不HOOK任何函数，让任务管理器、XueTr、360进程管理器无法结束保护进程

显示全部楼层 · 发表于 2011-5-30 13:09:31

太高深，一时半会看不懂。支持

显示全部楼层 · 发表于 2011-5-30 13:14:33

加载驱动了。。。虽然我不懂。。不过我想功能的实现未必非要通过hook函数吧~

显示全部楼层 · 发表于 2011-5-30 15:36:10

kingcom 发表于 2011-5-30 13:01
//68 61 68 61 2e 65 78 65 haha.exe
请问楼主这是什么？怎么才能看到红色标记的数值？

0: kd> dt _eprocess imagefilename 862a6790
nt!_EPROCESS
+0x174 ImageFileName : [16]  "haha.exe"
0: kd> db 862a6790+0x174
862a6904  68 61 68 61 2e 65 78 65-00 00 00 00 00 00 00 00  haha.exe........

你得用windbg调试内核才能看得到

显示全部楼层 · 发表于 2011-5-30 15:55:31

KiDebug 发表于 2011-5-29 22:21
ProtectHaha.sys会被360杀毒报为Malware.QVM00.Gen，如有担心，请在虚拟机中测试
请先关闭360安全卫士， ...

压缩包里面木有InstDrv.exe.....

显示全部楼层 · 发表于 2011-5-30 16:21:07

太高深，完全不懂

显示全部楼层 · 发表于 2011-5-30 18:26:23

本帖最后由 liulangzhecgr 于 2011-5-30 18:33 编辑

KiDebug 发表于 2011-5-29 22:21
ProtectHaha.sys会被360杀毒报为Malware.QVM00.Gen，如有担心，请在虚拟机中测试
请先关闭360安全卫士 ...

1.暂停haha.exe的进程;
2.files 标签下强制删除文件;
3.再回到进程标签下结束进程

弹出的窗口自动消失... ... 不知道是否结束进程?!

显示全部楼层 · 发表于 2011-5-30 18:38:07

本帖最后由 hx1997 于 2011-5-30 18:38 编辑

看不懂......
这ID...貌似在看雪上见过...?

显示全部楼层 · 发表于 2011-5-30 18:54:54

liulangzhecgr 发表于 2011-5-30 18:26
1.暂停haha.exe的进程;
2.files 标签下强制删除文件;
3.再回到进程标签下结束进程

打开haha.exe，加载并启动ProtectHaha.sys驱动后，对haha.exe，我的XueTr的“暂停进程运行”是灰色。
无标题.png

显示全部楼层 · 发表于 2011-5-30 19:06:22

liulangzhecgr 发表于 2011-5-30 18:26
1.暂停haha.exe的进程;
2.files 标签下强制删除文件;
3.再回到进程标签下结束进程

用了昨晚linxer在群里上传的版本？

显示全部楼层 · 发表于 2011-5-30 19:07:49

dl123100 发表于 2011-5-30 19:06
用了昨晚linxer在群里上传的版本？

哦？能PM下群号么？

[原创文章] 不HOOK任何函数，让任务管理器、XueTr、360进程管理器无法结束保护进程