的Windows：不同的方法來從內核

Question

終止一個進程

有這一個特定方法直接，因爲它的驅動程序註冊一個回調函數說保護自己，我不能ZwTerminateProcess終止。

其他方法：

• 注入DLL，並調用了ExitProcess
• 附加與KeAttachProcess然後調用ZwTerminateProcess其地址空間（導致BSOD IRQL_NOT_LESS_OR_EQUAL）
• MmUnmapViewOfSection（導致藍屏死機，因爲程序試圖寫入不可讀的內存）

過程黑客如何做到這一點？

Answer 1

由於ExpandEnvironmentSettings是kernel32.dll，你應該能夠調用它使用無證內核例程KeUserModeCallback，如https://thisissecurity.net/2014/04/08/how-to-run-userland-code-from-the-kernel-on-windows/描述。