首页
论坛
课程
招聘
[原创]利用NtProtectVirtualMemory结束进程
2011-7-13 09:37 15183

[原创]利用NtProtectVirtualMemory结束进程

2011-7-13 09:37
15183
原理很简单,用PROCESS_VM_OPERATION打开目标进程(没必要PROCESS_ALL_ACCESS),把目标进程的ntdll.dll设为不能访问

/*
* 【作者:KiDebug】
* 【空间:http://hi.baidu.com/KiDebug/】
*  VC 6.0编译出错请百度:“vc 6.0 unicode”
*/
#include <stdio.h>
#include <Windows.h>
#include <Psapi.h>
#include <Tlhelp32.h>

#pragma comment(lib,"Psapi.lib")

typedef NTSTATUS (__stdcall *RtlAdjustPrivilege_)(
    ULONG Privilege,
    BOOLEAN Enable,
    BOOLEAN CurrentThread,
    PBOOLEAN Enabled
    );
RtlAdjustPrivilege_ RtlAdjustPrivilege = NULL;

typedef NTSTATUS (__stdcall *NtProtectVirtualMemory_)(
    __in HANDLE ProcessHandle,
    __inout PVOID *BaseAddress,
    __inout PSIZE_T RegionSize,
    __in ULONG NewProtectWin32,
    __out PULONG OldProtect
    );
NtProtectVirtualMemory_ NtProtectVirtualMemory = NULL;

ULONG GetPID (WCHAR* proc)
{
    BOOL                working =   0;
    PROCESSENTRY32      lppe    = {0};
    ULONG               targetPid=0;
    HANDLE hSnapshot    =   CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS ,0);

    if ( hSnapshot )
    {
        lppe.dwSize = sizeof( lppe );
        working = Process32First( hSnapshot, &lppe );
        while ( working )
        {
            if ( _wcsicmp( lppe.szExeFile,proc) ==0 )
            {
                targetPid = lppe.th32ProcessID;
                break;
            }
            working = Process32Next(hSnapshot,&lppe);
        }
    }

    CloseHandle( hSnapshot );
    return targetPid;
}

void main()
{
    HMODULE     ntdll;
    MODULEINFO  ModuleInfo;
    ntdll   =   GetModuleHandle( L"ntdll.dll" );
    if ( !GetModuleInformation( (HANDLE)-1, ntdll, &ModuleInfo, sizeof(MODULEINFO) ) )
    {
        return;
    }   

    BOOLEAN         Enabled;
    RtlAdjustPrivilege =  (RtlAdjustPrivilege_)GetProcAddress( ntdll, "RtlAdjustPrivilege" );
    if ( RtlAdjustPrivilege ==NULL )
    {
        return;
    }

    RtlAdjustPrivilege( 20, TRUE, FALSE, &Enabled );

    HANDLE hProc    =   OpenProcess( PROCESS_VM_OPERATION, FALSE, GetPID(L"services.exe") );
    if ( hProc ==   NULL )
    {
        return;
    }

    NtProtectVirtualMemory =  (NtProtectVirtualMemory_)GetProcAddress( ntdll, "NtProtectVirtualMemory" );
    if ( NtProtectVirtualMemory ==  NULL )
    {
        return;
    }

    ULONG   OldProtect;
    NtProtectVirtualMemory( hProc, &ModuleInfo.lpBaseOfDll, &ModuleInfo.SizeOfImage, PAGE_NOACCESS, &OldProtect );
}

看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

收藏
点赞0
打赏
分享
最新回复 (10)
雪    币: 232
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
HearTring 活跃值 2011-7-13 09:39
2
0
那VirtualProtectEx一样不?
雪    币: 636
活跃值: 活跃值 (283)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
Rprop 活跃值 2011-7-13 09:47
3
0
这个是ring3的,还需要注入进程才行。
雪    币: 299
活跃值: 活跃值 (54)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
cogito 活跃值 2011-7-13 09:51
4
0
楼主 这个方法已经很老了
雪    币: 232
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
HearTring 活跃值 2011-7-13 09:51
5
0
是吗?VirtualProtectEx有Ex的哦,人家程序不也整个是ring3的,
雪    币: 540
活跃值: 活跃值 (267)
能力值: ( LV12,RANK:320 )
在线值:
发帖
回帖
粉丝
evilkis 活跃值 7 2011-7-13 09:52
6
0
不如直接把目标进程的ntdll.dll卸载了
雪    币: 464
活跃值: 活跃值 (42)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
KiDebug 活跃值 4 2011-7-13 10:11
7
0
此文纯属灌水。。
雪    币: 1006
活跃值: 活跃值 (756)
能力值: (RANK:400 )
在线值:
发帖
回帖
粉丝
莫灰灰 活跃值 9 2011-7-13 19:11
8
0
Ki兄弟老是想这种稀奇古怪的东西啊,嘿嘿~
雪    币: 582
活跃值: 活跃值 (139)
能力值: ( LV11,RANK:190 )
在线值:
发帖
回帖
粉丝
RootSuLe 活跃值 4 2011-7-13 19:15
9
0
膜拜,学习了
雪    币: 79
活跃值: 活跃值 (46)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
竹君 活跃值 5 2011-7-14 11:36
10
0
纯暴力玩法。。
雪    币: 79
活跃值: 活跃值 (46)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
竹君 活跃值 5 2011-7-14 11:37
11
0
来点东东
游客
登录 | 注册 方可回帖
返回