel32.lib")

typedef long NTSTATUS;
#define NT_SUCCESS(status)      ((NTSTATUS)(status) >= 0)

DWORD dwZwOpenThread = 0;
DWORD dwZwTerminateThread = 0;
DWORD dwZwClose = 0;

void CurrentProcess_AdjustTokenPrivileges()
{
      BOOL bRet = FALSE;
      HANDLE hTokenHandle = NULL;
      TOKEN_PRIVILEGES tp;
      LUID luid;
  
      bRet = ::OpenProcessToken((HANDLE)::GetCurrentProcess(), 0xF01FF, &hTokenHandle);
      if ( FALSE == bRet )
      {
        printf("OpenProcessToken error: %u/n", ::GetLastError());
        goto FunReturn;
      }
  
      if ( 0 == ::LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &luid) )
      {
        printf("LookupPrivilegeValue error: %u/n", ::GetLastError());
        goto FunReturn;
      }
  
      tp.PrivilegeCount = 1;
      tp.Privileges[0].Luid = luid;
      tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  
      if ( 0 == ::AdjustTokenPrivileges(hTokenHandle, 0, &tp, sizeof(TOKEN_PRIVILEGES), 0, 0) )
      {
        printf("AdjustTokenPrivileges error: %u/n", ::GetLastError());
        goto FunReturn;
      }
  
FunReturn:
  
      if ( NULL != hTokenHandle )
      {
        CloseHandle(hTokenHandle);
        hTokenHandle = NULL;
      }
}

DWORD GetProcessID(char *szProcessName)
{
      HANDLE hSnapshot = NULL;
      PROCESSENTRY32 ProEntry;
      DWORD dwProcessID = 0;
  
      hSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
      if ( INVALID_HANDLE_VALUE == hSnapshot )
      {
        printf("CreateToolhelp32Snapshot error: %u/n", ::GetLastError());
        hSnapshot = NULL;
        goto FunReturn;
      }
  
      ProEntry.dwSize = sizeof(PROCESSENTRY32);
      if ( FALSE == ::Process32First(hSnapshot, &ProEntry) )
      {
        printf("Process32First error: %u/n", ::GetLastError());
        goto FunReturn;
      }
  
      do 
      {
        if ( 0 == _strnicmp(szProcessName, (char *)ProEntry.szExeFile, (int)strlen(szProcessName)) )
        {
          dwProcessID = (DWORD)ProEntry.th32ProcessID;
          break;
        }
    
      } while( ::Process32Next(hSnapshot, &ProEntry) );
  
FunReturn:
  
      if ( NULL != hSnapshot )
      {
        CloseHandle(hSnapshot);
        hSnapshot = NULL;
      }
  
      return dwProcessID;
}

void Call_sysenter()
{
      __asm
      {
        mov edx, esp
        _emit 0x0f
        _emit 0x34
        retn
      }
}

void Call_ZwOpenThread()
{
      __asm
      {
        mov eax, dwZwOpenThread
        call Call_sysenter
    
        retn 10h
      }    
}

__declspec(naked) void      My_ZwOpenThread(DWORD dwThreadID)
{
      __asm
      {
        sub esp, 20h
        mov ecx, [esp+24h]
         xor eax, eax
         lea edx, [esp]
         push edx
         mov [esp+4h], eax
         mov [esp+10h], eax
         mov [esp+18h], eax
         mov [esp+14h], eax
         mov [esp+1Ch], eax
         mov [esp+20h], eax
         lea eax, [esp+0Ch]
         push eax
         mov [esp+0Ch], ecx
         push 4Bh
         lea ecx, [esp+30h]
         push ecx
         mov dword ptr [esp+18h], 18h
         call Call_ZwOpenThread
 
         neg eax
         **b eax, eax
         not eax
         and eax, [esp+24h]
         add esp, 20h
        retn
      }
}

void My_ZwTerminateThread(HANDLE hThread, DWORD dwExitCode)
{
      __asm
      {
        mov eax, dwZwTerminateThread
        call Call_sysenter

        retn 8
      }
}

void My_ZwClose(HANDLE hThread)
{
      __asm
      {
        mov eax, dwZwClose
        call Call_sysenter

        retn 4
      }
}

void TerminateProcess_Thread(DWORD dwProcessID)
{
      HANDLE hSnapshot = NULL;
      HANDLE hThread = NULL;
      DWORD hThreadID = 0, dwRet = 0;
      THREADENTRY32 ThreadEntry;
  
      hSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, dwProcessID);
      if ( INVALID_HANDLE_VALUE == hSnapshot )
      {
        printf("CreateToolhelp32Snapshot error: %u/n", ::GetLastError());
        hSnapshot = NULL;
        goto FunReturn;
      }
  
