请问如何远程关闭一个NT机器的服务，进程，该机器

Question

如何杀掉本地和远程NT系统进程
作者：ey4s<[email protected]>
主页：http://www.ey4s.org
首发于《黑客防线》，转载请注明出处.
 前面我们说了四种查看本地、远程系统进程的办法，接下来我们来研究一下怎么杀掉本地、远程NT系统的进程吧，呵呵。
 杀掉本地进程其实很简单，取得进程ID后，调用OpenProcess函数打开进程句柄，然
后调用TerminateProcess函数就可以杀掉进程了。有些情况下并不能直接打开进程句柄，例如WINLOGON等系统进程，因为权限不够。这个时候我们就得先提升自己的进程的权限了。提升权限过程也不复杂，先调用GetCurrentProcess函数取得当前进程的句柄，然后调用OpenProcessToken打开当前进程的访问令牌，接着调用LookupPrivilegeValue函数取得你想提升的权限的值，最后调用AdjustTokenPrivileges函数给当前进程的访问令牌增加权限就可以了。一般有了SeDebugPrivilege特权后，就可以杀掉除Idle外的所有进程了。
OK!那如何杀掉远程进程呢？说起来有点复杂，但其实也不难。
<1>与远程系统建立IPC连接
<2>在远程系统的系统目录admin$\system32中写入一个文件killsrv.exe
<3>调用函数OpenSCManager打开远程系统的Service Control Manager[SCM]
<4>调用函数CreateService在远程系统创建一个服务，服务指向的程序是在<2>中写入的程序killsrv.exe
<5>调用函数StartService启动刚才创建的服务，把想杀掉的进程的ID作为参数传递给它
<6>服务启动后，killsrv.exe运行，杀掉进程
<7>清场
嗯！这样看来，我们需要两个程序了。Killsrv.exe的源代码如下：
/***********************************************************************
Module:Killsrv.c
Date:2001/4/27
Author:ey4s<[email protected]>
Http://www.ey4s.org
***********************************************************************/
#include <stdio.h>
#include <windows.h>
#include "function.c"
#define ServiceName "PSKILL"
SERVICE_STATUS_HANDLE ssh;
SERVICE_STATUS ss;
/////////////////////////////////////////////////////////////////////////
void ServiceStopped(void)
{
 ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS|SERVICE_INTERACTIVE_PROCESS;
 ss.dwCurrentState=SERVICE_STOPPED;
 ss.dwControlsAccepted=SERVICE_ACCEPT_STOP;
 ss.dwWin32ExitCode=NO_ERROR;
 ss.dwCheckPoint=0;
 ss.dwWaitHint=0;
 SetServiceStatus(ssh,&ss);
 return;
}
/////////////////////////////////////////////////////////////////////////
void ServicePaused(void)
{
 ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS|SERVICE_INTERACTIVE_PROCESS;
 ss.dwCurrentState=SERVICE_PAUSED;
 ss.dwControlsAccepted=SERVICE_ACCEPT_STOP;
 ss.dwWin32ExitCode=NO_ERROR;
 ss.dwCheckPoint=0;
 ss.dwWaitHint=0;
 SetServiceStatus(ssh,&ss);
 return;
}
void ServiceRunning(void)
{
 ss.dwServiceType=SERVICE_WIN32_OWN_PROCESS|SERVICE_INTERACTIVE_PROCESS;
 ss.dwCurrentState=SERVICE_RUNNING;
 ss.dwControlsAccepted=SERVICE_ACCEPT_STOP;
 ss.dwWin32ExitCode=NO_ERROR;
 ss.dwCheckPoint=0;
 ss.dwWaitHint=0;
 SetServiceStatus(ssh,&ss);
 return;
}
/////////////////////////////////////////////////////////////////////////
void WINAPI servier_ctrl(DWORD Opcode)//服务控制程序
{
 switch(Opcode)
 {
 case SERVICE_CONTROL_STOP://停止Service
　　ServiceStopped();
　　break;
 case SERVICE_CONTROL_INTERROGATE:
　　SetServiceStatus(ssh,&ss);
　　break;
 }
 return;
}
//////////////////////////////////////////////////////////////////////////////
file://杀进程成功设置服务状态为SERVICE_STOPPED
file://失败设置服务状态为SERVICE_PAUSED
//
void WINAPI ServiceMain(DWORD dwArgc,LPTSTR *lpszArgv)
{
 ssh=RegisterServiceCtrlHandler(ServiceName,servier_ctrl);
 if(!ssh)
 {
　ServicePaused();
　return;
 }
 ServiceRunning();
 Sleep(100);
  file://注意，argv[0]为此程序名，argv[1]为pskill,参数需要递增1
  file://argv[2]=target,argv[3]=user,argv[4]=pwd,argv[5]=pid
 if(KillPS(atoi(lpszArgv[5])))
　ServiceStopped();
 else
　ServicePaused();
 return;
}
/////////////////////////////////////////////////////////////////////////////
void main(DWORD dwArgc,LPTSTR *lpszArgv)
{
 SERVICE_TABLE_ENTRY ste[2];
 ste[0].lpServiceName=ServiceName;
 ste[0].lpServiceProc=ServiceMain;
 ste[1].lpServiceName=NULL;
 ste[1].lpServiceProc=NULL;
 StartServiceCtrlDispatcher(ste);
 return;
}

