进程保护--CrossThreadFlags标志位

hong5499999

原理：
1. 将进程的所有线程的线程CrossThreadFlags标志位设置成Terminated或者System.
效果：任务管理器，WSYSCheck，ICESWORD无法结束进程。。
但PCHunter 可以结束受保护的进程。
但PCHunter无法用普通方法结束受保护的线程，必须使用强制结束线程才可结束线程。。

代码：

1. VOID SetThreadFlagToTerminatedByThreadID(ULONG dwThreadID)
   
2. {
   
3.         ULONG ulFlagOffset;
   
4.         NTSTATUS status = STATUS_UNSUCCESSFUL;
   
5.         PULONG pFlag;
   
6.         PETHREAD eThead;
   
7.         HANDLE threadHandle;
   
8. 
   
9.         __try{
   
10.                 threadHandle = (HANDLE)dwThreadID;
    
11.                 ulFlagOffset = GetCrossThreadFlagOffset();
    
12.                 //dprintf("[ProtectProcess]GetCrossThreadFlagOffset: 0X%08X\r\n", ulFlagOffset);
    
13. 
    
14.                 status = PsLookupThreadByThreadId(threadHandle, &eThead);
    
15.                 if(!NT_SUCCESS(status))
    
16.                 {
    
17. 
    
18.                         dprintf("PsLookupThreadByThreadId ERRORid:0X%08X, TID: 0X%08X\r\n", status, dwThreadID);
    
19.                         return status;
    
20.                 }
    
21.                 //dprintf("ETHREAD:0X%08X\n", eThead);
    
22. 
    
23.                 pFlag = (ULONG*)((PUCHAR)eThead + ulFlagOffset);
    
24.                 //dprintf("ulFlag address:0X%08X value:0x%08X\n", pFlag, *pFlag);
    
25. 
    
26.                 *pFlag |= PS_CROSS_THREAD_FLAGS_TERMINATED;
    
27.                 dprintf("new ulFlag address:0X%08X value:0x%08X\n", pFlag, *pFlag);
    
28.         }__except(EXCEPTION_EXECUTE_HANDLER)
    
29.         {
    
30.                 dprintf("EXCEPTION ON set thread cross flags!");
    
31.                 return status;
    
32.         }
    
33. }

复制代码