关于 360 安全卫士（360 保险箱）的自我保护，我之前看到不少的广告，但一直没去研究。今天抽空仔细看了看（因为实在是疑惑）。
该程序在内核中只挂了两个 Hook（KiSystemService、KeUserModeCallback），那怎么可能拦截 IceSword、RkU 等等 ARK 的暴力结束呢？

这个问题的答案我已经考虑了很久，但始终不敢相信这是正确答案，直到我今天亲自验证了。

经过我的初步验证，360 安全卫士的自我保护方法是在 KiSystemService Hook 中过滤 ZwDeviceIoControlFile 函数的参数，若发现受到保护的 PID/EPROCESS 则进行干扰。

由于许多 ARK 对于这些信息都是用 IoControl 明文传递给驱动的，这样就使得此法屡试不爽。

于是我编译了一个驱动，采用了很标准的 PsLookupProcessByProcessId -> KeStackAttachProcess -> ZwTerminateProcess 的流程。所有的流程都在驱动中完成，不使用 IoControl。结果用此法保护的 360safe、360safebox、360tray 等进程均被瞬间结束。

当然，360 在 KiSystemService Hook 中还过滤了其它的一些函数，比如 ZwOpen***，用于阻止用户态程序结束其进程。

（另：360 对某些国际知名、国家免检的 ARK 是做过特殊处理的，IoControl 加密了也没用。）

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)