Answer 1

/////////////////////////////////////////////////////////////////////////////
 function.c中有两个函数，一个是提升权限的，一个是提供进程ID,杀进程的。代码如
下：
/***********************************************************************
Module:function.c
Date:2001/4/28
Author:ey4s<[email protected]>
Http://www.ey4s.org
***********************************************************************/
#include <windows.h>
////////////////////////////////////////////////////////////////////////////
BOOL SetPrivilege(HANDLE hToken,LPCTSTR lpszPrivilege,BOOL bEnablePrivilege)
{
 TOKEN_PRIVILEGES tp;
 LUID luid;
 if(!LookupPrivilegeValue(NULL,lpszPrivilege,&luid))
 {
　printf("\nLookupPrivilegeValue error:%d", GetLastError() );
　return FALSE;
 }
 tp.PrivilegeCount = 1;
 tp.Privileges[0].Luid = luid;
 if (bEnablePrivilege)
　tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
 else
　tp.Privileges[0].Attributes = 0;
 // Enable the privilege or disable all privileges.
 AdjustTokenPrivileges(
　　 hToken,
　　 FALSE,
　　 &tp,
　　 sizeof(TOKEN_PRIVILEGES),
　　 (PTOKEN_PRIVILEGES) NULL,
　　 (PDWORD) NULL);
　// Call GetLastError to determine whether the function succeeded.
 if (GetLastError() != ERROR_SUCCESS)
 {
　printf("AdjustTokenPrivileges failed: %u\n", GetLastError() );
　return FALSE;
 }
 return TRUE;
}
////////////////////////////////////////////////////////////////////////////
BOOL KillPS(DWORD id)
{
 HANDLE hProcess=NULL,hProcessToken=NULL;
 BOOL IsKilled=FALSE,bRet=FALSE;
 __try
 {
 
