能力值：
( LV12，RANK：215 )
|
-
-
2 楼
学习了，mark一下，火钳刘明
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
大牛技术资料可否分享下
|
能力值：
( LV2，RANK：10 )
|
-
-
4 楼
膜拜看雪的大神；菜鸟路过
|
能力值：
( LV5，RANK：70 )
|
-
-
5 楼
我看的TA那套教程
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
学习了，mark一下.
|
能力值：
( LV4，RANK：50 )
|
-
-
7 楼
这个必须mark
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
学习了,谢谢分享
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
mark谢谢分享
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
这个要学习的。。
|
能力值：
( LV2，RANK：10 )
|
-
-
11 楼
楼主好人，不过如果能把调试的步骤说得详细点就更好了。比如怎么知道（计算）出那个线程ID的
|
能力值：
( LV5，RANK：65 )
|
-
-
12 楼
学习了感谢
|
能力值：
( LV2，RANK：10 )
|
-
-
13 楼
求给传送门
十分感觉
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
 是 Tesla.Angela 吗
|
能力值：
( LV2，RANK：10 )
|
-
-
15 楼
PsSetCreateProcessNotifyRoutine((PCREATE_PROCESS_NOTIFY_ROUTINE)NotifyAddr, TRUE);
这个是FALSE吧？
|
能力值：
( LV5，RANK：70 )
|
-
-
16 楼
[QUOTE=aLevel;1362081]PsSetCreateProcessNotifyRoutine((PCREATE_PROCESS_NOTIFY_ROUTINE)NotifyAddr, TRUE);
这个是FALSE吧？[/QUOTE]
true是remove 可以仔细看一下api
|
能力值：
( LV5，RANK：70 )
|
-
-
17 楼
那个线程你下kiuserexcrptiondispatcher访问断点可以找到，帖子上也说了：）
|
能力值：
( LV2，RANK：10 )
|
-
-
18 楼
Mark
|
能力值：
( LV5，RANK：60 )
|
-
-
19 楼
X64 天生就是过保护的
那些猥琐的inlineHook , IDT hook 都是禁止的
多好的64位
|
能力值：
( LV5，RANK：70 )
|
-
-
20 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
21 楼
枫哥精华帖，必须顶！向枫哥学习！
|
能力值：
( LV5，RANK：70 )
|
-
-
22 楼
http://bbs.pediy.com/showthread.php?t=187348&highlight=64
|
能力值：
( LV2，RANK：10 )
|
-
-
23 楼
mark
好贴
|
能力值：
( LV3，RANK：20 )
|
-
-
24 楼
VOID InitKillThread()
{
//get pspterminatethreadbypointer
ULONG32 callcode = 0;
ULONG64 AddressOfPspTTBP = 0, AddressOfPsTST = 0, i = 0;
PETHREAD Thread = NULL;
PEPROCESS tProcess = NULL;
NTSTATUS status = 0;
if (PspTerminateThreadByPointer == NULL)
{
AddressOfPsTST = (ULONG64)GetFunctionAddr(L"PsTerminateSystemThread");
if (AddressOfPsTST == 0)
return STATUS_UNSUCCESSFUL;
for (i = 1; i < 0xff; i++)
{
if (MmIsAddressValid((PVOID)(AddressOfPsTST + i)) != FALSE)
{
if (*(BYTE *)(AddressOfPsTST + i) == 0x01 && *(BYTE *)(AddressOfPsTST + i + 1) == 0xe8) //目标地址-原始地址-5=机器码 ==> 目标地址=机器码+5+原始地址
{
RtlMoveMemory(&callcode, (PVOID)(AddressOfPsTST + i + 2), 4);
AddressOfPspTTBP = (ULONG64)callcode + 5 + AddressOfPsTST + i + 1;
}
}
}
PspTerminateThreadByPointer = (PSPTERMINATETHREADBYPOINTER)AddressOfPspTTBP;
DbgPrint("PspTerminateThreadByPointer:%p\n", PspTerminateThreadByPointer);
}
}
这能编译?什么编译器啊？
我读书少，不要骗我 ！
|
能力值：
( LV5，RANK：70 )
|
-
-
25 楼
VS2013+WDK8.1~
|
|
|
|
