模拟ZwTerminateProcess干掉进程

很多时候我们会碰到杀进程的需求，但是很多程序会hook系统的api造成我们无法结束指定的进程。

 

你流氓，我只有更流氓！下面介绍一种模拟native api ZwTerminateProcess 结束进程的方法，这种方法可以结束掉hook的不深的进程。

 

那么hook的更深的怎么办？你深，我只有更深！不过这不在本文的讨论内容之内。

 

下面上代码：

 

 1  INT __declspec(naked) __stdcall ZwTerminateProcess(HANDLE ProcessHandle,INT ExitStatus)
 2  {
 3    __asm
 4    {
 5  // 方法1
 6      mov     eax, 101h
 7      db       0xE8
 8      dd       0x00
 9      mov     edx,esp
10      sysenter
11      ret     8h
12 
13  /* 方法2  lea edx,[esp + 4]
14      int 2eh
15      ret 2ch  */
16    }
17  }
18 
19  void  __fastcall TForm1::btn1Click(TObject  * Sender)
20  {
21      HANDLE h  =  GetCurrentProcess();
22      ZwTerminateProcess(h, 0 );    
23  }

 

 

两种方法都是管用的。

我们看到其实Zw系列的api只是进入内核调用了一个指定序号的服务，上面的代码稍微修改一下就可以模拟出所有的Zw系列了。

 

怎么样？是不是感觉生活美好了一些啊？