弱弱的问一句,如果没有1235怎么办?

每个进程都有的，1235,1235,1237

我用任务管理器看了看,没有连续的PID,难道大侠说的是内核中的进程队列?

引用第22楼wangjianfeng于2007-01-15 14:16发表的“”:
我用任务管理器看了看,没有连续的PID,难道大侠说的是内核中的进程队列?

xikug的意思是这样，如下代码即可：


void KillProcessByName(char *szProcName)
{
  
    HANDLE    hToken,hProcess;
    TOKEN_PRIVILEGES tp;
    char *pSEDEBUG="SeDebugPrivilege";

    hProcess=GetCurrentProcess();
    OpenProcessToken(hProcess,TOKEN_ADJUST_PRIVILEGES|TOKEN_QUERY,&hToken);
    LookupPrivilegeValue(NULL,pSEDEBUG,&tp.Privileges[0].Luid);
    tp.PrivilegeCount=1;
    tp.Privileges[0].Attributes=SE_PRIVILEGE_ENABLED;
    AdjustTokenPrivileges(hToken,FALSE,&tp,NULL,NULL,NULL);
    
    PROCESSENTRY32 pe;
    DWORD id=0;
    HANDLE hkz=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0);
    pe.dwSize=sizeof(PROCESSENTRY32);
    if (Process32First(hkz,&pe))
    {
        do
        {
             if (stricmp(pe.szExeFile,szProcName)==0)
            id=pe.th32ProcessID+1;
             HANDLE hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,id);
                 TerminateProcess(hProcess,0);
        }
        while(Process32Next(hkz,&pe));
        
    }

        CloseHandle(hkz);
}

引用第16楼xikug于2007-01-13 22:11发表的“”:
不写驱动的方法:
先结束卡巴的进程ID+1的进程,再结束卡巴的进程

例如:卡台的进程id是1234,那你先结束1235的进程,再结束巴的1234进程

呵呵，这样应该还是终止不了卡巴。这种方法应该只能终止只在OpenProcess/NtOpenProcess上做手脚的保护方法，如果也挂钩了 Nt/ZwTerminateProcess 的就不行了。

恩，刚试了下HOOK PspTerminateProcess 那个这个方法也不能终止的

引用第24楼xyzreg于2007-01-15 15:42发表的“”:

呵呵，这样应该还是终止不了卡巴。这种方法应该只能终止只在OpenProcess/NtOpenProcess上做手脚的保护方法，如果也挂钩了 Nt/ZwTerminateProcess 的就不行了。

这样应该不行吧，修改HANDLE的第0位、1位的值意味着改变句柄表级数啊

你的是卡吧几?
我以前试过卡吧6是可以的...

引用第27楼xikug于2007-01-15 21:10发表的“”:
你的是卡吧几?
我以前试过卡吧6是可以的...

试了卡巴 6.0.1.411，不行，呵呵~

的确,我试了一下,也不能结束:) 看来除了恢复内存HOOK外,在RING3中是结束不掉的.

看到我发的贴有这么多朋友顶，真是感动呀！不知道用那种DKOM之类的技术或者reactos相关代码会如何，不过reactos太多代码了 ，好复杂。

没必要这么复杂吧,IS是可以结束AVP的,只要恢复被HOOK的代码和SSDT.

也是哦 ，只不过觉得多了解一点有好处

怎么恢复SSDT

什么无聊的HOOK啊 table啊 之类的 说白了不都是数据的修改嘛，R3只要能写物理内存 一样可以结束卡巴

引用第29楼wangjianfeng于2007-01-16 11:20发表的“”:
的确,我试了一下,也不能结束:) 看来除了恢复内存HOOK外,在RING3中是结束不掉的.

Ring3找到该进程的窗体，让后把该窗体的WinProc设置往无效地址。
然后再看看，卡巴基斯会不会自己死掉~

我也不确定会不会死掉哦~

我用SPY++看不到卡巴的窗体.我是菜鸟,WQXNETQIQI
大侠给个例子看.

而且用RING3结束程序有更好的优势,WQXNETQIQI就练练让我们学学呀.

我想到一个，大牛别笑啊～

写入AppInit_DLL项下面，然后等待重启（如果等不及就NtShutdownSystem ）
重启后所有进程都会有你的DLL，包括那些受到驱动保护的进程。
然后不用我说了吧，DLL如果发现自己所在的进程叫AVP之类的就直接ExitProcess

听起来8错,试一试.