来源:自学PHP网 时间:2015-04-17 18:33 作者: 阅读:次
[导读] 1.使用 FindWindow 的方法,然后想窗口发送 WM_CLOSE 的消息 2.找到进程的线程, PostThreadMessage 发送 WM_QUIT 消息结束主线程 3.OpenThread ---&g...
1.使用 FindWindow 的方法,然后想窗口发送 WM_CLOSE 的消息 2.找到进程的线程, PostThreadMessage 发送 WM_QUIT 消息结束主线程 3.OpenThread ---> TerminateThread 4.RemoteExitProcess,以 PROCESS_CREATE_THREADVM_OPERATION方式打开进程,然后创建个远程线程,线程开始地址是 ExitProcess 参数0 ,程序自行了断. 5.首先确保进程能被打开(8和9介绍),然后创建一个线程去 DebugActiveProcess 他,然后什么也不做退出线程,程序无人接管,于是挂掉~ 6.以 VM_OPERATION方式打开进程, 然后调用 NtUnmapViewOfSection 卸载掉他的ntdll.dll 这个时候程序还未崩溃,然后再随意发送个消息给它,它的程序一经调用直接就会异常,但是ntdll已经挂掉,无法用户空间异常处理,自行了断~(我认为这个方法应和往进程空间写垃圾数据属于同一方法) 7.发送键盘 ESC 单击的消息(这个和发送窗口消息不能算同一个的). 8.下面是重点要介绍的:----------------------------- 先看最后一个参数: 也就是说当我们选择DUPLICATE_CLOSE_SOURCE时,远程的句柄就会自动关闭了 第一个参数,我们可以直接OpenProcess(PROCESS_DUP_HANDLE ,XXX)获得, typedef struct _SYSTEM_HANDLE_INFORMATION { // Information Class 16 这样CrackMeApp进程中通过CreateFile打开的句柄就全找到了,一般有三个,我们可以把它全部都关闭,也可以只关闭最后一个(因为最后就是打开驱动的句柄,打开驱动是最后一次调用CreateFile).
于是一调用这个 DuplicateHandle ,我们不仅关闭了远程的句柄,而且还获得了驱动的句柄,为所欲为了~~ 于是我的第8个方法就是发送IO请求到CrackMeApp的驱动里,请求它修改被保护的进程PID为0,这样我们就可以用常规方法结束它了(Open+Terminate) 9.上面方法的远程句柄关闭了,我们就自然可以去卸载驱动了~于是这个就是去 ZwUnloadDriver或者停止了它的Service.这样再用常规方法结束~~ 10.所有的win32子系统的进程都会有一个句柄在csrss.exe进程里面,CrackMeApp.exe自然也在,于是我们就可以把 csrss.exe 里面的句柄给 dup 过来自己使用,DUP过来的方法大致和上面相同,不过判断的进程该为csrss,类型要该为5(进程句柄的类型),然后呢对每个进程句柄做一个ZwQueryInformationProcess() 参数为 BASIC_INFORMATION=0 的查询,看看这个句柄是不是CrackMeApp的 ,如果是就直接拿来用,TerminateProcess之~ ---------------以下是用借助驱动来结束的----------- 11.用驱动patch了它的保护的PID值,然后用户空间里常规方法~ 12.用驱动恢复SSDT中ZwOpenProcess,这里我偷懒直接硬编码,调用那个驱动自身的恢复SSDT的函数,嘿嘿~~之后用户空间里常规方法(这个和11不算一种的) 13.直接在驱动里调用 NtOpenProcess绕过它的SSDT HOOK就可以了,不过应该注意的是需要先把 KTHREAD 结构体里的 PreviousMode 值改为KernelMode,否则有可能会失败的~ 14.和13的方法不同的是打开句柄的方法,使用了 PsLookupProcessByProcessId+ObOpenObjectByPointer的方法,然后还是调用 ZwTerminateProcess~(这个也要算不同的,,因为规则上曾经说过ObXXX和NtXX算不同的API的) 15.最后一种了,首先获取CrackMeApp线程的TID,然后根据 PsLookupThreadByThreadId 获取 EThread 指针,然后向这个线程插入APC调用,在APC过程函数中,主要是执行的 ZwTerminateProcess( 0xffffffff, 0 );这个东西就是结束自己的意思(嘿嘿,,这个方法是我从IceSword里面抠出来的)~~本来想去调用Nt/ZwTerminateThread,结果那个函数没导出还得自己找,于是索性就简单点ZwTerminateProcess了. 16 内存清零大法 html">http://hi.baidu.com/%C3%F7%ED%F8%B5%C4%D0%C4/blog/item/255cd583fe406698f603a6f2.html 17 作业方式终止 ZwOpenProcess->ZwCreateJobObject->ZwAssignProcessToJobObject->ZwTerminateJobObject 二 枚举进程 转自V大http://hi.baidu.com/killvxk这是V大的空间,请自己查找 killvxk的驱动查进程: 动态部分:
转自http://hi.baidu.com/sudami/blog/item/96f1f245db0e2c25cffca385.html 1 HOOK SSDT---> ZwQuerySystemInformation &nb |
自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习
京ICP备14009008号-1@版权所有www.zixuephp.com
网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com