#include <ntddk.h>
#include <windef.h>
#include <stdlib.h>

PVOID BuildZwRoutine(ULONG id, USHORT ParamCount)
{
  /*
  80500f20 b8XX000000      mov     eax,ID
  80500f25 8d542404        lea     edx,[esp+4]
  80500f29 9c              pushfd
  80500f2a 6a08            push    8
  80500f2c e8XXXXXXXX      call    nt!KiSystemService (YYYYYYYY)
  80500f31 c2XX00          ret     4*ParamCount
  */
  UNICODE_STRING UniCodeFunctionName;
  ULONG pfnKiSystemService=0,pfnZwTerminateProcess=0,temp;
  PUCHAR callfunc=ExAllocatePool(NonPagedPool,20);
  UCHAR shellcode[21]="\xb8\xFF\xFF\xFF\xFF\x8d\x54\x24\x04\x9c\x6a\x08\xe8\xFF\xFF\xFF\xFF\xc2\xFF\xFF";
  ParamCount=ParamCount*4;
  //获得KiSystemService的地址
  RtlInitUnicodeString(&UniCodeFunctionName, L"ZwTerminateProcess");//随便一个导出的zw函数
  pfnZwTerminateProcess=(ULONG)MmGetSystemRoutineAddress(&UniCodeFunctionName);
  memcpy(&temp,(PVOID)(pfnZwTerminateProcess+13),4);
  pfnKiSystemService=temp+5+(pfnZwTerminateProcess+12);
  //组建shellcode
  temp=pfnKiSystemService-((ULONG)callfunc+12)-5;
  memcpy(callfunc,shellcode,20);
  memcpy(callfunc+1,&id,4);
  memcpy(callfunc+13,&temp,4);
  memcpy(callfunc+18,&ParamCount,2);
  return callfunc;
}

typedef NTSTATUS (__stdcall *ZWOPENPROCESS)
(
    PHANDLE ProcessHandle,
    ACCESS_MASK DesiredAccess,
    POBJECT_ATTRIBUTES ObjectAttributes,
    PCLIENT_ID ClientId
);

void TestCallMyZwOpenProcess()
{
  ZWOPENPROCESS pfn;
  NTSTATUS st;
  HANDLE hProc;
  CLIENT_ID cid= {0};
  OBJECT_ATTRIBUTES attr= {0};
  pfn=(ZWOPENPROCESS)BuildZwRoutine(0x7A,4);
  DbgPrint("MyZwOpenProcess: %p\n",pfn);
  cid.UniqueProcess = (HANDLE)4;
  attr.Length = sizeof(OBJECT_ATTRIBUTES);
  st=pfn(&hProc, 1, &attr, &cid);
  DbgPrint("Status: %x, Handle: %p\n",st,hProc);
}

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课