Ring3下的冰刃

Question

这段时间比较无聊,结合了以前发表的文章"VB 枚举隐藏进程","Ring3下解锁文件"等文章写了一个Ring3下的进程管理器功能和冰刃的部分功能相似,目前软件只是一个皱形,目前阶段完成了枚举隐藏进程,枚举线程,枚举模块,强制结束进程(目前支持XP),强制结束进程2(目前支持XP自己实现的PspTerminateProcess),强制卸载模块,强制结束线程(目前只支持XP,可以干掉提System Thread的进程),所说的这些功能现在都还不是很稳定在有的机器上运行可能失败严重的还会引起蓝铭(因为操作了内核空间).近期准备增加功能:
尽量能做到IS有的功能我都提供,争取打造一个RING3版的IS.
1,增加内存读写
2,内核模块枚举
3,服务枚举
4,SSDT恢复
5,端口扫描
6,文件解锁(USB设备解锁)
尽量做到全Ring3下实现不使用驱动.目前程序在XP SP2下运行比较稳定,可以轻松干掉一些顽固进程,甚至是冰刃也可以轻松干掉(可以选择强制结束进程的方式和线程结束方式).对付提升System Thread的程序也可以轻松干掉.如果对此程序有兴趣想一起研究讨论的请加我QQ 335429

Answer 1

  切  那个东西的作者 水平实在不敢恭维  ......  
那里面获取个导出SSDT地址  用了VC的DLL  又用SYS  搞的还挺专业  就是效果不怎么样.........
本身就没什么价值的东西    代码还烂成那样(有兴趣的可以去享受享受!)  下下来看了一眼 直接删了 =.=!...

Answer 2

简单说点东西首先声明的是：我拿到的版本是无驱的。一些个人的看法就是。。不要总是指望PspTerminateProcess，这个函数其实什么事都顶不了，还不如恢复NtTerminateProcess的inline hook来得好。 非得要用PspTerminateProcess也应该是自己搜索PspTerminateThreadByPointer（但是要注意参数个数问题）然后自己实现一个PspTerminateProcess而不是直接搜索PspTerminateProcess，直接搜索PspTerminateProcess意义不大。枚举钩子倒是个有趣的活儿 ：D   gSharedXXXX吧 说话太多对身体不好。。第一次来csdn就碰到IORI915189这样的人
xxxxxxx    今天rp糟透了。btw：看起来IORI915189就是xacker了哈哈

Answer 3

汗看了那个葡萄才知道xacker说的不是lz  -_-!!

Answer 4

........
知道就好  嘿嘿
小弟自己很菜  所以从不轻易说别人什么  不过那个什么"葡萄" 实在是......    
既然提到了 顺便说一下LZ的 "RING3下的冰刃"  
其实也是N年前的东西了 VC DLL钩NtVdmControl进Ring0
感觉和用驱动没什么区别.........  其实用PspTerminateThreadByPointer 和用PspTerminateProcess是一样的 
自己实现PspTerminateThreadByPointer 才是王道.... 不过好象都很麻烦 =.*! 还是OpenProcess来的简单....

Answer 5

实现PspTerminateThreadByPointer跟强制杀线程就没区别了 =。=！PspTerminateThreadByPointer和PspTerminateProcess的区别体现在定位上，PspTerminateProcess没有可靠的方法。

Answer 6

哎~~今天用驱动试了枚举进程，竟然在2003sp1下要蓝屏不知道为什么，是不是2003sp1在内核下也有限制？？

Answer 7

btw: chenhui你的那个process manager检测不到pid modify(pid改成1)  估计是过滤的bug。

Answer 8

是的啊
昨天才发现2003sp1偏移量变了
现在正在测试sp2检测不到更改pid为1的情况，我去查查，这个pid特殊~~