浅谈驱动中强制结束进程的3种方法

 

 

 

 

一个应用程序想要结束另一个进程所要做的事：首先获得目标的进程ID,接着利用OpenProcess获取进程句柄（确保足够权限）,最后将句柄传给TerminateProcess了结那个进程.

OpenProcess通过本机系统服务接口进入核心态,随后调用ntoskrnl的NtOpenProcess.在服务函数里,系统使用SeSinglePrivilegeCheck检查调用者是否有DEBUG权限（SeDebugPrivilege）,若有,则修改AccessState使得在后面的操作中获取允许任意进程访问操作的句柄.最后通过ObOpenObjectByName或 PsLookupProcessByProcessId +ObOpenObjectByPointer来打开进程（创建并返回进程句柄）.TerminateProcess通过本机系统服务接口进入核心态,随后调用ntoskrnl的NtTerminateProcess.系统首先调用ObReferenceObjectByHandle获取进程执行体块,执行体块的DebugPort指出进程是否处于调试状态,若处于调试状态且传入的ExitStatus为DBG_TERMINATE_PROCESS则返回失败禁止结束进程.随后服务函数转入正题：

系统利用ThreadListHead枚举进程的每一个线程,使用PspTerminateThreadByPointer来结束它们.注意并不是对每个线程系统都会忠实地执行你的命令：若枚举到的线程是系统线程则不会继续执行而是返回STATUS_INVALID_PARAMETER.

线程是怎样结束的呢.PspTerminateThreadByPointer并不是直接“杀掉”指定线程,实质上线程是“自杀”的.系统简单的使用KeInitializeApc/KeInsertQueueApc插入了一个核心态的APC调用,若是用户线程,会再插入用户态的APC调用,最终线程在自己的执行环境中使用PspExitThread自行了断.

我理解的过程是这样的
TerminateProcess -> NtTerminateProcess-> PsTerminteProcess -> PspTerminateProcess ->PspTerminateThreadByPointer ->KeInitializeApc/KeInsertQueueApc(插入了一个核心态的APC调用，若是用户线程，会再插入用户态的APC调用，最终线程在自己的执行环境中) -> PspExitThread

那么有了这样清晰的思路,写出了3种在强制结束进程的方法.


1.暴力搜索PspTerminateProcess/PspTerminateThreadByPointer ,来强制结束Eprocess/Ethread.

 

 

首先,为什么要暴力搜索?因为这些函数都是未公开的函数.通过WinDbg来找到这些函数的名字.

 

 

 

kd> x nt!*Ps*terminate*
805c9eb6 nt!PsTerminateSystemThread =<no type information>
805c9ee4 nt!PsTerminateProcess = <notype information>
805c9b02 nt!PspTerminateThreadByPoint