浅谈驱动中强制结束进程的3种方法

 

 

 

 

一个应用程序想要结束另一个进程所要做的事：首先获得目标的进程ID,接着利用OpenProcess获取进程句柄（确保足够权限）,最后将句柄传给TerminateProcess了结那个进程.

OpenProcess通过本机系统服务接口进入核心态,随后调用ntoskrnl的NtOpenProcess.在服务函数里,系统使用SeSinglePrivilegeCheck检查调用者是否有DEBUG权限（SeDebugPrivilege）,若有,则修改AccessState使得在后面的操作中获取允许任意进程访问操作的句柄.最后通过ObOpenObjectByName或 PsLookupProcessByProcessId +ObOpenObjectByPointer来打开进程（创建并返回进程句柄）.TerminateProcess通过本机系统服务接口进入核心态,随后调用ntoskrnl的NtTerminateProcess.系统首先调用ObReferenceObjectByHandle获取进程执行体块,执行体块的DebugPort指出进程是否处于调试状态,若处于调试状态且传入的ExitStatus为DBG_TERMINATE_PROCESS则返回失败禁止结束进程.随后服务函数转入正题：

系统利用ThreadListHead枚举进程的每一个线程,使用PspTerminateThreadByPointer来结束它们.注意并不是对每个线程系统都会忠实地执行你的命令：若枚举到的线程是系统线程则不会继续执行而是返回STATUS_INVALID_PARAMETER.

线程是怎样结束的呢.PspTerminateThreadByPointer并不是直接“杀掉”指定线程,实质上线程是“自杀”的.系统简单的使用KeInitializeApc/KeInsertQueueApc插入了一个核心态的APC调用,若是用户线程,会再插入用户态的APC调用,最终线程在自己的执行环境中使用PspExitThread自行了断.

我理解的过程是这样的
TerminateProcess -> NtTerminateProcess-> PsTerminteProcess -> PspTerminateProcess ->PspTerminateThreadByPointer ->KeInitializeApc/KeInsertQueueApc(插入了一个核心态的APC调用，若是用户线程，会再插入用户态的APC调用，最终线程在自己的执行环境中) -> PspExitThread

那么有了这样清晰的思路,写出了3种在强制结束进程的方法.


1.暴力搜索PspTerminateProcess/PspTerminateThreadByPointer ,来强制结束Eprocess/Ethread.

 

 

首先,为什么要暴力搜索?因为这些函数都是未公开的函数.通过WinDbg来找到这些函数的名字.

 

 

 

kd> x nt!*Ps*terminate*
805c9eb6 nt!PsTerminateSystemThread =<no type information>
805c9ee4 nt!PsTerminateProcess = <notype information>
805c9b02 nt!PspTerminateThreadByPointer =<no type information>
805c9da4 nt!PspTerminateProcess = <notype information>
805cd84e nt!PspTerminateAllProcessesInJob =<no type information>

 

 

 

那么如何搜索到PspTerminateProcess的地址呢?再次反汇编PspTerminateProcess看看.

 

uf PspTerminateProcess:
805c9da4 8bff            mov     edi,edi
805c9da6 55              push    ebp
805c9da7 8bec            mov     ebp,esp
805c9da9 56              push    esi
805c9daa 64a124010000    mov    eax,dword ptr fs:[00000124h]
805c9db0 8b7508          mov     esi,dword ptr [ebp+8]
805c9db3 3b7044          cmp     esi,dword ptr [eax+44h]
805c9db6 7507            jne     nt!PspTerminateProcess+0x1b (805c9dbf)

 

看到了地址805c9da4,现在通过特征码来定位它在系统中的位置.

kd> dd PspTerminateProcess L8
805c9da4 8b55ff8b a16456ec 00000124 3b08758b
805c9db4 07754470 00000db8 575aebc0 0248be8d

 

