实现关闭进程函数，杀掉pchunter
前段时间包同学到一家公司去面试，面试官问他如果不用TerminateProcess 如何实现关闭进程，作为一个快要毕业的人来说对这个问题很敏感，毕竟也要面对这关。
现在问题摆在面前，如何解决这个问题，想了想最好的方法就是直接看操作系统怎么实现 TerminateProcess 的自己实现个就好了。在一定程度上就可以阻止别人通过hook技术来拦截。
这段代码很早就写好了，但是帖子什么的一直没什么时间写(薛老师今天讲的壳还没有脱)，写完这篇帖子去脱壳了。
另外：本人小菜，大神们轻点喷
开始吧!下面截图的代码都是win2000的代码，在看源码的同时有时候需要用ida打开win7的ntoskrnl.exe对比着看，所幸的是虽然经过很多版本更迭，但是这块的基本原理没啥变化，所以就尽量不贴ida反汇编的图了(可读性差)
NtTerminateProcess 的函数实现,其中最关键的 如图：
这个函数主要干的事情就是遍历进程的线程,然后对每个线程执行 PspTerminateThreadByPointer
再分析下 PspTerminateThreadByPointer 函数的实现
这个函数是分两种情况的：
情况一：是线程自己关闭自己：直接执行PspExitThread
PspExitThread 这个函数太庞杂简单说下它的作用：
1. 执行了一大堆清理代码,主要清理当前线程Ethread的资源
2. 从调度链表和等待链表中去掉它
3. 如果是进程的最后一个线程,直接清理进程空间
4. 执行KiSwapThread切换到一个新线程去
情况二：关闭掉别的线程:在对方线线程中插入一个内核apc，这个内核apc最后会调用PspExitThread函数
PspTerminateThreadByPointer 和NtTerminateProcess分析总结：
1. 所谓杀死进程,其实只要把每个线程杀死就好了，最后一个线程会负责收尸的。
2. 线程不能被杀死,只能自杀.所以如果想杀掉线程最好让它自己执行自杀代码,内核apc(后面会简单讲下内核apc,没法深入再讲就错题了)是个不错的选择。
内核Apc执行的时机(讲的不对请指正哈)：
1. 中断和异常返回,下面是ReatOs的代码(贴代码为证,避免别人说我瞎哔哔O(∩_∩)O哈哈~)
2. 高irql转到第irql，这块直接看win732逆向的代码：KfLowerIrql
主要关注：HalpCheckForSoftwareInterrrupt
执行apc的地方就是KiDeliverApc
3. 线程切换的时候，还是直接贴 win2000 的代码
原理讲完了，现在直接贴效果图了：
杀掉之前，写好进程id：
执行完杀掉的代码：
另外直接附上代码：
Entry.c
KrTypeDef.h
#pragma once
#include <ntifs.h>
#include <ntddk.h>
#pragma warning(disable:4189 4100)
typedef enum _KAPC_ENVIRONMENT
{
OriginalApcEnvironment,
AttachedApcEnvironment,
CurrentApcEnvironment,
InsertApcEnvironment
} KAPC_ENVIRONMENT;
typedef VOID (*PKNORMAL_ROUTINE) (
IN PVOID NormalContext,
IN PVOID SystemArgument1,
IN PVOID SystemArgument2
);
typedef VOID(*PKKERNEL_ROUTINE) (
IN struct _KAPC *Apc,
IN OUT PKNORMAL_ROUTINE *NormalRoutine,
IN OUT PVOID *NormalContext,
IN OUT PVOID *SystemArgument1,
IN OUT PVOID *SystemArgument2
);
typedef VOID(*PKRUNDOWN_ROUTINE) (
IN struct _KAPC *Apc
);
VOID NTAPI KeInitializeApc(__in PKAPC Apc,
__in PKTHREAD Thread,
__in KAPC_ENVIRONMENT TargetEnvironment,
__in PKKERNEL_ROUTINE KernelRoutine,
__in_opt PKRUNDOWN_ROUTINE RundownRoutine,
__in PKNORMAL_ROUTINE NormalRoutine,
__in KPROCESSOR_MODE Mode,
__in PVOID Context
);
BOOLEAN NTAPI KeInsertQueueApc(IN PKAPC Apc,
IN PVOID SystemArgument1,
IN PVOID SystemArgument2,
IN KPRIORITY PriorityBoost);
typedef VOID(NTAPI *fpTypePspExitThread)(
IN NTSTATUS ExitStatus
);
#define OFFSET(type, f) ((SIZE_T) \
((char *)&((type *)0)->f - (char *)(type *)0))
ps：代码有处bug，就是假设在杀线程的同时创建线程怎么办?
最后谢谢大家!
本文由看雪论坛 又出bug了 原创
转载请注明来自看雪社区
往期热门阅读：
点击阅读原文/read，
更多干货等着你~
扫描二维码关注我们，更多干货等你来拿！