终于完成了Ring3下Call PspTerminateProcess

最新推荐文章于 2023-05-04 14:55:19 发布
最新推荐文章于 2023-05-04 14:55:19 发布
阅读量2.8k 收藏 1
点赞数
文章标签： vb dll 语言 工作 网络 xp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/chenhui530/article/details/1839864
版权
出差到现在都即将两个月了,无聊郁闷中,好在昨天晚上成功在Ring3下Call PspTerminateProcess总算是有一份值得高兴得事情了,目前还只支持XP,关于搜索PspTerminateProcess的特征码定位是参考了网络上的一篇文章.目前工作正在移植到DLL中封装成标准函数供VB等语言调用.现在冰刃也可以轻易被结束了^_^. 
chenhui530
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 6
    评论
IceLight V1.3.44[一线光-无驱,恢复SSDT,可杀IS,SS]
04-04
自保护 <br>主要是在ring3模式下HOOK了NtOpenThread,NtOpenProcess,NtTerminateThread,NtTerminateProcess,还有 子类了 WM_CLOSE,WM_QUIT 消息.可防止被一些菜鸟所写的恶意程序Kill掉.但对于ring0无效.. ...
模拟PspTerminateProcess结束进程-学习笔记
MichaelJScofield的专栏
05-27 5519
此文是阅读黑防上胡文亮大牛《模拟实现NT系统通用PspTerminateProcess》后作为学习笔记记录下来的，仅作学习记录，理解错的请勿拍砖。和通过特征暴力搜索定位PspTerminateProcess的地址的方法相比，亮点就是模拟了实现PspTerminateProcess，PspTerminateThreadByPointer等函数。 此前先看PJF大牛的一篇《进程终止的内幕》
03 特征码搜索PspTerminateProcess函数、隐藏驱动模块
qq_50242229的博客
04-28 324
函数地址。
进程强杀
kernweak的博客
05-28 768
应用层杀进程会调用terminateProcess，往下会调用zwterminateProcess，再往下 PsTerminateProcess->PspTerminateProcess->PspTerminateThreadByPoint->PspExitThread 所以我们想调用PspTerminateProcess（再往下就是线程函数了），但是未导出。所以只能暴力搜索...
进程强杀探究
hongduilanjun的博客
03-07 2052
前言 我们知道在windows操作系统里面有ring0跟ring3的概念(ring1、ring2在windows中并未使用)，因为ring0的特权级别是比ring3高的，那么我们肯定不能在ring3调用windows提供的api杀死ring0特权级别的进程，那么这时候我们就需要使用的ring0的函数来强行结束一些处于ring0级别的进程。 测试 我们首先打开PCHunter32.exe看一下，应用层是不能够访问的，我们知道可以在cmd里面使用taskkill命令来结束进程，但这种方式对ring0特权级别的程
05 常规3环和0环通信、驱动注册、运行、停止、卸载
最新发布
qq_50242229的博客
05-04 140
常规3环和0环通信 0环代码 #include <ntddk.h> //函数声明 typedef NTSTATUS(_stdcall *_PsTerminateProcess)(PEPROCESS pEprocess,NTSTATUS ExitCode); _PsTerminateProcess pspTerminateProcess = NULL; //操作码：0x0-0x7FF 被保留，0x800-0xFFF 可用 #define KillAPPTOOL CTL_CODE(FILE_D
PspTerminateProcess 结束冰刃进程
坦然
08-14 1335
代码： #include typedef NTSTATUS (*PSPTERPROC) ( PEPROCESS Process, NTSTATUS ExitStatus ); PSPTERPROC MyPspTerminateProcess ; NTSTATUS PsLookupProcessByProcessId( IN HAND
5.内核空间与内核模块
Mikasys的博客
10-25 380
0x5内核空间与内核模块 1.内核空间 对于低2G,每个进程是独立的,而高2G是共享的 如果在一个驱动中定义一个变量,然后能够在另一个驱动中进行读取,那就说明高2G确实是所有程序共用的! #include <ntddk.h> //卸载函数 VOID DriverUnload(PDRIVER_OBJECT driver) { DbgPrint("驱动程序停止运行了.\r\n"); } ULONG x = 0x12345678; //入口函数，相当于main NTSTATUS Driver
inline hook未导出函数PspTerminateProcess
04-14 1597
之前inline Hook SSDT中的一些函数学,感觉比较容易,可是想hook一些未导出的函数时,却发现还有点难,开始是蓝了N次屏,最后HOOK成功了,用一些anti-rootkit的工具却查不出来,以为没成功.郁闷了好久,最后用windbg看,原来是成功,于是写下这篇文章,很多东西应该讲的不太好,还请矫正今天就是要inline hook PspTerminateProcess,这是一个没有被导
ring3用户级应用程序与ring0内核级驱动程序之间的调用,通信.zip
01-25
ring3用户级应用程序与ring0内核级驱动程序之间的调用,通信.zip
expriment: 找API的特征码
谢绝留言与私信
05-06 1805
Demo中的例子是找 PspTerminateProcess, 基于WinXp的. 虚拟机是Win7X86家庭普通版, ring0中没有这个API. kd> u PspTerminateProcess Couldn't resolve error at 'PspTerminateProcess' 在 nt! 中模糊查找, 找到另外一个API PsTerminateProcess, 参数
浅谈驱动中强制结束进程的3种方法
少仲
04-12 6721
一个应用程序想要结束另一个进程所要做的事：首先获得目标的进程ID,接着利用OpenProcess获取进程句柄（确保足够权限）,最后将句柄传给TerminateProcess了结那个进程. OpenProcess通过本机系统服务接口进入核心态,随后调用ntoskrnl的NtOpenProcess.在服务函数里,系统使用SeSinglePrivilegeCheck检查调用者是否有DEBUG权
根据特征码找到未导出的内核函数 PspTerminateProcess
pluginL的博客
09-13 966
使用的是一个UINT32数组来存放shellcode没有考虑全局变量的问题 #include <ntifs.h> typedef NTSTATUS(*pFunTerminateProcess)(IN PEPROCESS Process, IN NTSTATUS ExitStatus); typedef struct _LDR_DATA_TABLE_ENTRY { LIST_ENTRY InLoadOrderLinks; LIST_ENTRY InMemoryOrderLinks; LIS
PsTerminateProcess结束进程
weixin_30781433的博客
08-11 282
PsTerminateProcess函数用于结束一个进程，其声明如下 NTSTATUS NTAPI PsTerminateProcess(IN PEPROCESS Process, IN NTSTATUS ExitStatus) 其中第一个参数是PEPROCESS的指针，如果你只知道pid，可以通过PsLookupProcessByProcessId 获得，而第二个参数指定退出状...
蓝屏总结(一) ——基本分析方法
热门推荐
VinWqx的博客
07-20 1万+
目录 一、蓝屏造成原因 二、通常的排查步骤 三、Debug步骤 四、使用Driver Verifier进行排查 五、Debug示例 1、分析示例 1 2、分析示例 2 一、蓝屏造成原因 关于停止错误（蓝屏或者错误检查）没有简单的解释，包含很多因素，目前大量研究表明停止错误通常不是由微软Windows组件导致的，而是厂商的硬件驱动或者三方软件的驱动，包括声卡、无线网卡、安全程序等等。 crash的根因一般都是由三方驱动代码引起的，另外一小部分是硬件问...
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值