      ThreadEntry.dwSize = sizeof(THREADENTRY32);
      if ( FALSE == ::Thread32First(hSnapshot, &ThreadEntry) )
      {
        printf("Thread32First error: %u/n", ::GetLastError());
        goto FunReturn;
      }
  
      do 
      {
        if ( ThreadEntry.th32OwnerProcessID != dwProcessID )
          continue;

        hThread = NULL;
        hThreadID = ThreadEntry.th32ThreadID;
        __asm
        {
          push hThreadID
          call My_ZwOpenThread

          mov hThread, eax
        }

        if ( NULL == hThread )
          continue;

        My_ZwTerminateThread((HANDLE)hThread, 0);
        My_ZwClose(hThread);
    
      } while( ::Thread32Next(hSnapshot, &ThreadEntry) );
  
FunReturn:
  
      if ( NULL != hSnapshot )
      {
        CloseHandle(hSnapshot);
        hSnapshot = NULL;
      }
}

int main(int argc, char * argv[])
{
      DWORD dwRet = 0;
      DWORD dwOSMajorVersion = 0, dwOSMinorVersion = 0;
      DWORD dwProcessID = 0;

       if ( argc != 2 || argc > 2 )
         goto FunReturn;

      CurrentProcess_AdjustTokenPrivileges();

      __asm
      {
        push ecx
        mov eax, fs:[30h]
        mov ecx, [eax+0A8h]
        mov dwOSMinorVersion, ecx
        xor ecx,ecx  
        mov ecx, [eax+0A4h]
        mov dwOSMajorVersion, ecx
        xor ecx,ecx
        pop ecx
      }

      if ( 5 != dwOSMajorVersion )      //不是 Windows Server 2003 R2,Windows Server 2003,Windows XP,Windows 2000.
      {
        printf("not Windows Server 2003 R2,Windows Server 2003,Windows XP,Windows 2000.");
        goto FunReturn;
      }

      if ( 1 == dwOSMinorVersion )
      {
        //printf("Xp System./n");
        dwZwOpenThread = 0x80;
        dwZwTerminateThread = 0x102;
        dwZwClose = 0x19;
      }
      else if ( 2 == dwOSMinorVersion )
      {
        //printf("Windows Server 2003 R2,Windows Server 2003,Windows XP Professional x64 Edition./n");
        dwZwOpenThread = 0x10B;
        dwZwTerminateThread = 0x86;
        dwZwClose = 0x1B;
      }
      else if ( 0 != dwOSMinorVersion )
      {
        dwZwOpenThread = 0x6F;
        dwZwTerminateThread = 0x0E1;
        dwZwClose = 0x18;
      }

      dwProcessID = GetProcessID((char *)argv[argc - 1]);
      if ( 0 == dwProcessID )
        goto FunReturn;

      TerminateProcess_Thread(dwProcessID);

FunReturn:
      return dwRet;
}

分析：
这个代码在vc6下运行，会出现栈帧混乱。 程序会崩溃掉。 下面是我修改后的代码，在vc6下测试通过。

#include <stdio.h>
#include <windows.h>
#include <Tlhelp32.h>
#include <Ntsecapi.h>

#pragma comment(lib, "Kernel32.lib")

typedef long NTSTATUS;
#define NT_SUCCESS(status)  ((NTSTATUS)(status) >= 0)

DWORD dwZwOpenThread = 0;
DWORD dwZwTerminateThread = 0;
DWORD dwZwClose = 0;

void CurrentProcess_AdjustTokenPrivileges()
{
  BOOL bRet = FALSE;
  HANDLE hTokenHandle = NULL;
  TOKEN_PRIVILEGES tp;
  LUID luid;
  
  bRet = ::OpenProcessToken((HANDLE)::GetCurrentProcess(), 0xF01FF, &hTokenHandle);
  if ( FALSE == bRet )
  {
    printf("OpenProcessToken error: %u/n", ::GetLastError());
    goto FunReturn;
  }
  
  if ( 0 == ::LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &luid) )
  {
    printf("LookupPrivilegeValue error: %u/n", ::GetLastError());
    goto FunReturn;
  }
  
  tp.PrivilegeCount = 1;
  tp.Privileges[0].Luid = luid;
  tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
  
  if ( 0 == ::AdjustTokenPrivileges(hTokenHandle, 0, &tp, sizeof(TOKEN_PRIVILEGES), 0, 0) )
  {
    printf("AdjustTokenPrivileges error: %u/n", ::GetLastError());
    goto FunReturn;
  }
  
