通过获取启动进程的命令行、输入缓冲区、以及注入挂钩 API,可以在一定程度上做到反关闭(当然这应该还不够)。
这里我谈一谈针对 taskkill 命令的拦截策略。
规则:
- taskkill { "/F" | "/T" | "/IM" } <目标进程名称.exe>
- taskkill /PID 且包含 <目标进程 PID>
- taskkill /FI "IMAGENAME eq <目标进程名>"
- taskkill /FI "IMAGENAME ne <进程名 != 目标进程名>"
- taskkill /FI "USERNAME eq <当前用户>"
- taskkill /f /fi "pid ge <要排除的进程 PID != 目标进程PID>"