 if(!OpenProcessToken(GetCurrentProcess(),TOKEN_ALL_ACCESS,&hProcessToken))
　{
　 printf("\nOpen Current Process Token failed:%d",GetLastError());
　 __leave;
　}
　file://printf("\nOpen Current Process Token ok!");
　if(!SetPrivilege(hProcessToken,SE_DEBUG_NAME,TRUE))
　{
　 __leave;
　}
　printf("\nSetPrivilege ok!");
　if((hProcess=OpenProcess(PROCESS_ALL_ACCESS,FALSE,id))==NULL)
　{
　 printf("\nOpen Process %d failed:%d",id,GetLastError());
　 __leave;
　}
　file://printf("\nOpen Process %d ok!",id);
　if(!TerminateProcess(hProcess,1))
　{
　 printf("\nTerminateProcess failed:%d",GetLastError());
　 __leave;
　}
　IsKilled=TRUE;
 }
 __finally
 {
　if(hProcessToken!=NULL) CloseHandle(hProcessToken);
　if(hProcess!=NULL) CloseHandle(hProcess);
 }
 return(IsKilled);
}
////////////////////////////////////////////////////////////////////////////
 OK!服务端的程序已经好了。接下来还需要一个客户端。如果通过在客户端运行的时候，
把killsrv.exe COPY到远程系统上，那么就需要提供两个exe文件给用户，这样显得不是
很专业，呵呵。不如我们就把killsrv.exe的二进制码作为buff保存在客户端吧，这样在
运行的时候，我们直接把buff中的内容写过去，这样提供给用户一个exe文件就可以了。
 Pskill.c的源代码如下：
/**************************************************************************
Module:PsKill.c
Create:2001/4/28
Modify:2001/6/23
Author:ey4s<[email protected]>
Http://www.ey4s.org
PsKill ==>Local and Remote process killer for windows 2k
**************************************************************************/
#include "ps.h"
#define EXE "killsrv.exe"
#define ServiceName "PSKILL"
#pragma comment(lib,"mpr.lib")
//////////////////////////////////////////////////////////////////////////
file://定义全局变量
SERVICE_STATUS　ssStatus;
SC_HANDLE hSCManager=NULL,hSCService=NULL;
BOOL bKilled=FALSE;
char szTarget[52]={0};
//////////////////////////////////////////////////////////////////////////
BOOL ConnIPC(char *,char *,char *);//建立IPC连接函数
BOOL InstallService(DWORD,LPTSTR *);//安装服务函数
BOOL WaitServiceStop();//等待服务停止函数
BOOL RemoveService();//删除服务函数
/////////////////////////////////////////////////////////////////////////
int main(DWORD dwArgc,LPTSTR *lpszArgv)
{
 BOOL bRet=FALSE,bFile=FALSE;
 char tmp[52]={0},RemoteFilePath[128]={0},
　szUser[52]={0},szPass[52]={0};
 HANDLE hFile=NULL;
 DWORD i=0,dwIndex=0,dwWrite,dwSize=sizeof(exebuff);
 file://杀本地进程
 if(dwArgc==2)
 {
　if(KillPS(atoi(lpszArgv[1])))
　 printf("\nLoacl Process %s have beed killed!",lpszArgv[1]);
　else
　 printf("\nLoacl Process %s can't be killed!ErrorCode:%d",
　 lpszArgv[1],GetLastError());
　return 0;
 }
 file://用户输入错误
 else if(dwArgc!=5)
 {
　printf("\nPSKILL ==>Local and Remote Process Killer"
　　"\nPower by ey4s<[email protected]>"
　　"\nhttp://www.ey4s.org　2001/6/23"
　　"\n\nUsage:%s <PID>　　　　　　　　　  <==Killed Local Process"
　　"\n　　　%s <IP> <User> <PWD> <PID>　<==Killed Remote Process\n",
　　lpszArgv[0],lpszArgv[0]);
　return 1;
 }
 file://杀远程机器进程
 strncpy(szTarget,lpszArgv[1],sizeof(szTarget)-1);
 strncpy(szUser,lpszArgv[2],sizeof(szUser)-1);
 strncpy(szPass,lpszArgv[3],sizeof(szPass)-1);
  file://将在目标机器上创建的exe文件的路径
 sprintf(RemoteFilePath,"\\\\%s\\admin$\\system32\\%s",szTarget,EXE);
 __try
 {
　file://与目标建立IPC连接
　if(!ConnIPC(szTarget,szUser,szPass))
　{
　 printf("\nConnect to %s failed:%d",szTarget,GetLastError());
　 return 1;
　}
　printf("\nConnect to %s success!",szTarget);
　 file://在目标机器上创建exe文件
 
 hFile=CreateFile(RemoteFilePath,GENERIC_ALL,FILE_SHARE_READ|FILE_SHARE_WRIT
E,
　　　 NULL,CREATE_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL);
　if(hFile==INVALID_HANDLE_VALUE)
　{
　 printf("\nCreate file %s failed:%d",RemoteFilePath,GetLastError());
　 __leave;
　}
　file://写文件内容
　while(dwSize>dwIndex)
　{
　
 if(!WriteFile(hFile,&exebuff[dwIndex],dwSize-dwIndex,&dwWrite,NULL))
　 {
　　printf("\nWrite file %s
failed:%d",RemoteFilePath,GetLastError());
　　__leave;
　 }
　 dwIndex+=dwWrite;
　}
　file://关闭文件句柄
　CloseHandle(hFile);
　bFile=TRUE;
　file://安装服务
　if(InstallService(dwArgc,lpszArgv))
　{
　 file://等待服务结束
　 if(WaitServiceStop())
　 {
　　 file://printf("\nService was stoped!");
　 }
　 else
　 {
　　 file://printf("\nService can't be stoped.Try to delete it.");
　 }
　 Sleep(500);
　 file://删除服务
　 RemoveService();
　}
 }
 __finally
 {
　file://删除留下的文件
　if(bFile) DeleteFile(RemoteFilePath);
　 file://如果文件句柄没有关闭,关闭之~
　if(hFile!=NULL) CloseHandle(hFile);
　file://Close Service handle
　if(hSCService!=NULL) CloseServiceHandle(hSCService);
　file://Close the Service Control Manager handle
　if(hSCManager!=NULL) CloseServiceHandle(hSCManager);
　file://断开ipc连接
　wsprintf(tmp,"\\\\%s\\ipc$",szTarget);
　WNetCancelConnection2(tmp,CONNECT_UPDATE_PROFILE,TRUE);
　if(bKilled)
　 printf("\nProcess %s on %s have been
killed!\n",lpszArgv[4],lpszArgv[1]);
　else
　 printf("\nProcess %s on %s can't be
killed!\n",lpszArgv[4],lpszArgv[1]);
 }
 return 0;
}

