驅動強制結束程序整理

有一陣子沒寫部落格，正好這幾天寫了個核心級強制結束程序的小例子。寫這個例子之前都沒去查什麼資料，主要是想試試自己能不能寫出來吧。寫完後才發現看雪論壇曾經發表過一篇很相似的文章，實現的細節可能有點不一樣，不過原理基本是相同的了。

都是通過這個 pspterminatethreadbypointer 函式，我是通過查 reactos 來理解的 ntteriminateprocess 的內部實現過程,

然後通過在 si 裡面查詢引用，找到的乙個匯出函式中呼叫了 pspterminatethreadbypointer . 這個函式就是 psterminatesystemthread,然後通過 windbg 確認，發現在win7 和xp 下這個函式均呼叫了 pspterminatethreadbypointer，之後查到呼叫的地方,具體的可以去windbg裡面看一下，這個函式裡面很短，具體我沒看，因為這裡我只需要用到這個 pspterminatethreadbypointer 函式。

pspterminatethreadbypointer() 這個函式的內部我只簡單的看了一下，通過向執行緒插入apc讓執行緒自己結束的辦法。

在win7 和 xp 的32位下這個函式的引數又一點點區別，可以看到在 win7 下他有 3個引數，乙個是指向執行緒物件的指標，乙個是退出碼，還有乙個始終為 1 的引數，xp 下沒有第三個，（當然由於我並沒有完成 win7 下的**，這裡的分析可能有問題），需要說明的一點是以下**僅僅相容 xp 32位版本。

typedef
ntstatus
(*pspterminatethreadbypointer)(
in pethread thread,
in ntstatus exitstatus
);ntstatus pslookupprocessbyprocessid(
_in_   handle processid,
_out_  peprocess *process
);/*
特徵碼winxp e8 28fcffff
win7  e8 d9570400
*/boolean pspterminateprocessbyid(ulong upid)
uconditioncode = 0xfffffc28;
uerror = 0;
kdprint(("addr is :0x%x", untterminateprocessaddr));
//搜尋特徵碼，不知道我這種寫法是不是有點笨
dobfind = true;
untterminateprocessaddr++;
uerror++;
} while (uconditioncode != *((ulong*)untterminateprocessaddr));
if (bfind)
pspterminatethreadbypointer = (pspterminatethreadbypointer)(*((ulong*)untterminateprocessaddr) + (ulong)(untterminateprocessaddr + 4));
ntstatus status = pslookupprocessbyprocessid((handle)upid, &killprocess);
if (!nt_success(status))
//kdprint(("eprocess is :0x%x", ));
// ==> 取出 threadlisthead 找出乙個執行緒的頭
//-0x22c 就是 pethread 的位址
//kdbreakpoint();
list_entry* plist;
plist = (list_entry*)(ulong)*(ulong*)((ulong)killprocess + 0x190);
list_entry* plistnext;
plistnext = plist->flink;
if (plistnext->flink != plist)//如果只有一條執行緒就直接結束 否則 bsod
while (plistcurnext != plist);
}pspterminatethreadbypointer((pethread)((ulong)(plist)-0x22c), 0);//到這裡就清理成功了
//obdereferenceobject(killprocess);//解引用,不過貌似這個物件都沒有了，不確定需不需要解除引用
return bfind;
}

2018/5/10 修改

注，這裡的**太凌亂，風格太差，整體來說並沒有什麼意義，留下來也僅僅是做個紀念。

驅動強制結束程序整理

強制結束系統程序

強制結束乙個程序

VC MFC 強制結束當前程序

驅動 強制結束程序 整理

強制結束系統程序

強制結束乙個程序

VC MFC 強制結束當前程序

相關推薦

驅動強制結束程序整理