【2012.07.24更新】内核保护进程 + 结束进程

显示全部楼层 · 发表于 2012-6-18 16:25:45

本帖最后由 zhq445078388 于 2012-7-24 14:49 编辑

2012.07.24更新内容:修改为自旋锁方式访问保护进程列表而不是自设互斥变量增强稳定性

2012.07.03更新内容:增加对Ntopenprocess内部的ObOpenObjectByPointer的call的hook
TM截图未命名.png

进程保护实现方式:

NTOpenProcess                ---打开进程
NTSetSystemInformation    --特殊方式加载驱动程序
NTTerminateprocess          --结束进程
NTNtCreateThread             --创建线程
ObOpenObjectByPointer    --NTOpenProcess深层函数调用

更新日志:
修补 NTopenprocess 绕过漏洞(感谢mj大大以及大肉鸡

)

修补 NTopenprocess的拒绝服务漏洞(再次感谢mj大大)

增加win7支持(再次感谢mj大大特意去找mj大大请教的win7下NTopenprocess)

增加win8支持(感谢孙诚哥哥他教我的地址计算)

增加NTOpenProcess对ObOpenObjectByPointer调用时的hook(感谢邢超哥哥)

修补 hook时不检查造成bsod的漏洞(感谢大肉鸡大大的"天书夜读")

遗留bug:
2,TerminateThread对主线程的保护

驱动程序现在具有三个功能

1,保护进程
2,结束进程
3,静默拒绝SetSystemInformation方式加载驱动程序

(正常软件加载驱动程序是通过loaddriver)

界面程序可以加载随意驱动程序但是通讯接口目前只支持我发的配套的驱动程序

里面的i386文件夹放的是符号文件

小弟能力比较弱..所以..
只支持xp sp3 以及win7 sp1 和 win8 build 8400 的32位

zhq_win_xp_7_8_x86.zip (388.66 KB, 下载次数: 4190)

显示全部楼层 · 发表于 2012-6-18 16:30:26

目测LZ发错区了～

显示全部楼层 · 发表于 2012-6-18 16:31:07

prawnliu 发表于 2012-6-18 16:30
目测LZ发错区了～

应该发哪区

显示全部楼层 · 发表于 2012-6-18 16:31:25

支持一个！
话说你那个引擎不更新了？

显示全部楼层 · 发表于 2012-6-18 16:32:08

zhq445078388 发表于 2012-6-18 16:31
应该发哪区

你这个不算杀软～～
应该扔到辅助工具讨论区～

显示全部楼层 · 发表于 2012-6-18 16:32:34

sht0602 发表于 2012-6-18 16:31
支持一个！
话说你那个引擎不更新了？

能杀的已经杀的干净了..不能杀的怎么更也不能杀..所以不研究了

dh在研究那个呢..估计能出成果的

显示全部楼层 · 发表于 2012-6-18 16:35:33

prawnliu 发表于 2012-6-18 16:32
你这个不算杀软～～
应该扔到辅助工具讨论区～

好吧..希望bz看到了给转移下

显示全部楼层 · 发表于 2012-6-18 16:36:14

1.OpenProcess拦截可以被轻易绕过，比如PID+1大法
获得句柄后用UnmapSection，WriteVM等方法都可以结束了

其实线程没保护，都不用绕过，直接TerminateThread就结束了，更别说TerminateJobObject方式了

2. OpenProcess参数判断没Probe，有拒绝服务漏洞。

显示全部楼层 · 发表于 2012-6-18 16:47:53

一个两行代码杀楼主驱动保护的进程的小程序，用PID+1大法和远线程退出

testkillpid.rar (15.96 KB, 下载次数: 183)

显示全部楼层 · 发表于 2012-6-18 16:47:56

本帖最后由 zhq445078388 于 2012-6-19 09:18 编辑

BootLoader 发表于 2012-6-18 16:36
1.OpenProcess拦截可以被轻易绕过，比如PID+1大法
获得句柄后用UnmapSection，WriteVM等方法都可以结束了
...

恩恩

谢谢啦果然还是发出来挖不足比较快
感谢啦!

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程

评分

评分

[原创工具] 【2012.07.24更新】内核 保护进程 + 结束进程

评分

评分

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程