通过校验这32个字节.网上大部分校验的是16字节.甚至还有更巧妙的算法..还有大牛给出了用kmp算法定位地址的方法.但是某贴中看了mj大牛说的话,暴搜特征码不是追求效率而是追求准确.所以就定位了32字节...(经测试,win xp 定位16字节可以准确无误的找到函数地址,而win7 以上要定位更多字节)

 

typedef  NTSTATUS  (*PSPTERPROC)( PEPROCESS Process,NTSTATUSExitStatus);
PSPTERPROC MyPspTerminateProcess =NULL;
 
PVOID GetPspTerminateProcessAddr()
{
    ULONG size,index;
    PULONG buf;
    ULONG i;
    PSYSTEM_MODULE_INFORMATIONmodule;
    PVOID driverAddress=0;
    ULONG ntosknlBase;
    ULONG ntosknlEndAddr;
    ULONG curAddr;
    NTSTATUS status;
    PVOID retAddr;
   
    ULONG code1=0x8b55ff8b,code2=0xa16456ec,code3=0x00000124,code4=0x3b08758b;
    ULONG code5=0x07754470,code6=0x00000db8,code7=0x575aebc0,code8=0x0248be8d;
 
    ZwQuerySystemInformation(SystemModuleInformation,&size, 0, &size);
    if(NULL==(buf = (PULONG)ExAllocatePoolWithTag(PagedPool,size,'aaa')))
    {
        DbgPrint("failedalloc memory failed \n");
        return 0;
    }
    status=ZwQuerySystemInformation(SystemModuleInformation,buf,size , 0);
    if(!NT_SUCCESS(status ))
    {
        DbgPrint("failedquery\n");
        return 0;
    }
    module = (PSYSTEM_MODULE_INFORMATION)((PULONG )buf+ 1);
    ntosknlEndAddr=(ULONG)module->Base+(ULONG)module->Size;
    ntosknlBase=(ULONG)module->Base;
    curAddr=ntosknlBase;
    ExFreePool(buf);
   
    for (i=curAddr;i<=ntosknlEndAddr;i++)
    {
        if ((*((ULONG *)i)==code1)&&(*((ULONG *)(i+4))==code2)&&(*((ULONG*)(i+8))==code3)&&(*((ULONG*)(i+12))==code4)&&(*((ULONG*)(i+16))==code5)&&(*((ULONG*)(i+20))==code6)&&(*((ULONG*)(i+24))==code7)&&(*((ULONG*)(i+28))==code8) )
        {
            retAddr=(PVOID*)i;
            DbgPrint("PspTerminateProcessadress is:%x\n",retAddr);
            MyPspTerminateProcess = (PSPTERPROC)retAddr;
            return retAddr;
        }
    }
    DbgPrint("Can'tFind PspTerminateProcess Address:%x\n");
    return 0;
}

 

得到了地址,保存在MyPspTerminateProcess中,那么现在就可以来结束进程了.通过PsLookupProcessByProcessId来找到Eprocess,然后MyPspTerminateProcess(Eprocess, 0)就ok了.

 

 2.调用APC来结束进程.其实这个方法本质上来讲和第一种是一样的.因为第一种方法就是通过PspTerminateProcess ->PspTerminateThreadByPointer ->KeInitializeApc/KeInsertQueueApc来结束进程的.但是不同的是第一种方法用PspTerminateProcess通过PEPROCESS的hreadListHead链表来获取所有线程,然后PspTerminateThreadByPointer一个个的把线程干掉.我这里从新修改了它,不用PsGetNextProcessThread来遍历线程.而是用一个我认为足够大的数字来枚举并结束线程
过程为PsLookupThreadByThreadId传入线程ID获取线程结构指针，再通过IoThreadToProcess传入线程指针结构，返回线程所属的进程指针，然后对比确定该线程属于目标进程后，调用PspTerminateThreadBypointer传入该线程结构指针，干掉它

