论坛广场 › WINDOWS核心编程 › [原创开源]在WIN64上使用对象回调保护进程

andylau004 发表于 2015-1-28 20:39:18

学习下，，TA的大作

Thinkpador 发表于 2015-3-7 13:39:55

谢谢分享

sd1228 发表于 2015-3-18 10:31:45

?????????????????????????

h262591533 发表于 2015-3-18 16:04:55

特来学习一下，谢谢楼主

dak811 发表于 2015-3-18 23:32:33

我也来看看

dak811 发表于 2015-3-18 23:32:45

我也来看看！

dak811 发表于 2015-3-18 23:33:27

这个可是好东西，谢谢分享

luqi_44 发表于 2015-3-19 10:39:32

好像教程里有这个内容

dhc83749787 发表于 2015-4-24 04:05:32

。。。。大学的时候是什么时候。。老大是85后？

飞跃 发表于 2015-4-24 08:34:18

好东西学习，值得拥有

upring 发表于 2015-5-1 16:27:16

五一快乐!

baggiowangyu 发表于 2015-5-4 08:57:15

看看老贴

irooky 发表于 2015-5-7 08:00:03

感谢楼主

upring 发表于 2015-5-9 12:29:29

必须支持大侠们分享精神

PudgeCHN 发表于 2015-5-14 14:02:27

看了几个帖子，虽然在干嘛不大清楚，但是感觉很有武林高手范儿。我能理解为小Cracker破software,大Cracker搞Win-System么？

cykefu 发表于 2015-6-16 19:21:54

老大的帖子， 现在看到了 学习ing。。。

huoyong1985 发表于 2015-6-18 21:18:26

大神就是厉害

alvinstack 发表于 2015-7-25 18:21:18

早就想看源码了

绿林科技 发表于 2015-7-25 19:20:13

谢谢了！一直找的。支持开源精神。谢谢大牛。

wqh21 发表于 2015-7-28 17:11:57

谢谢分享

kz丶cn 发表于 2015-7-30 14:02:48

发现来了紫水晶 进步好快。。。

lynnux 发表于 2015-9-7 09:03:12

谢谢，正需要

284406022 发表于 2016-6-14 08:31:47

来看看源码的,好像这个ob方法在win8x64上运行,用任务管理器可以关闭进程

lizhuowu 发表于 2016-6-19 22:52:31

楼主看来是一个好销售员啊~~

hanhaochi 发表于 2016-6-21 10:11:10

谢谢分享……

284406022 发表于 2016-6-22 08:50:13

调试跑了一下,好像win7x86/win8.1x86 ObRegisterCallbacks函数都返回失败?你们试了没有吗?
想问下,Vista之前的系统有什么方法保护进程呢?SSDT-hook(要找每个系统的函数ssdt的id)? 提升进程的线程为系统线程?(要找每个系统的Etread的xx偏移)? 不知道还有哪种方法

tangptr@126.com 发表于 2016-6-22 21:30:06

最简单的办法就是挂钩PsLookupProcessByProcessId和PsLookupThreadByThreadId以及NtDuplicateObject还有KeInsertQueueApc。这四个都是导出函数，挂钩后Ring3就没有什么办法杀进程了。当然咯还有在Windows XP里要废掉NtSystemDebugControl这玩意。有很多在XP下Ring3强杀进程的东西会使用这个函数。挂钩好这些函数，一些Ring0的杀进程代码也会变得无效。直接Inline Hook就行了，虽然有概率蓝屏。

tangptr@126.com 发表于 2016-6-22 21:30:42

284406022 发表于 2016-6-22 08:50
调试跑了一下,好像win7x86/win8.1x86 ObRegisterCallbacks函数都返回失败?你们试了没有吗?
想问下,Vista之 ...

最简单的办法就是挂钩PsLookupProcessByProcessId和PsLookupThreadByThreadId以及NtDuplicateObject还有KeInsertQueueApc。这四个都是导出函数，挂钩后Ring3就没有什么办法杀进程了。当然咯还有在Windows XP里要废掉NtSystemDebugControl这玩意。有很多在XP下Ring3强杀进程的东西会使用这个函数。挂钩好这些函数，一些Ring0的杀进程代码也会变得无效。直接Inline Hook就行了，虽然有概率蓝屏。

284406022 发表于 2016-6-22 22:57:57

本帖最后由 284406022 于 2016-6-22 23:00 编辑

tangptr@126.com 发表于 2016-6-22 21:30
最简单的办法就是挂钩PsLookupProcessByProcessId和PsLookupThreadByThreadId以及NtDuplicateObject还有K ...

我也是很讨厌ssdt-hook 或者inline-hook的，我找了一个思路：就是把进程的线程提示为系统进程，不过这个要对Eprocess->EThread操作,,这两个结构体又是经常变来变去的,还是比较麻烦的,vista之前的系统也分x86和x64的,像你说的inline-hook,总感觉不够稳定(特别是x64的inline-hook,不知道用管理员教程里的inline-hook稳不稳定?)

284406022 发表于 2016-6-22 23:03:06

tangptr@126.com 发表于 2016-6-22 21:30
最简单的办法就是挂钩PsLookupProcessByProcessId和PsLookupThreadByThreadId以及NtDuplicateObject还有K ...

win7x86,win8.1x86,win10x86下的ObXXXXXXcallback失败原因找到了,原来是一个结构体偏移错了,不是+0x68了,而是+0x34了

tangptr@126.com 发表于 2016-6-23 15:47:24

284406022 发表于 2016-6-22 23:03
win7x86,win8.1x86,win10x86下的ObXXXXXXcallback失败原因找到了,原来是一个结构体偏移错了,不是+0x68了, ...

然而XP和2k3没有回调保护进程
话说hook的话如果不嫌麻烦可以call hook，蓝屏率是很低的。

jyw0113 发表于 2016-6-28 10:11:38

学习下，看看

查看完整版本: [原创开源]在WIN64上使用对象回调保护进程