FunReturn:
  
  if ( NULL != hTokenHandle )
  {
    CloseHandle(hTokenHandle);
    hTokenHandle = NULL;
  }
}

DWORD GetProcessID(char *szProcessName)
{
  HANDLE hSnapshot = NULL;
  PROCESSENTRY32 ProEntry;
  DWORD dwProcessID = 0;
  
  hSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
  if ( INVALID_HANDLE_VALUE == hSnapshot )
  {
    printf("CreateToolhelp32Snapshot error: %u/n", ::GetLastError());
    hSnapshot = NULL;
    goto FunReturn;
  }
  
  ProEntry.dwSize = sizeof(PROCESSENTRY32);
  if ( FALSE == ::Process32First(hSnapshot, &ProEntry) )
  {
    printf("Process32First error: %u/n", ::GetLastError());
    goto FunReturn;
  }
  
  do 
  {
    if ( 0 == _strnicmp(szProcessName, (char *)ProEntry.szExeFile, (int)strlen(szProcessName)) )
    {
      dwProcessID = (DWORD)ProEntry.th32ProcessID;
      break;
    }
    
  } while( ::Process32Next(hSnapshot, &ProEntry) );
  
FunReturn:
  
  if ( NULL != hSnapshot )
  {
    CloseHandle(hSnapshot);
    hSnapshot = NULL;
  }
  
  return dwProcessID;
}

__declspec(naked) void Call_sysenter()
{
  __asm
  {
    mov edx, esp
    _emit 0x0f
    _emit 0x34
    retn
  }
}

__declspec(naked) void _stdcall Call_ZwOpenThread()
{
  __asm
  {
    mov eax, dwZwOpenThread
    call Call_sysenter

    retn 10h
  }    
}

__declspec(naked) void  My_ZwOpenThread(DWORD dwThreadID)
{
  __asm
  {
     sub esp, 20h
     mov ecx, [esp+24h]
     xor eax, eax
     lea edx, [esp]
     push edx
     mov [esp+4h], eax
     mov [esp+10h], eax
     mov [esp+18h], eax
     mov [esp+14h], eax
     mov [esp+1Ch], eax
     mov [esp+20h], eax
     lea eax, [esp+0Ch]
     push eax
     mov [esp+0Ch], ecx
     push 4Bh
     lea ecx, [esp+30h]
     push ecx
     mov dword ptr [esp+18h], 18h
     call Call_ZwOpenThread
 
     neg eax
     sbb eax, eax
     not eax
     and eax, [esp+24h]
     add esp, 20h
     retn 4h
  }
}

__declspec(naked)  void My_ZwTerminateThread(HANDLE hThread, DWORD dwExitCode)
{
  __asm
  {
    mov eax, dwZwTerminateThread
    call Call_sysenter
    retn 8
  }
}

__declspec(naked)  void My_ZwClose(HANDLE hThread)
{
  __asm
  {
    mov eax, dwZwClose
    call Call_sysenter

    retn 4
  }
}

void TerminateProcess_Thread(DWORD dwProcessID)
{
 __asm
 {
  push ESP
 }
  HANDLE hSnapshot = NULL;
  HANDLE hThread = NULL;
  DWORD hThreadID = 0, dwRet = 0;
  THREADENTRY32 ThreadEntry;
  
  hSnapshot = ::CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, dwProcessID);
  if ( INVALID_HANDLE_VALUE == hSnapshot )
  {
    printf("CreateToolhelp32Snapshot error: %u/n", ::GetLastError());
    hSnapshot = NULL;
    goto FunReturn;
  }
  
