首页
论坛
课程
招聘
[原创]Ring3下另一种结束卡巴斯基进程的新技术
2008-6-5 07:15 23730

[原创]Ring3下另一种结束卡巴斯基进程的新技术

2008-6-5 07:15
23730
原创,转载请保留全部信息
   卡巴斯基<1>启动的时候,两个进程内部都会创建一个事件用于同步退出,当显示关闭这个事件时,AVP进程会退出。这个事件内核对象名字是一个
GUID,一开始我以为是动态生成的,但据我逆向及在其他机器观察,这个事件是硬编
码,”6953EA60-8D5F-4529-8710-42F8ED3E8CDA”(为了方便,在本文,我把这个事件写成A事件,我猜想卡巴斯基开发
人员肯定读过windows核心编程,Jeffrey Richter 建议用GUID来命名事件^_^)。打开procexp.exe查找两个
avp.exe<2>进程内核对象,关闭A事件,这时AVP进程就会退出,各位看官可以在自己机器上测试^_^,AVP进程守护功能<3>在此不起作
用。Procexp.exe是如何做到关闭其他进程内核对象的呢?逆向之后发现procexp.exe是在ring0下完成的,偶不用ring0,直接
ring3。
    卡巴斯基有Hook NtOpenProcess,不过当我们以PROCESS_QUERY_INFORMATION打开AVP时,仍然可以成
功<4>,同样卡巴斯基也有Hook NtDuplicateObject,一开始我以为如果调用DuplicateHandle来改变desire
access会失效,据牛人张翼的话:很多HIPS挂了NtDuplicateObject也是白挂。于是我尝试用Duplicate(….
PROCESS_DUP_HANDLE….)改变进程的desire access,卡巴斯基有两个进程,其中一个以SYSTEM账号运行的AVP进程
不能打开,只能打开另一个以当前用户运行的进程,足够了。当我们终止以当前用户运行的AVP进程时,卡巴就失效了。
    成功打开了句柄后,采用NtQuerySystemInformation SystemHandleInformation 功能号枚举句
柄,当枚举到的句柄是A事件时,我们用刚才打开的进程句柄,用
DuplicateHandle(..DUPLICATE_CLOSE_SOURCE),DUPLICATE_CLOSE_SOURCE标志位关闭
source进程内的句柄,AVP进程感应到退出事件,退出。
代码详见附件,如果发现有BUGS,请mail me : wangyongxina@gmail.com
       感谢猪头三的技术支持~

注<1>:我开发用的版本如下:
kis8.0.0.402en.exe,kav8.0.0.402en.exe,kis7_0_1_325sch.exe。其他版本可能会运行失败。早
期的KIS7.0.2(我忘记版本号了),这种方法无效。
注<2>:卡巴斯基在启动的时候,可能会启动三个进程,其中有一个用于升级,本文不考虑这种情况。
注<3>:卡巴斯基有进程守护功能,当结束其中的一个时,如果是以当前用户运行的AVP进程,会被另一个AVP重启;如果是以SYSTEM账号运行的进
程,会被services.exe启动
注<4>:我在测试KIS7.0版本时,发现以PROCESS_DUP_HANDLE | PROCESS_QUERY_INFORMATION |
PROCESS_VM_READ可以打开句柄,而KIS8.0进程只能以PROCESS_QUERY_INFORMATION打开。

