首页
社区
课程
招聘
[分享]taskmgr.exe 结束任务
发表于: 2012-9-5 11:19 21633

[分享]taskmgr.exe 结束任务

2012-9-5 11:19
21633

比较简单,网上都有的,这里只是做个记录。

分析:
1、只要窗口标题不为空的程序,都会在任务列表中显示。
2、结束任务的时候,任务管理器(taskmgr.exe)在调用EndTask之前会先向目标窗口发送一个WM_CLOSE的消息,如果窗口仍未关闭,再来个EndTask直接干掉该进程,调用过程EndTask -> CsrClientCallServer -> ZwRequestWaitReplyPort。一般当一个进程启动时,父进程会调用CsrClientCallServer将该进程的句柄传递给子系统csrss.exe,因此所有进程都会在csrss.exe中留下句柄。当用任务管理器结束一个任务时,通过CsrClientCallServer向csrss.exe发送通知,csrss.exe收到通知并用其父进程传进来的句柄用NtTerminateProcess结束它。

防杀方法:

1、将窗口标题设置为空,就不会在任务列表中显示了。
SetWindowText( _T("") );  

2、过滤掉WM_CLOSE消息。
BOOL CAntiCrackDlg::PreTranslateMessage(MSG* pMsg)
{
        // TODO: Add your specialized code here and/or call the base class

        if( pMsg->message == WM_CLOSE ) // 过滤掉WM_CLOSE
        {
                return TRUE;
        }

        return CDialogEx::PreTranslateMessage(pMsg);
}

3、在驱动里hook NtTerminateProcess。

       上面的3个方法最好一起用,否则会有漏洞。

有兴趣的朋友可以来尝试杀下这个demo。
把文件解压到c盘根目录,



按照图中步骤1和2操作


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 6
支持
分享
最新回复 (51)
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
2
枚举线程 PostThreadMessage 发送 WM_QUIT 消息结束主线程 可有用?
2012-9-5 11:33
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
3
TerminateThread  可有用
2012-9-5 11:34
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
4
我错了 楼主 楼主是防taskmgr的
2012-9-5 11:35
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
第一点,虽然标题为空不会显示,但是对对应的hwnd调用EndTask仍是可以结束你的进程的
当然直接拦截TerminateProcess是可以拦住,不过会出问题
2012-9-5 11:42
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
6
你自己试下呗,呵呵,应用层应该都结束不了。
2012-9-5 12:31
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
7
楼主的工具不只是那三种方法
文章中提到的方法应用层下很好结束 我刚测试了
2012-9-5 13:19
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
8
我自己写了个MFC程序 按照你的三种方法隐藏标题,重载PreTranslateMessage过滤掉wm_close,然后另外一个程序ssdt挂NtTerminateProcess处理了自己的程序
r3下 一个远程线程exitprocess(0)就退出了- -
2012-9-5 13:31
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
9
“r3下 一个远程线程exitprocess(0)就退出了”

你自己写的demo没有hook zwopenprocess.
你能用openprocess打开AntiCrack.exe吗?
2012-9-5 13:42
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
10
这些东西,需要的是一套方案,而不仅仅是一个2个技术,否则会有漏洞的。
我也是在慢慢完善,呵呵。
2012-9-5 13:44
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
11
vista以后的系统,我不想用hook了,还是试下用微软提供的框架。呵呵
2012-9-5 13:48
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
楼主的拼凑代码的这个保护太弱太无趣了,瞎写了两行代码就干掉了,切豆腐一样

传上来玩一玩
上传的附件:
2012-9-5 14:28
0
雪    币: 297
活跃值: (265)
能力值: ( LV4,RANK:55 )
在线值:
发帖
回帖
粉丝
13
三楼讲过没试下
不过照楼主说的可以继续挂嘛 楼主耍赖
2012-9-5 14:41
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
好吧,这个方法有点无聊+欺负楼主,我就放一个好玩+正经的吧

正正当当地用最正统的OpenProcess+TerminateProcess组合拳把楼主的保护进程打得趴不起来

这下没话说了吧

看附件~
上传的附件:
2012-9-5 14:43
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
没关系,耍赖也不怕,就按他的游戏规则来,看我14楼,根本不用新的方法,他再挂也没用,直接:

hproc = OpenProcess(PROCESS_TERMINATE , FALSE , pid);
TerminateProcess(hproc , 0 );

最简单方法送他的进程回家
2012-9-5 14:46
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
16
heh ,呵呵,我试下你们的,看看,
2012-9-5 14:57
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
17
这位兄弟,我刚调试了下,你能关掉是因为我的驱动判断上有漏洞,
我已经更新了,
你现在再试下,能关么,呵呵
2012-9-5 15:52
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
18
[QUOTE=guxinyi;1099805]这位兄弟,我刚调试了下,你能关掉是因为我的驱动判断上有漏洞,
我已经更新了,
你现在再试下,能关么,呵呵
[/QUOTE]

漏洞多了去了~~

没发现你的驱动更新~
2012-9-5 15:59
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
19
还可以关掉吗
2012-9-5 16:04
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
20
你新传的EXE里的驱动根本没改。。当然可以关掉了
2012-9-5 16:08
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
21
我这边关不掉的,更新了的,
2012-9-5 16:12
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
22
你主楼传的文件里没更新。你自己确定下吧,确定你EXE里捆的SYS是新的后在回复里加新附件~
2012-9-5 16:13
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
23
....................
2012-9-5 16:20
0
雪    币: 155
活跃值: (20)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
24
[QUOTE=guxinyi;1099815]奶奶的,公司下东西的人太多了。

[/QUOTE]

第一次的程序(12楼那个)依旧秒杀啊~
2012-9-5 16:28
0
雪    币: 585
活跃值: (568)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
25
我这里杀不了的,
2012-9-5 16:32
0
游客
登录 | 注册 方可回帖
返回
//