Answer 2

//////////////////////////////////////////////////////////////////////////
BOOL ConnIPC(char *RemoteName,char *User,char *Pass)
{
 NETRESOURCE nr;
 char RN[50]="\\\\";
 strcat(RN,RemoteName);
 strcat(RN,"\\ipc$");
 nr.dwType=RESOURCETYPE_ANY;
 nr.lpLocalName=NULL;
 nr.lpRemoteName=RN;
 nr.lpProvider=NULL;
 if(WNetAddConnection2(&nr,Pass,User,FALSE)==NO_ERROR)
　return TRUE;
 else
　return FALSE;
}
/////////////////////////////////////////////////////////////////////////
BOOL InstallService(DWORD dwArgc,LPTSTR *lpszArgv)
{
 BOOL bRet=FALSE;
 __try
 {
　file://Open Service Control Manager on Local or Remote machine
　hSCManager=OpenSCManager(szTarget,NULL,SC_MANAGER_ALL_ACCESS);
　if(hSCManager==NULL)
　{
　 printf("\nOpen Service Control Manage failed:%d",GetLastError());
　 __leave;
　}
　file://printf("\nOpen Service Control Manage ok!");
　file://Create Service
　hSCService=CreateService(hSCManager,// handle to SCM database
　　　　ServiceName,// name of service to start
　　　　ServiceName,// display name
　　　　SERVICE_ALL_ACCESS,// type of access to service
　　　　SERVICE_WIN32_OWN_PROCESS,// type of service
　　　　SERVICE_AUTO_START,// when to start service
　　　　SERVICE_ERROR_IGNORE,// severity of service
failure
　　　　EXE,// name of binary file
　　　　NULL,// name of load ordering group
　　　　NULL,// tag identifier
　　　　NULL,// array of dependency names
　　　　NULL,// account name
　　　　NULL);// account password
　file://create service failed
　if(hSCService==NULL)
　{
　  file://如果服务已经存在，那么则打开
　 if(GetLastError()==ERROR_SERVICE_EXISTS)
　 {
　　 file://printf("\nService %s Already exists",ServiceName);
　　file://open service
　　hSCService = OpenService(hSCManager, ServiceName,
SERVICE_ALL_ACCESS);
　　if(hSCService==NULL)
　　{
　　 printf("\nOpen Service failed:%d",GetLastError());
　　 __leave;
　　}
　　 file://printf("\nOpen Service %s ok!",ServiceName);
　 }
　 else
　 {
　　printf("\nCreateService failed:%d",GetLastError());
　　__leave;
　 }
　}
　file://create service ok
　else
　{
　  file://printf("\nCreate Service %s ok!",ServiceName);
　}
　　　　// 起动服务
　　　　if ( StartService(hSCService,dwArgc,lpszArgv))　
　　　　{　
　　　　　  file://printf("\nStarting %s.", ServiceName);　
　　　　　  Sleep(20);//时间最好不要超过100ms
　　　　　　 while( QueryServiceStatus(hSCService, &ssStatus ) )　
　　　　　  {　
　　　　　　　  if ( ssStatus.dwCurrentState == SERVICE_START_PENDING)　
　　　　　　　  {　
　　　　　　　　　  printf(".");　
　　　　　　　　　  Sleep(20);　
　　　　　　　  }　
　　　　　　　  else　
　　　　　　　　　  break;　
　　　　　  }　
　　　　　  if ( ssStatus.dwCurrentState != SERVICE_RUNNING )
　　printf("\n%s failed to run:%d",ServiceName,GetLastError());　
　　　　 }　
　else if(GetLastError()==ERROR_SERVICE_ALREADY_RUNNING)
　{
　  file://printf("\nService %s already running.",ServiceName);
　}
　else
　{
　 printf("\nStart Service %s failed:%d",ServiceName,GetLastError());
　 __leave;
　}
　bRet=TRUE;
 }//enf of try
 __finally
 {
　return bRet;
 }
 return bRet;
}
/////////////////////////////////////////////////////////////////////////
BOOL WaitServiceStop(void)
{
 BOOL bRet=FALSE;
 file://printf("\nWait Service stoped");
 while(1)　
 {　
　Sleep(100);
　if(!QueryServiceStatus(hSCService, &ssStatus))
　{
　 printf("\nQueryServiceStatus failed:%d",GetLastError());
　 break;
　}
　if(ssStatus.dwCurrentState==SERVICE_STOPPED)
　{
　 bKilled=TRUE;
　 bRet=TRUE;
　 break;
　}
　if(ssStatus.dwCurrentState==SERVICE_PAUSED)
　{　
　 file://停止服务
　 bRet=ControlService(hSCService,SERVICE_CONTROL_STOP,NULL);
　 break;
　}　
　else　
　{
　  file://printf(".");
　 continue;
　}　
 }
 return bRet;
}
/////////////////////////////////////////////////////////////////////////
BOOL RemoveService(void)
{
 file://Delete Service
 if(!DeleteService(hSCService))
 {
　printf("\nDeleteService failed:%d",GetLastError());
　return FALSE;
 }
 file://printf("\nDelete Service ok!");
 return TRUE;
}
/////////////////////////////////////////////////////////////////////////
 其中ps.h头文件的内容如下：
/////////////////////////////////////////////////////////////////////////
#include <stdio.h>
#include <windows.h>
#include "function.c"
unsigned char exebuff[]="这里存放的是killsrv.exe的二进制码";
/////////////////////////////////////////////////////////////////////////
 以上程序在Windows2000、VC++6.0环境下编译，测试还行。编译好的pskill.exe在偶的主页http://www.ey4s.org有下载。
 其实我们变通一下，改变一下killsrv.exe的内容，例如启动一个cmd.exe什么的，呵呵，这样有了admin权限，并且可以建立IPC连接的时候，不就可以在远程运行命令了吗。
象www.sysinternals.com出的psexec.exe和小榕的ntcmd.exe原理都和这差不多的。
 也许有人会问了，怎么得到程序的二进制码啊？呵呵，随便用一个二进制编辑器，例如
UltraEdit等。但是好像不能把二进制码保存为文本，类似这样"\xAB\x77\xCD"，所以我们就不能直接用了。懒的去找这样的工具了，自己写个简单的吧，代码如下[我够意思吧~_*]：
/****************************************************************************
Module:exe2hex.c
Author:ey4s<[email protected]>
Http://www.ey4s.org
Date:2001/6/23
****************************************************************************/
#include <stdio.h>
#include <windows.h>
int main(int argc,char **argv)
{
 HANDLE hFile;
 DWORD dwSize,dwRead,dwIndex=0,i;
 unsigned char *lpBuff=NULL;
 __try
 {
　if(argc!=2)
　{
　 printf("\nUsage: %s <File>",argv[0]);
　 __leave;
　}
 
