HOOK TerminateProcess:

来源：互联网发布：iphone真假辨别软件编辑：程序博客网时间：2024/05/22 05:08

做的那个HOOK TerminateProcess函数的程序终于有点模样了，比较喜欢JMP方式的彻底，所以就用了。

美中不足的就是不能指定要保护的进程，因我在取TerminateProcess的参数时出现了一个怎么也想不通的问题，

同样的一个位置，系统自带的任务管理器和sysinternals的ProcessEXp竟然会有不同的解释，对于此函数来说

[ESP+8]处保存的应该是进程的标识句柄，可用任务管理器执行时这个值确是进程ID，而ProcessEXp在执行时

却是一个莫名其妙的值，所以在指定保护的进程时可以骗过任务管理器，而却骗不了ProcessEXp，似乎我目前

还没有办法，有点郁闷。不管怎样先用再说..

系统的启动速度越来越慢，简直让我无法忍受了。难道它快元寂了?

发现一个比较好用的软件：Vbuzzer，目前已经到了2.0，可以进行PC TO PHONE或PC TO PC式的免费电话交流，

郁闷的是不交银子的话，每个帐户只能打30分钟，难怪我邮箱已经被别人注册了，汗......

界面和MSN相仿，不同的是它能打电话，同样垃圾的是都只能运行一个程序实例，于是...

Open it with OD --> 打上IsDebuggerPresent--> 忽略所有异常 --> BP CreateEventA ---> F9

因为我并没有发现CreateMutexA函数（这点和MSN不同）。

程序退出了，说明有Anti-Debug，仔细分析一下得知在0052BBD8处有一个调用是用来反调试的，地球人应该

都知道怎么做了（nop掉），现在已经成功地Anti-Anti-Debug了（保护还是比较弱的），可以在调试环境下进

入主界面了，但如何单实例运行还不得要领，继续关注....