Ring3下另一种结束卡巴斯基进程的新技术

卡巴斯基<1>启动的时候，两个进程内部都会创建一个事件用于同步退出，当显示关闭这个事件时，AVP进程会退出。这个事件内核对象名字是一个  GUID，一开始我以为是动态生成的，但据我逆向及在其他机器观察，这个事件是硬编  码，”6953EA60-8D5F-4529-8710-42F8ED3E8CDA”(为了方便，在本文，我把这个事件写成A事件，我猜想卡巴斯基开发  人员肯定读过windows核心编程，Jeffrey Richter 建议用GUID来命名事件^_^)。打开procexp.exe查找两个  avp.exe<2>进程内核对象，关闭A事件，这时AVP进程就会退出，各位看官可以在自己机器上测试^_^，AVP进程守护功能<3>在此不起作  用。Procexp.exe是如何做到关闭其他进程内核对象的呢？逆向之后发现procexp.exe是在ring0下完成的，偶不用ring0，直接  ring3。      卡巴斯基有Hook NtOpenProcess，不过当我们以PROCESS_QUERY_INFORMATION打开AVP时，仍然可以成  功<4>，同样卡巴斯基也有Hook NtDuplicateObject，一开始我以为如果调用DuplicateHandle来改变desire  access会失效，据牛人张翼的话：很多HIPS挂了NtDuplicateObject也是白挂。于是我尝试用Duplicate(….  PROCESS_DUP_HANDLE….)改变进程的desire access，卡巴斯基有两个进程，其中一个以SYSTEM账号运行的AVP进程  不能打开，只能打开另一个以当前用户运行的进程，足够了。当我们终止以当前用户运行的AVP进程时，卡巴就失效了。      成功打开了句柄后，采用NtQ