基于WIN杀死进程的设计技术研究

1、引言
在Windows下枚举进程是十分简单的事情，可以直接调用Windows提供的API函数，但是要注意的是所用的API函数对于不同的Win32操作系统有依赖性。在Windows9x、WindowsMe、Windows2000Professional以及WindowsXP中，我们可以用ToolHelp32库中的APIs函数。但是在WindowsNT里，我们必须用PSAPI库中的APIs函数。
2、枚举进程
使用ToolHelp32函数的第一步是用CreateToolhelp32Snapshot()函数创建系统信息“快照”。这个函数可以让你选择存储在快照中的信息类型。如果你只是对进程信息感兴趣，那么只要包含TH32CS_SNAPPROCESS标志即可。CreateToolhelp32Snapshot()函数返回一个HANDLE，完成调用之后，必须将此HANDLE传给CloseHandle()[1]。接下来是调用一次Process32First函数，从快照中获取进程列表，然后重复调用Process32Next，直到函数返回FALSE为止。这样将遍历快照中进程列表。这两个函数都带两个参数，它们分别是快照句柄和一个PROCESSENTRY32结构。
3、杀死进程
进程由两部分构成：一个是进程的内核对象，另一个是地址空间。一个进程的完全终止就是使该进程的内核对象的使用计数变为零，释放其占用的地址空间。我们采用系统中提供的在另一个进程中的线程调用TerminateProcess()的方法，即通过调用TerminateProcess()来结束其他进程，具体实现方式为如下：首先，通过函数OpenProcess()获取进程的句柄，然后通过函数GetExitCodeProcess（）获取退出码，然后通过TerminateProcess(）强制杀死进程。杀死一般的进程可以，但是要是杀死内核态的进程就不可以了。这个需要提升本进程的权限，SE_DEBUG_NAME，这些需要通过OpenProcessToken（），LookupPrivilegeValue（），AdjustTokenPrivileges（）等函数来完成[2]。本次设中采取了OpenProcessToken（）来提升进程的权限。
以上实现进程的枚举和终止，但有些进程依然无法杀死，比如说卡巴斯基以及360安全卫士。接下来具体分析为什么卡巴不能够被杀死。
4、杀死卡巴斯基
卡巴斯基为了实现其主动防御的功能，hook了很多内核函数，其中有两个很关键：NtOpenProcess(),NtTerminateProcess（），在应用程序中要杀死某个进程的话，首先系统会给卡巴发消息，此时卡巴判断是不是要杀死它自己，若是，则禁止，若不是，则返回，继续执行杀死进程的过程。所以要杀死卡巴，必须恢复那些被卡巴hook的函数，但也不是所有被hook的函数都要回复，只需恢复NtOpenProcess(),NtTerminateProcess()[3]即可。在编写的驱动程序中我们只需把以上两个函数的服务地址回到其相应的原始服务函数地址即可：
*((ULONG*)OpenProcessAddr)=0x805cc408;
*((ULONG*)TerminateProcessAddr)=0x805d39aa;
这两个常数是在冰刃软件上查取的。在这样处理后，卡巴就不能hook这两个函数了，也就是能够杀死卡巴了。