【2012.07.24更新】内核保护进程 + 结束进程

显示全部楼层 · 发表于 2012-6-20 19:02:31

zhq445078388 发表于 2012-6-20 18:00
终于搞明白了原来pid在二进制的最后两位是保留的..
所以只要除四就行了.因为拿到的肯定都是4的倍 ...

好像是这样的：
pid经过OpenProcess->NtOpenProcess->PsLookupProcessByProcessId->ExMapHandleToPointer被赋给EXHANDLE结构体中的GenericHandleOverlay变量，结构体低2位TagBits为标志位，对其作为句柄表索引本身无意义。接下来调用ExpLookupHandleTableEntry，传入EXHANDLE形式的pid，最终返回一个HANDLE_TABLE_ENTRY的地址。
只是我不懂ExpLookupHandleTableEntry内是怎么处理，来忽略EXHANDLE低2位的。
不处理的话，那么pid +1, +2, +3都是可以的了~?

显示全部楼层 · 发表于 2012-6-20 19:15:49

myzuzong 发表于 2012-6-20 19:02
好像是这样的：
pid经过OpenProcess->NtOpenProcess->PsLookupProcessByProcessId->ExMapHandleToPointe ...

= =~! 又勾引出个牛人

额我去跟了下..一会就迷失在汇编的海洋中了..
所以只好找资料了..

显示全部楼层 · 发表于 2012-6-20 19:19:15

zhq445078388 发表于 2012-6-20 19:15
= =~! 又勾引出个牛人

额我去跟了下..一会就迷失在汇编的海洋中了..

岂敢岂敢，我乃菜b，只知一二，大神勿喷。

显示全部楼层 · 发表于 2012-6-20 19:52:26

myzuzong 发表于 2012-6-20 19:19
岂敢岂敢，我乃菜b，只知一二，大神勿喷。

...偶只是小菜鸟一只.还在ssdt上游荡

显示全部楼层 · 发表于 2012-6-20 19:58:25

参观一下。

显示全部楼层 · 发表于 2012-6-20 20:09:36

今天更新啦那要支持一下的说

显示全部楼层 · 发表于 2012-6-20 20:10:39

法外制裁者发表于 2012-6-20 20:09
今天更新啦那要支持一下的说

法外板板~

显示全部楼层 · 发表于 2012-6-21 02:13:10

BootLoader 发表于 2012-6-18 17:04
先用 ExGetPreviousMode判断是否是用户模式调用，在try...except内访问用户内存，并且在访问前用ProbeF ...

感谢大大已经修补
哇咔咔原来还有这个神奇的东西可以用哇~

显示全部楼层 · 发表于 2012-6-24 18:09:31

支持一下

显示全部楼层 · 发表于 2012-6-24 23:28:44

不敢打扰各位高手

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程

评分

评分

评分

[原创工具] 【2012.07.24更新】内核 保护进程 + 结束进程

评分

评分

评分

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程