【2012.07.24更新】内核保护进程 + 结束进程

显示全部楼层 · 发表于 2012-6-25 14:49:12

mj大大说可以用Rtlgetversion来获取版本号 build id

然后又看了下win7的函数结构就把这个抛出来了

显示全部楼层 · 发表于 2012-6-26 17:53:50

myzuzong 发表于 2012-6-20 19:02
好像是这样的：
pid经过OpenProcess->NtOpenProcess->PsLookupProcessByProcessId->ExMapHandleToPointe ...

/* Clear the tag bits and check what the next handle is */
Handle.TagBits = 0;
NextHandle = *(volatile ULONG*)&HandleTable->NextHandleNeedingPool;
if (Handle.Value >= NextHandle) return NULL;

直接清低二位

显示全部楼层 · 发表于 2012-6-26 19:19:36

膜拜高手！

显示全部楼层 · 发表于 2012-6-26 19:45:01

皓皓加油吧~

显示全部楼层 · 发表于 2012-6-26 20:28:44

强悍啊
支持下

显示全部楼层 · 发表于 2012-6-26 20:29:11

支持下····

显示全部楼层 · 发表于 2012-6-26 21:07:01

星空下的吻发表于 2012-6-26 17:53
/* Clear the tag bits and check what the next handle is */
Handle.TagBits = 0;
NextHandle = *(vo ...

果断麻烦我直接除四

显示全部楼层 · 发表于 2012-6-27 13:58:08

本帖最后由 zhoufeng 于 2012-6-27 14:00 编辑

这次的版本还有上次的版本都不可以使用我是xp xp3 的系统驱动一加载马上蓝屏。。

显示全部楼层 · 发表于 2012-6-27 15:19:10

zhoufeng 发表于 2012-6-27 13:58
这次的版本还有上次的版本都不可以使用我是xp xp3 的系统驱动一加载马上蓝屏。。

把dump传上来看看好么?= =~!

显示全部楼层 · 发表于 2012-6-27 15:38:42

zhq445078388 发表于 2012-6-27 15:19
把dump传上来看看好么?= =~!

ok. dump文件传上来了，驱动不能启动一点就蓝屏。

[原创工具] 【2012.07.24更新】内核 保护进程 + 结束进程

[原创工具] 【2012.07.24更新】内核保护进程 + 结束进程