恢复Inline Hook结束冰刃进程

• 作者: 键盘上的眼泪
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 进程句柄 HOOK 冰 S函数 保护方法 OPEN 调用 内核
• 年，卷（期）: 2010,（6）
• 页码范围: 120-121
• 页数: 2页
• 分类号: TP311.11

摘要

关闭冰刃有很多种方法，比如调用内核未导出的PspTerminateProcess函数，或者使用模拟点击。本文将用一种”物归原主”的方法来对付冰刃。冰刃对自身的进程保护方法是InlineHook了NtOpenProcess和NtTerminateProcess这两个函数，修改了这两个函数的前5个字节，jmp到自己定义的处理函数里，所以只要我们将这两个被Hook的函数”物归原主”恢复过来，那么在Ring3下调用Open Process获得进程句柄，然后再调用TerminateProcess就能轻松结束冰刃进程。