基于WIN杀死进程设计技术研究.docVIP

基于WIN杀死进程设计技术研究 　　摘要：通过Windows提供的API函数来枚举和杀死系统所存在的进程，对于无法在用户态杀死的进程进行研究和设计，实现了通过内核驱动程序来实现杀死的功能。 　　关键词：windows 杀死 进程 　　中图分类号：TP316 文献标识码：A 文章编号：1007-9416(2012)01-0077-01 　　 　　1、引言 　　在Windows下枚举进程是十分简单的事情，可以直接调用Windows提供的API函数，但是要注意的是所用的API函数对于不同的Win32操作系统有依赖性。在Windows 9x、Windows Me、Windows 2000 Professional 以及Windows XP中，我们可以用ToolHelp32库中的APIs函数。但是在Windows NT里，我们必须用PSAPI库中的APIs函数。 　　2、枚举进程 　　使用ToolHelp32函数的第一步是用 CreateToolhelp32Snapshot()函数创建系统信息“快照”。这个函数可以让你选择存储在快照中的信息类型。如果你只是对进程信息感兴趣，那么只要包含TH32CS_SNAPPROCESS标志即可。CreateToolhelp32Snapshot()函数返回一个HANDLE，完成调用之后，必须将此HANDLE传给CloseHandle()[1]。接下来是调用一次 Process32First函数，从快照中获取进程列表，然后重复调用 Process32Next，直到函数返回FALSE为止。这样将遍历快照中进程列表。这两个函数都带两个参数，它们分别是快照句柄和一个PROCESSENTRY32结构。 　　3、杀死进程 　　进程由两部分构成：一个是进程的内核对象，另一个是地址空间。一个进程的完全终止就是使该进程的内核对象的使用计数变为零，释放其占用的地址空间。我们采用系统中提供的在另一个进程中的线程调用TerminateProcess()的方法，即通过调用TerminateProcess()来结束其他进程，具体实现方式为如下：首先，通过函数OpenProcess()获取进程的句柄，然后通过函数GetExitCodeProcess（）获取退出码，然后通过TerminateProcess(）强制杀死进程。杀死一般的进程可以，但是要是杀死内核态的进程就不可以了。这个需要提升本进程的权限，SE_DEBUG_NAME，这些需要通过OpenProcessToken（），LookupPrivilegeValue（），AdjustTokenPrivileges（）等函数来完成[2]。本次设中采取了OpenProcessToken（）来提升进程的权限。 　　以上实现进程的枚举和终止，但有些进程依然无法杀死，比如说卡巴斯基以及360安全卫士。???下来具体分析为什么卡巴不能够被杀死。 　　4、杀死卡巴斯基 　　卡巴斯基为了实现其主动防御的功能，hook了很多内核函数，其中有两个很关键：NtOpenProcess(),NtTerminateProcess（），在应用程序中要杀死某个进程的话，首先系统会给卡巴发消息，此时卡巴判断是不是要杀死它自己，若是，则禁止，若不是，则返回，继续执行杀死进程的过程。所以要杀死卡巴，必须恢复那些被卡巴hook的函数，但也不是所有被hook的函数都要回复，只需恢复NtOpenProcess(),NtTerminateProcess()[3]即可。在编写的驱动程序中我们只需把以上两个函数的服务地址回到其相应的原始服务函数地址即可： 　　*((ULONG*)OpenProcessAddr) = 0x805cc408; 　　*((ULONG*)TerminateProcessAddr) = 0x805d39aa; 　　这两个常数是在冰刃软件上查取的。在这样处理后，卡巴就不能hook这两个函数了，也就是能够杀死卡巴了。 　　5、驱动的装载设计 　　关于驱动的装载是通过写一个service，通过LoadDriver()来装载程序，这段代码也放在用户态程序中。 　　LoadDriver() 　　{HANDLE hDriver = INVALID_HANDLE_VALUE; 　　SC_HANDLE hSCManager = OpenSCManager( NULL, NULL,SC_MANAGER_CREATE_SERVICE ); 　　if ( NULL != hSCManager ) 　　{SC_HANDLE hService = CreateService( hSCManager, _T(SSDT),_T(SSDT), 　　…… 　　if ( ERROR_SERV