win10下驱动进程保护

网上可以查到很多WIN7下的驱动后台进程保护代码,而那些代码在WIN10下并不适用,故写此篇来文章来总结我在编写WIN10下后台进程保护驱动程序的过程与经验,因为源码文件结构比较杂乱,在此文章里我粘部分代码,在最后再给出完整项目的github地址。

首先说进程关闭,通常会用三种方法:
1.利用进程管理器关闭
2.打开CMD,调用taskkill指令关闭
3.调用taskkill加上-t参数,进行强行进程关闭

在代码方面与网上其他大神在win7下的进程保护驱动的代码与思路完全一致,都是调用 ObRegisterCallbacks()回调函数

OB_CALLBACK_REGISTRATION obReg;
	OB_OPERATION_REGISTRATION opReg;

	memset(&obReg, 0, sizeof(obReg));
	obReg.Version = ObGetFilterVersion();
	obReg.OperationRegistrationCount = 1;
	obReg.RegistrationContext = NULL;
	RtlInitUnicodeString(&obReg.Altitude, L"321000");
	memset(&opReg, 0, sizeof(opReg)); //初始化结构体变量

	//下面请注意这个结构体的成员字段的设置
	opReg.ObjectType = PsProcessType;
	opReg.Operations = OB_OPERATION_HANDLE_CREATE | OB_OPERATION_HANDLE_DUPLICATE;

	opReg.PreOperation = (POB_PRE_OPERATION_CALLBACK)&preCall; //在这里注册一个回调函数指针

	obReg.OperationRegistration = &opReg; //注意这一条语句

	return ObRegisterCallbacks(&obReg, &obHandle); //在这里注册回调函数

preCall回调函数定义为

OB_PREOP_CALLBACK_STATUS preCall(PVOID RegistrationContext, POB_PRE_OPERATION_INFORMATION pOperationInformation)
{
     
	//获取pid,这里的HANDLE保存的其实是一个进程pid
	HANDLE pid = PsGetProcessId((PEPROCESS)pOperationInformation->Object);
	char szProcName[16] = {
      0 };
	UNREFERENCED_PARAMETER(RegistrationContext);
	strcpy(szProcName, GetProcessImageNameByProcessID((ULONG)pid));
	//比较字符串,返回0,则字符串相同
	if (!_stricmp(szProcName, "Project1.exe"))
	{
     
		//如果创建句柄
		if (pOperationInformation->Operation == OB_OPERATION_HANDLE_CREATE)
		{
     
			//OriginalDesiredAccess为原本权限,DesiredAccess为即将要更改的新权限
			//如果要结束进程,进程管理器结束进程发送0x1001,taskkill指令结束进程发送0x0001,taskkil加/f参数结束进程发送0x1401
			int code = pOperationInformation->Parameters->CreateHandleInformation.OriginalDesiredAccess;
			if ((code == PROCESS_TERMINATE_0) || (code == PROCESS_TERMINATE_1) || (code == PROCESS_KILL_F))
				//给进程赋予新权限
				pOperationInformation->Parameters->CreateHandleInformation.DesiredAccess = 0;
			//DbgPrint("hello %x", pOperationInformation->Parameters->CreateHandleInformation.OriginalDesiredAccess);
			
		}
	}
	return OB_PREOP_SUCCESS;
}

要注意的是在这里负责获取进程名称以用于比较的函数GetProcessImageNameByProcessID为自定义的·,我会在结尾贴上代码的github地址。
看到这就会有人发现我这里的代码与网上win7下的代码别无二致,其实两者区别的关键就是三个值:
PROCESS_TERMINATE_0,
PROCESS_TERMINATE_1,
PROCESS_KILL_F
这三个值在我的自定义头文件myhead.h里是这样定义的

//进程管理器结束代码
#define PROCESS_TERMINATE_0       0x1001
//taskkill指令结束代码
#define PROCESS_TERMINATE_1       0x0001 
//taskkill指令加/f参数强杀进程结束码
#define PROCESS_KILL_F			  0x1401

这就是我与网上win7下的代码不一样的地方,如果照搬网上win7下的代码编译后在win10下运行可能会出现被保护进程连打都打不开的现象

最后,程序虽然有了一定成果,但是还有不足,有待后续的改正,首先说说成果
1.可以成功防止cmd指令taskkill -pid xxx以及
taskkill -f -pid xxx来关闭进程
(pid为9912)
效果图:
win10下驱动进程保护_第1张图片从此可以看出虽然指令行反馈为成功,实际上后台进程依然在运行,再看看taskkill -f -pid
win10下驱动进程保护_第2张图片从此可以看出加上-f参数的强制关闭直接反馈拒绝访问,进程管理器的后台进程也是依然在运行的,说明没有问题
再看看进程管理器结束进程的效果,在这里我要分成两种情况,一种是直接打开win10下的进程管理器显示给我们的界面,也就是进程管理器菜单栏那一栏显示“进程”的那个页面,还有一种情况则是菜单栏显示“详细信息“的那一栏,为什么我要分为两种情况,因为我刚刚提到的不足就在这里,再“详细信息”一栏关闭程序,驱动可以正常拦截并阻止进程的关闭,而在“进程”一栏的界面直接结束进程,则会出现被保护的用户层程序突然出现CPU占用爆炸的情况CPU占用甚至可能会出现90%以上的现象,到底是为什么我也还没有搞清楚,如果有大神可以指点一二小弟感激不尽,我在后续也会继续进行调试研究,然后看效果图:
在”详细信息“一栏:
win10下驱动进程保护_第3张图片可以看到弹出的拒绝访问的错误弹窗,说明是没问题的。
在“进程“一栏:
win10下驱动进程保护_第4张图片
CPU占用会高达90%,我用这个驱动程序去保护Qt编写的运行在后台的窗口程序,被保护的窗口程序也无法继续在前台正常运行最后崩溃停止运行,事实上这种情况感觉就好像是随机发生的,有时会出现这种情况,有时又不会,让人摸不着头脑。

补充:
在Windows进程管理器下会出现CPU调用过高导致程序崩溃的原因是,内存资源已被强制释放,而进程又没被关闭,进程又没有任何读写权限导致程序崩溃,解决此问题的办法是,先捕获结束进程返回码0x1001 捕获到此值后先将进程权限变为0阻止进程被关闭,再进行捕获返回码0x1041如果捕获到说明就是在是在“进程”页面结束进程,所以在捕获到0x1041后,再恢复进程的本来所有权限就能完美解决问题了。

代码地址:
github

你可能感兴趣的:(C/C++,驱动开发,笔记,c++)