  ThreadEntry.dwSize = sizeof(THREADENTRY32);
  if ( FALSE == ::Thread32First(hSnapshot, &ThreadEntry) )
  {
    printf("Thread32First error: %u/n", ::GetLastError());
    goto FunReturn;
  }
  
  do 
  {
    if ( ThreadEntry.th32OwnerProcessID != dwProcessID )
      continue;

    hThread = NULL;
    hThreadID = ThreadEntry.th32ThreadID;
    __asm
    {
      push hThreadID
      call My_ZwOpenThread
      mov hThread, eax
    }

    if ( NULL == hThread )
      continue;

    My_ZwTerminateThread((HANDLE)hThread, 0);
    My_ZwClose(hThread);
    
  } while( ::Thread32Next(hSnapshot, &ThreadEntry) );
  
FunReturn:
  
  if ( NULL != hSnapshot )
  {
    CloseHandle(hSnapshot);
    hSnapshot = NULL;
  }

   __asm
 {
  pop ESP
 }
}

int main(int argc, char * argv[])
{
  DWORD dwRet = 0;
  DWORD dwOSMajorVersion = 0, dwOSMinorVersion = 0;
  DWORD dwProcessID = 0;

   if ( argc != 2 || argc > 2 )
     goto FunReturn;

  CurrentProcess_AdjustTokenPrivileges();

  __asm
  {
    push ecx
    mov eax, fs:[30h]   //从共享区获取版本信息
    mov ecx, [eax+0A8h]
    mov dwOSMinorVersion, ecx
    xor ecx,ecx  
    mov ecx, [eax+0A4h]
    mov dwOSMajorVersion, ecx
    xor ecx,ecx
    pop ecx
  }

  if ( 5 != dwOSMajorVersion )  //不是 Windows Server 2003 R2,Windows Server 2003,Windows XP,Windows 2000.
  {
    printf("not Windows Server 2003 R2,Windows Server 2003,Windows XP,Windows 2000.");
    goto FunReturn;
  }

  if ( 1 == dwOSMinorVersion )
  {
    //printf("Xp System./n");
    dwZwOpenThread = 0x80;          //ssdt中的函数序号
    dwZwTerminateThread = 0x102;
    dwZwClose = 0x19;
  }
  else if ( 2 == dwOSMinorVersion )
  {
    //printf("Windows Server 2003 R2,Windows Server 2003,Windows XP Professional x64 Edition./n");
    dwZwOpenThread = 0x10B;
    dwZwTerminateThread = 0x86;
    dwZwClose = 0x1B;
  }
  else if ( 0 != dwOSMinorVersion )
  {
    dwZwOpenThread = 0x6F;
    dwZwTerminateThread = 0x0E1;
    dwZwClose = 0x18;
  }

  dwProcessID = GetProcessID((char *)argv[argc - 1]);
  if ( 0 == dwProcessID )
    goto FunReturn;

  TerminateProcess_Thread(dwProcessID);

