Windows驱动编程：强制终止进程技术.pdfVIP

对于使用ObRegisterCallbacks进行自我保护的进程，终止它们的方法只有两种：温和方

式与暴力方式。温和方式是移除对象回调，而暴力方式则是定位更底层的进程终止函数并调用。

针对保护句柄类进程保护，较优方案是循环调用PspTerminateThreadByPointer来结

束进程的每个线程。下文以360的ZhuDongFangYu.exe为例，因为360在Win64系统上正是

通过ObRegisterCallbacks实现自我保护。整体思路很清晰：通过NTOSKRNL.EXE导出的

PsTerminateSystemThread动态定位未导出的PspTerminateThreadByPointer，再使用该

函数逐个终止ZhuDongFangYu.exe的所有线程。

首先对

PsTerminateSystemThread

进行反汇编：

lkduf

PsTerminateSystemThread

nt!PsTerminateSystemThread:

fffff800`03f65860

4883ec28subrsp,28h

fffff800`03f65864

8bd1movedx,ecx

fffff800`03f65866

65488b0c