为什么进程保护无效了？

来源：百度知道 编辑：UC知道 时间：2024/06/08 09:20:24
我用了各种进程保护，不让他被关闭，结果总是被病毒给关了，怎么办，就算让他保护个普通文件，在进程里手动关掉他也不防，这怎么办，完全不防御设置他有什么用啊，以前好好的，现在怎么保护不了了？？
我说的是要给进程上保护，他老被别的程序关了，我用瑞星什么的防不住，什么哑巴的连一点用都没有，就是安过一次卡巴司机就这样了，卡巴已经删了，瑞星重装过了，可是就是不能保护进程了。怎么回师？

IceSword的驱动对其自身进程做了保护，使恶意程序终止不了他。IceSword没有用HOOK SSDT的方法，不过也没用什么太BT的方法，而是Inline Hook了NtOpenProcess、NtTerminateProcess几个函数，即修改函数前5个字节，jmp到他自定义处理函数例程里。

终止采用这类保护方法的进程，可以使用暴力的PspTerminateProcess方法，PspTerminateProcess函数未导出，需要我们自己穷举特征码搜索来定位，或者硬编码之。当然，我们还可以恢复IceSword的Inline hook，还原被IceSword挂钩过的NtOpenProcess、NtTerminateProcess函数，然后在用户态上使用普通的终止进程的方法就可以终止他了。这里给出了第二中方法的具体代码，不过由于此篇文章出于科普目的，代码就写得马虎点了，仅适用于Windows XP，因为取SSDT对应的函数索引号用的硬编码，说明问题而已。NtTerminateProcess未导出，大家可以自己改成通过读取ntdll.dll动态通用的获得索引号的方法，方法网上有公开，需要的人就自己动点手吧，呵呵~

重装系统，安装我推荐的杀毒软件。

百度又不让我发言了，猪 是 怎 么 死 的 ？