测试时,请注意卡巴版本,不是所有版本都存在这样方式来终止

看雪招聘平台创建简历并且简历完整度达到90%及以上可获得500看雪币~

上传的附件:
收藏
点赞0
打赏
分享
最新回复 (42)
雪    币: 273
活跃值: 活跃值 (18)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
天外来客 活跃值 2008-6-5 08:27
2
0
牛人啊,杀软真是防不胜防,堵住一个漏洞,又来一个!
雪    币: 273
活跃值: 活跃值 (18)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
天外来客 活跃值 2008-6-5 08:29
3
0
不过还是不明白,为什么“挂了NtDuplicateObject也是白挂”呢?
雪    币: 109
活跃值: 活跃值 (197)
能力值: ( LV13,RANK:1050 )
在线值:
发帖
回帖
粉丝
combojiang 活跃值 26 2008-6-5 09:06
4
0
不错的文章,代码写的也不错,学习
雪    币: 215
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
caocunt 活跃值 2008-6-5 09:13
5
0
早上起来学习.天天向上
雪    币: 87
活跃值: 活跃值 (291)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
frozenrain 活跃值 2008-6-5 09:30
6
0
我的卡巴6好象没事哈
雪    币: 207
活跃值: 活跃值 (23)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
hfyy 活跃值 2 2008-6-5 10:35
7
0
学习 学习
利用此方法可以对付其他杀软或hips么
雪    币: 101
活跃值: 活跃值 (53)
能力值: ( LV10,RANK:170 )
在线值:
发帖
回帖
粉丝
猪头三 活跃值 3 2008-6-5 11:18
8
0
不错不错,成功就是好事情!
雪    币: 482
活跃值: 活跃值 (938)
能力值: ( LV12,RANK:1010 )
在线值:
发帖
回帖
粉丝
sudami 活跃值 25 2008-6-5 12:28
9
0
顶个~~~
雪    币: 247
活跃值: 活跃值 (10)
能力值: ( LV9,RANK:420 )
在线值:
发帖
回帖
粉丝
小子贼野 活跃值 10 2008-6-5 13:59
10
0
希望不要有人做坏事才好
雪    币: 5536
活跃值: 活跃值 (56)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
forgot 活跃值 26 2008-6-5 14:11
11
0
AV: 请你一定要比我猥琐,才不枉费我狼狈退出
雪    币: 1835
活跃值: 活跃值 (132)
能力值: (RANK:330 )
在线值:
发帖
回帖
粉丝
Bughoho 活跃值 8 2008-6-5 14:30
12
0
你看的是魔幻AV吧
雪    币: 200
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
zhaoweiwei 活跃值 2008-6-6 09:55
13
0
附件中的动态链接库不错啊
雪    币: 200
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
cooloong 活跃值 2008-6-6 12:07
14
0
好东西
受教了
雪    币: 346
活跃值: 活跃值 (81)
能力值: ( LV2,RANK:140 )
在线值:
发帖
回帖
粉丝
iRiqium 活跃值 3 2008-6-6 12:16
15
0
精彩 -- 定
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
静心兜风 活跃值 2008-6-6 20:56
16
0
这个工具如果能好好利用的话,我想卡巴其他版本也可以突破
雪    币: 200
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
mswc 活跃值 2008-6-8 07:34
17
0
有用,正在研究杀毒软件,谢谢
雪    币: 230
活跃值: 活跃值 (10)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
winnip 活跃值 1 2008-6-8 09:41
18
0
VS2003编译的代码.工程文件sln
雪    币: 42
活跃值: 活跃值 (17)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
nevergone 活跃值 3 2008-6-9 09:09
19
0
VS2005
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
robar 活跃值 2008-6-9 13:16
20
0
好帖留名
雪    币: 203
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
简单熙佑 活跃值 2008-6-9 16:44
21
0
谢谢了!!!!!
雪    币: 217
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
百折不挠 活跃值 2008-6-10 14:42
22
0
确实是高手,只有魔高一丈,道才会再来高一尺。
雪    币: 206
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
jjgogo 活跃值 2008-6-10 18:51
23
0
先顶再看
多谢分享
雪    币: 305
活跃值: 活跃值 (17)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
jinyh 活跃值 2008-6-11 07:32
24
0
好啊,别做坏事.BS用来做坏事的人
雪    币: 6535
活跃值: 活跃值 (848)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
RuShi 活跃值 2008-6-12 15:16
25
0
学习 学习
游客
登录 | 注册 方可回帖
返回