Windows：從內核終止進程的不同方法

Question

有一個特定的進程我無法直接使用ZwTerminateProcess終止，因為它的驅動程序為所述函數注冊了一個回調來保護自己。

其他方法：

• 注入DLL並調用ExitProcess
• 使用KeAttachProcess附加到其地址空間，然后調用ZwTerminateProcess（導致BSOD IRQL_NOT_LESS_OR_EQUAL）
• MmUnmapViewOfSection（因為程序試圖寫入不可讀的內存而導致BSOD）

進程黑客如何做到這一點？

Answer 1

由於ExpandEnvironmentSettings位於kernel32.dll ，您應該可以使用未記錄的內核例程KeUserModeCallback來調用它，如https://thisissecurity.net/2014/04/08/how-to-run-userland-code-from中所述-the-kernel-on-windows / 。