Win64 驱动内核编程-26.强制结束进程

最新推荐文章于 2022-10-29 10:17:25 发布

TK13

最新推荐文章于 2022-10-29 10:17:25 发布

阅读量5k

点赞数 2

分类专栏：驱动内核编程文章标签：驱动强制关闭进程强制结束进程

本文链接：https://blog.csdn.net/u013761036/article/details/67768262

版权

本文介绍了在Win64驱动层面强制结束进程的三种方法：1) 使用ZwTerminateProcess函数；2) 通过PsTerminateSystemThread找到PspTerminateThreadByPointer；3) 直接修改目标进程内存。这些方法在处理进程保护时具有一定的实用性。

摘要由CSDN通过智能技术生成

强制结束进程

依然已经走到驱动这一层了，那么通常结束掉一个进程不是什么难的事情。同时因为win64 位的各种保护，导致大家慢慢的已经不敢HOOK了，当然这指的是产品。作为学习和破解的话当然可以尝试各种hook。目前来说很多杀软进程保护都是通过回调了保护的，简单，稳定，安全。So，强制结束进程会比当年简单很多。

首先就是上一个最基本的驱动里结束进程的方法：

1.直接调用ZwTerminateProcess去结束进程，这个是公开导出的函数，也就是说它很稳定。不要小看这个东西，我测试过很多杀软。目前停不掉的只有国外的某伞，可能有人会关心国内的各种卫士能不能停掉！我觉得可以尝试一下，通常不会失望。OK不废话，上代码：

TerminateProcess ->NtTerminateProcess ->ZwTerminateProcess

void ZwKillProcess(HANDLE hdPid)
{
__try {
    HANDLE hProcess =

关注

专栏目录