【基于WIN杀死进程的设计技术研究】 linux杀死进程
摘要：通过Windows提供的API函数来枚举和杀死系统所存在的进程，对于无法在用户态杀死的进程进行研究和设计，实现了通过内核驱动程序来实现杀死的功能。 关键词：windows 杀死 进程
中图分类号：TP316 文献标识码：A 文章编号：1007-9416(2012)01-0077-01
1、引言
在Windows下枚举进程是十分简单的事情，可以直接调用Windows提供的API函数，但是要注意的是所用的API函数对于不同的Win32操作系统有依赖性。在Windows 9x、Windows Me、Windows 2000 Professional 以及Windows XP中，我们可以用ToolHelp32库中的APIs函数。但是在Windows NT里，我们必须用PSAPI库中的APIs函数。
2、枚举进程
使用ToolHelp32函数的第一步是用 CreateToolhelp32Snapshot()函数创建系统信息“快照”。这个函数可以让你选择存储在快照中的信息类型。如果你只是对进程信息感兴趣，那么只要包含TH32CS_SNAPPROCESS标志即可。CreateToolhelp32Snapshot()函数返回一个HANDLE，完成调用之后，必须将此HANDLE传给CloseHandle()[1]。接下来是调用一次 Process32First函数，从快照中获取进程列表，然后重复调用 Process32Next，直到函数返回FALSE为止。这样将遍历快照中进程列表。这两个函数都带两个参数，它们分别是快照句柄和一个PROCESSENTRY32结构。
3、杀死进程
进程由两部分构成：一个是进程的内核对象，另一个是地址空间。一个进程的完全终止就是使该进程的内核对象的使用计数变为零，释放其占用的地址空间。我们采用系统中提供的在另一个进程中的线程调用TerminateProcess()的方法，即通过调用TerminateProcess()来结束其他进程，具体实现方式为如下：首先，通过函数OpenProcess()获取进程的句柄，然后通过函数GetExitCodeProcess（）获取退出码，然后通过TerminateProcess(）强制杀死进程。杀死一般的进程可以，但是要是杀死内核态的进程就不可以了。这个需要提升本进程的权限，SE_DEBUG_NAME，这些需要通过OpenProcessToken（），LookupPrivilegeValue（），AdjustTokenPrivileges（）等函数来完成[2]。本次设中采取了OpenProcessToken（）来提升进程的权限。
以上实现进程的枚举和终止，但有些进程依然无法杀死，比如说卡巴斯基以及360安全卫士。接下来具体分析为什么卡巴不能够被杀死。
4、杀死卡巴斯基
卡巴斯基为了实现其主动防御的功能，hook了很多内核函数，其中有两个很关键：NtOpenProcess(),NtTerminateProcess（），在应用程序中要杀死某个进程的话，首先系统会给卡巴发消息，此时卡巴判断是不是要杀死它自己，若是，则禁止，若不是，则返回，继续执行杀死进程的过程。所以要杀死卡巴，必须恢复那些被卡巴hook的函数，但也不是所有被hook的函数都要回复，只需恢复NtOpenProcess(),NtTerminateProcess()[3]即可。在编写的驱动程序中我们只需把以上两个函数的服务地址回到其相应的原始服务函数地址即可：
*((ULONG*)OpenProcessAddr) = 0x805cc408;
*((ULONG*)TerminateProcessAddr) = 0x805d39aa;
这两个常数是在冰刃软件上查取的。在这样处理后，卡巴就不能hook这两个函数了，也就是能够杀死卡巴了。
5、驱动的装载设计
关于驱动的装载是通过写一个service，通过LoadDriver()来装载程序，这段代码也放在用户态程序中。
LoadDriver()
{HANDLE hDriver = INVALID_HANDLE_VALUE;
SC_HANDLE hSCManager = OpenSCManager( NULL, NULL,SC_MANAGER_CREATE_SERVICE );
if ( NULL != hSCManager )
{SC_HANDLE hService = CreateService( hSCManager, _T("SSDT"),_T("SSDT"),
……
if ( ERROR_SERVICE_EXISTS == GetLastError() )
{hService = OpenService( hSCManager, _T("SSDT"), SERVICE_START );
}
……
6、结语
基于WIN杀死进程的设计并实现了在用户态无法杀死的进程，通过内核驱动程序来实现杀死的方法，能够实现进程防杀。基于Windows内核驱动杀死进程系统具有良好的可重用性，因此调试系统的改进和升级相当方便，在常规的Windows XP平台上就可以实现对杀死进程设计的调试。
参考文献
[1](美)Johnson M.Hart.Windows System Programming (3rd Edition)(M).机械工业出版社,2006.1.
[2](美)所罗门(Solomon,D.A.),(美)罗斯(Russinovich,M.E.).Microsoft Windows InternalsM)(M).电子工业出版社,2007.4.
[3]（美）霍格兰德（Hoglund,G.）（美）巴特勒（Butler,J.）. ROOTKITS――Windows内核的安全防护(M).清华大学出版社,2007.4.
作者简介
1.陈平（1982-），男，汉族，甘肃平凉人，济源职业技术学院助教，在读硕士，研究方向为嵌入式应用技术。
2.高春庚(1982-)，男，汉族，济源职业技术学院助教，研究生，研究方向操作系统应用技术。