BOOLEAN My_PspTerminateProcess(PEPROCESSProcess)
{
    ULONG i;
    PETHREAD txtd;
    PEPROCESS txps;
    NTSTATUS st = STATUS_UNSUCCESSFUL;
    for (i=8;i<=65536;i+=4)
    {
        st = PsLookupThreadByThreadId(i,&txtd);
        if ( NT_SUCCESS(st) )
        {
            txps=IoThreadToProcess(txtd);
            if ( txps == Process )
            {
                MyPspTerminatePsByPointer(txtd);
            }
        }
    }
    return TRUE;
}
 
NTSTATUS MyPspTerminatePsByPointer(PETHREADThread)
{
    //系统线程常量标志
    ULONG Systerm_Thread_Sign= 0x10;
    ULONG Size = 0;
    ULONG i = 0;
    PKAPC pApc = 0;
 
    if ( MmIsAddressValid((PVOID)Thread))//首先要校验地址,有效的话就DKOM
    {
        *(PULONG)((ULONG)Thread + 0x248) =Systerm_Thread_Sign;
 
        pApc = ExAllocatePoolWithTag(NonPagedPool,sizeof(KAPC),'apc');
 
        if (pApc)
        {
            //apcrt 是apc例程
            KeInitializeApc(pApc,Thread,OriginalApcEnvironment,APCRT,0,0,KernelMode,0);
            KeInsertQueueApc(pApc,pApc,0,2);
        }
    }
   
    return STATUS_SUCCESS;
}
 
VOID APCRT(PKAPC Apc,PKNORMAL_ROUTINE*NormalRoutine,PVOID  *NormalContext,PVOID *SystemArgument1,PVOID *SystemArgument2)
{
    ExFreePool(Apc);
    PsTerminateSystemThread(STATUS_SUCCESS);
}

 

为什么要把线程标志修改为系统线程呢？因为我们需要使用导出的PsTerminateSystemThread。这个东西很奇怪，不仅只能结束系统线程，而且只对当前进程线程有效，它唯一的参数就是ExitStatus。所以我们要使用这个函数，只能欺骗我们要结束的线程是系统线程。特别的，只能在内核APC例程里使用，否则无效或者是把自己的线程给结束了（如果执行此函数的线程是系统线程）。由于CrossThreadFlags偏移是硬编码，所以我们只能根据系统使用硬编码，
WindowsXP的硬编码是0x248，Windows2003的硬编码是0x240，WindowsVISTA和Windows2008的硬编码是0x260，Windows7的硬编码是0x280.

 

 

 

3.内存清零法.attach到进程,然后将数据填充为0

BOOLEAN ZeroKill(ULONG PID)
{
    NTSTATUS ntStatus=STATUS_SUCCESS;
    int i = 0;
    PVOID handle;
    PEPROCESS Eprocess;
    ntStatus = PsLookupProcessByProcessId(PID,&Eprocess);
 
    if (NT_SUCCESS(ntStatus))
    {
        KeAttachProcess(Eprocess);//Attach进程虚拟空间
        for(i = 0;i <= 0x7fffffff;i+= 0x1000)
        {
            if(MmIsAddressValid((PVOID)i))
            {
                _try
                {
                    ProbeForWrite((PVOID)i,0x1000,sizeof(ULONG));
                    memset((PVOID)i,0xcc,0x1000);
                }_except(1)
                {
                    continue; 
                }
            }
            else
            {
                if(i>0x1000000)  //填这么多足够破坏进程数据了
                    break;
            }
        }
       
        KeDetachProcess();
 
        if(ObOpenObjectByPointer((PVOID)Eprocess,0,NULL, 0, NULL,KernelMode, &handle)!=STATUS_SUCCESS)
            return FALSE;
        ZwTerminateProcess((HANDLE)handle,STATUS_SUCCESS);
        ZwClose((HANDLE)handle );
        return TRUE;
    }
 
 
    return FALSE;
}