 hFile=CreateFile(argv[1],GENERIC_READ,FILE_SHARE_READ,NULL,OPEN_EXISTING,FI
LE_ATTRIBUTE_NORMAL,NULL);
　if(hFile==INVALID_HANDLE_VALUE)
　{
　 printf("\nOpen file %s failed:%d",argv[1],GetLastError());
　 __leave;
　}
　dwSize=GetFileSize(hFile,NULL);
　if(dwSize==INVALID_FILE_SIZE)
　{
　 printf("\nGet file size failed:%d",GetLastError());
　 __leave;
　}
　lpBuff=(unsigned char *)malloc(dwSize);
　if(!lpBuff)
　{
　 printf("\nmalloc failed:%d",GetLastError());
　 __leave;
　}
　while(dwSize>dwIndex)
　{
　 if(!ReadFile(hFile,&lpBuff[dwIndex],dwSize-dwIndex,&dwRead,NULL))
　 {
　　printf("\nRead file failed:%d",GetLastError());
　　__leave;
　 }
　 dwIndex+=dwRead;
　}
　for(i=0;i<dwSize;i++)
　{
　 if((i%16)==0)
　　printf("\"\n\"");
　 printf("\\x%.2X",lpBuff[i]);
　}
 }//end of try
 __finally
 {
　if(lpBuff) free(lpBuff);
　CloseHandle(hFile);
 }
 return 0;
}
 这样运行：exe2hex killsrv.exe，就把killsrv.exe的二进制码打印到屏幕上了，你可以把它重定向到一个txt文件中去，如exe2hex killsrv.exe >killsrv.txt，然后copy
到ps.h中去就OK了。
 OK!搞定，收队！有错误的地方，请各位兄弟来信[email protected]指教，谢谢：)