[半原创]进程保护示例 - HdProcessProtectDemo

HoviDelphic

进程保护和窗体保护的代码，刚学驱动时写的。
有些地方的处理得不太好，可能会蓝屏。
不推荐在自己的软件里使用。
最新版本在9楼。

xiaoly99

PspExitThread+KiInsertQueueApc完美结束

HoviDelphic

PspExitThread+KiInsertQueueApc完美结束
xiaoly99 发表于 2010-3-28 19:09

干掉这个是无需驱动的，用句柄劫持+CreateRemoteThread即可。

sanaman

顶！顶！顶！

乔丹二世

很不错的代码，支持大牛！

HoviDelphic

回复 5# 乔丹二世

其实这个写得并不好，很容易BSOD的。

Tesla.Angela

一些修改：

1. 
   
2. NTSTATUS fake_NtUserBuildHwndList(
   
3.                         IN HDESK hdesk,
   
4.                                 IN HWND hwndNext,
   
5.                                         IN ULONG fEnumChildren,
   
6.                                                 IN DWORD idThread,
   
7.                                                         IN UINT cHwndMax,
   
8.                                                                 OUT HWND *phwndFirst,
   
9.                                                                         OUT ULONG* pcHwndNeeded)
   
10. {
    
11.         NTSTATUS ntStatus;
    
12.         ULONG j=0,i=0;
    
13.         if (PsGetCurrentProcess()!= ProtectedProcess)
    
14.         {
    
15.                 if (fEnumChildren==1)//是否是枚举子窗口
    
16.                 {        //如果是枚举本程序子窗体  返回失败
    
17.                         if (Old_NtUserQueryWindow((ULONG)hwndNext, 0) == (ULONG)PsGetProcessId(ProtectedProcess))
    
18.                         {
    
19.                                 return STATUS_UNSUCCESSFUL;
    
20.                         }
    
21.                 }
    
22.                 //枚举顶层窗口
    
23.                 ntStatus = Old_NtUserBuildHwndList(hdesk, hwndNext, fEnumChildren, idThread, cHwndMax, phwndFirst, pcHwndNeeded);
    
24.                 if (NT_SUCCESS(ntStatus))
    
25.                 {
    
26.                         while (i<*pcHwndNeeded)
    
27.                         {
    
28.                                 if (Old_NtUserQueryWindow((ULONG)phwndFirst[i],0) == (ULONG)PsGetProcessId(ProtectedProcess))
    
29.                                 {
    
30.                                         phwndFirst[i]=0;//直接把保护的句柄置0
    
31.                                 }
    
32.                                 i++;
    
33.                         }
    
34.                 }
    
35.                 return ntStatus;
    
36.         }
    
37.         return Old_NtUserBuildHwndList(hdesk, hwndNext, fEnumChildren, idThread, cHwndMax, phwndFirst, pcHwndNeeded);
    
38. }
    

复制代码

1. 
   
2. NTSTATUS fake_NtDuplicateObject(
   
3.                          IN HANDLE SourceProcessHandle,
   
4.                                  IN HANDLE SourceHandle,
   
5.                                          IN HANDLE TargetProcessHandle,
   
6.                                                  OUT PHANDLE TargetHandle OPTIONAL,
   
7.                                                          IN ACCESS_MASK DesiredAccess,
   
8.                                                                  IN ULONG Attributes,
   
9.                                                                          IN ULONG Options)
   
10. {
    
11.         NTSTATUS ntStatus,Tmp,Tmd;
    
12.         THREAD_BASIC_INFORMATION TBI;
    
13.         PROCESS_BASIC_INFORMATION PBI;
    
14.         ntStatus=Old_NtDuplicateObject(SourceProcessHandle,SourceHandle,TargetProcessHandle,TargetHandle,DesiredAccess,Attributes,Options);
    
15.         if (NT_SUCCESS(ntStatus) )
    
16.         {        //在当前进程上下文  直接查询输出句柄所属ID  是我们的直接CLOSE掉  
    
17.                 //这里 用内核提供的查询句柄函数似乎更精确 可以直接获取对象 然后对比是否是我们的进线程对象.
    
18.                 Tmp=ZwQueryInformationProcess(*TargetHandle,ProcessBasicInformation,&PBI,sizeof(PBI),NULL);
    
19.                 if (NT_SUCCESS(Tmp))
    
20.                 {       
    
21.                         if (PBI.UniqueProcessId ==(ULONG)PsGetProcessId(ProtectedProcess))
    
22.                         {
    
23.                                 ZwClose(*TargetHandle);
    
24.                                 *TargetHandle=0;
    
25.                                 ntStatus= STATUS_UNSUCCESSFUL;
    
26.                         }
    
27.                 }
    
28.                 Tmd=ZwQueryInformationThread(*TargetHandle,0,&TBI,sizeof(TBI),NULL);
    
29.                 if (NT_SUCCESS(Tmd))
    
30.                 {
    
31.                         if (TBI.ClientId.UniqueProcess==(HANDLE)inpid)
    
32.                         {
    
33.                                 ZwClose(*TargetHandle);
    
34.                                 *TargetHandle=0;
    
35.                                 ntStatus= STATUS_UNSUCCESSFUL;
    
36.                         }
    
37.                 }
    
38.         }
    
39.         return ntStatus;
    
40. }
    

复制代码

1. 
   
2. BOOLEAN fake_KeInsertQueueApc(IN PKAPC Apc,IN PVOID SystemArgument1,IN PVOID SystemArgument2,IN KPRIORITY PriorityBoost)
   
3. {
   
4.         PETHREAD ThreadInApc;
   
5.         PEPROCESS ThreadInApcOfProcess;
   
6.         if( MmIsAddressValid((PVOID)(Apc->Thread))==FALSE ) //如果线程地址无效
   
7.                 return FALSE; //直接返回失败
   
8.         ThreadInApc=(PETHREAD)(Apc->Thread);
   
9.         ThreadInApcOfProcess=IoThreadToProcess(ThreadInApc);
   
10.         if (ProtectedProcess!=ThreadInApcOfProcess)
    
11.         {
    
12.                 //不是自己的线程，直接把参数传递给原始函数
    
13.                 return Old_KeInsertQueueApc(Apc,SystemArgument1,SystemArgument2,PriorityBoost);
    
14.         }
    
15.         else
    
16.         {
    
17.                 //如果是自己的线程，就判断一下是否会对自己造成损害
    
18.                 if (PriorityBoost==2||PriorityBoost==0)
    
19.                 {
    
20.                         return FALSE;
    
21.                 }
    
22.                 else
    
23.                 {
    
24.                         return Old_KeInsertQueueApc(Apc,SystemArgument1,SystemArgument2,PriorityBoost);
    
25.                 }
    
26.         }
    
27. }
    

复制代码

Tesla.Angela

建议放过的进程：自己、csrss.exe、explorer.exe（特别是有小图标的时候）。

Tesla.Angela

TaProcPt build 20100424，For 2000/xp/2003/vista/2008/7。
完整的垃圾代码，蓝屏别怪我。

flexdm

good