FunReturn:
  return dwRet;
}
SSDT Hook
zhuhuibeishadiao
04-10 3349
看看大概的调用情况 左边是2000有的,右边是xp后走的 Ntdll.dll 中的 API 是一个简单的包装函数。 当 Kernel32.dll 中的 API 通过 Ntdll.dll 时，会完成参数的检查再调用一个中断(int 2Eh 或者 SysEnter 指令)，从而实现从 Ring3 进入 Ring0 层 并且将所要调用的服务号(也就是在 S
Phrack最新公布的内核态RootKit的技术细节(e文)
xfreeboy的专栏
10-30 3152
Phrack最新公布的内核态RootKit的技术细节提交人： lance ==Phrack Inc.== Volume 0x0b, Issue 0x3e, Phile #0x06 of 0x10 |=---------------=[ Kernel-mode backdoors for Windows NT ]=--------------=| |=------------------
结束指定进程
acjxe44224的专栏
07-18 99
调用下面的方法就可以了，比如：KillProcess("EXCEL"); //结束指定进程privatevoidKillProcess(stringprocessName){System.Diagnostics.Processmyproc=newSystem.Diagnostics.Process();...
[内核编程]线程操作
輚至消亡
07-13 1734
1. 线程枚举 来介绍几个要用到的内核API: PsLookupThreadByThreadId(): NTSTATUS PsLookupThreadByThreadId( IN HANDLE ThreadId, OUT PETHREAD *Thread ); 通过TID获取对应的ETHREAD结构指针。 IoThreadToProcess(): PEPROCESS IoThreadToProcess( IN PETHREAD Thread
内核钩子模板
lbird
10-16 2213
#include #include #pragma pack(1)typedef struct ServiceDescriptorEntry {    unsigned int *ServiceTableBase;    unsigned int *ServiceCounterTableBase; //Used only in checked build    unsigned int Numbe
抹掉所有进程中自己的句柄(源代码)
12-09 2230
 by  achillis之前听过一个检测进程的想法，就是暴力枚举所有进程中的handle,查找其中类型为PROCESS的．此法也被炉子牛用于他的LzOpenProcess()．下面我就写了一断代码来对抗这个方法，纯属小伎俩，牛牛们飘过～严格说，此段代码不算原创，是从某rootkit的bin中扒出来的，因此基本保留其原貌，经我修改测试，主要函数如下：Copy codevoid CloseAllmy
分享内核钩子实例 稳定
爱.NET
10-10 276
分享内核钩子实例 稳定 From:Internet #include &lt;ntddk.h&gt;#include &lt;ntimage.h&gt; #pragma pack(1)typedef struct ServiceDescriptorEntry { unsigned int *ServiceTableBase; unsigned int *ServiceCounterTable...
CSY 定时监视指定程序窗口标题并自动结束进程的软件 V2.1
最新发布
07-25
程序运行时没有界面，若要修改配置文件中的参数，必须在“任务管理器”里结束进程并重新运行程序。本程序在 Windows 2000/XP 下测试正常，其它系统未经测试。 　程序窗口标题配置文件 SPTitles.dll 写入要监视的...
易语言多种结束进程方法源码-易语言
06-13
结束进程是指强制或正常关闭一个正在运行的程序。在易语言中，可以使用“进程”系列命令来实现。比如，"n种方法结束进程.e"可能包含了多种不同的结束进程的代码实现，如“进程.结束进程”命令，它通过指定进程ID或...
nsis进程运行检测和结束进程插件
10-10
"nsis进程运行检测和结束进程插件"就是一个很好的例子，它让开发者能够更灵活地控制安装流程，提高用户体验，确保安装过程的稳定性。通过阅读和理解`example.nsi`，开发者可以轻松地将这一功能应用于自己的项目，...
prt.rar_任务管理器_保护进程_进程_进程不被结束_驱动结束进程
09-24
标题"prt.rar_任务管理器_保护进程_进程_进程不被结束_驱动结束进程"暗示了一个针对Win7 x64系统的技术方案，旨在通过驱动程序来保护特定进程，确保它们无法被任务管理器或者其他方式轻易结束。 首先，我们要理解...
vbs.rar_Process_vb 进程_vbs_禁止_结束进程
09-20
这个名为“vbs.rar_Process_vb 进程_vbs_禁止_结束进程”的压缩包文件提供了一个VBScript（Visual Basic Script）解决方案，用于结束指定的进程，并阻止它们再次启动。这个功能在某些场景下非常有用，比如保护个人...
目前最好用的OD，破洞过各种系统检测专用OD
04-23
目前最好用的OD，破洞过各种系统检测专用OD
Ring3下结束进程的方法汇总
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
07-27 1081
所有的 OpenProcess/ZwOpenProcess/OpenThread/ZwOpenThread 都可以替换为 ZwQuerySystemInformation->ZwOpenProcess->ZwDuplicateObject 。具体是为什么请自己研究。 (Zw)OpenProcess(PID+0/1/2/3)->(Zw)TerminateProcess (Zw)OpenProce
写下来回头看,在游戏中隐藏线程思路r3
w2662269的博客
01-18 3239
方法一 1.在游戏进程线程列表里 选一个游戏的线程 并记录线程入口 2.对该线程入口下HOOK跳转到自己的函数 3.然后立刻创建线程 线程创建完后 再把HOOK恢复即可 这个只能达到披羊皮效果 方法二 HOOK游戏窗口消息处理 （那个窗口消息处理的循环体）直接JMP到我的函数 这样就能达到无线程效果 或者找其他微软的线程（前提是这个线程无通信无心跳）找个地方写JMP进去 方法三
一些内核操作函数
sqzxwq的博客
09-03 2717
#ifdef __cplusplus extern "C" { #endif #define DELAY_ONE_MICRO (-10) #define DELAY_ONE_MILLI (DELAY_ONE_MICRO*1000) #include #include NTSTATUS DriverEntry(IN PDRIVER_OBJECT objDriver,IN PUNICODE_
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值