（原创）强制结束进程的新法子

gfw

看TA的教程,觉得寻找PspTerminateThread的地址太麻烦了,如果用KeInsertQueueApc的方法,又需要先把线程设置为系统线程,这又需要硬编码.
如果在APC函数里,执行自毁操作,比如调用memset(NULL,0,0X10000000),ZwTerminateThread等,这也许可行.

Tesla.Angela

我那个教程用的是PspTerminateThreadByPointer，为了强制结束线程。

在APC回调里调用MEMSET大规模破坏内存，整个进程都挂了。

调用ZwTerminateThread可以，但这个API没有导出，需要硬编码一个INDEX。

此外线程FLAG的偏移是多少，可以利用PsIsSystemThread来动态确定。

gfw

Tesla.Angela 发表于 2015-5-24 00:31
我那个教程用的是PspTerminateThreadByPointer，为了强制结束线程。

在APC回调里调用MEMSET大规模破坏内存 ...

明白了。

donydh

明白了。明白了。明白了。明白了。