为什么不能用taskmgr关闭杀毒软件的主程序？
来瞎答一发。 说说这个AV（anti virus）怎样成为hooker的… 首先要注意的是，Windows任务管理器没有任何特殊性，不过是一个集成了一部分系统提供的进程函数的程序… 当你用taskmgr“杀死”一个任务时…它会使用Windows提供的函数TerminateProcess 而这个函数…在一些其它功能之外…真正执行“结束进程”，是通过调用内核中的NtTerminateProcess 作为内核函数…NtTerminateProcess结束进程的方式可谓直接而又粗暴…当内核把一个进程标记为“死亡”，并把它“名下”的资源标记为“已释放”的时候…这个进程就彻底的死亡了… 那么杀毒软件怎么做呢？ 我们也可以看到，只要流程进行到了NtTerminateProcess这一步…几乎就没有了回旋的余地…所以我们必须在消息到达NtTerminateProcess之前将其截获… 但是另一方面的问题是，TerminateProcess并不具有任何特殊权限…大概率地，如果TerminateProcess被大面积屏蔽，只要重新编写一个功能类似的函数就好了… 所以说，追根溯源，要拦截NtTerminateProcess函数（有时会带上这个函数所实际调用的ZwTerminateProcess，不过只是对抗用户态下的结束进程的话意义不大…） （此处更新：NtTerminateProcess与ZwTetminateProcess没有调用关系…是我记错了啦！非常抱歉！） 实际上，为了找到NtTerminateProcess，TerminateProcess查看了系统提供的SSDT，这里面包含了系统提供的内核函数地址… 所以说，通过修改SSDT，把它指向自己的函数，就可以实现hook NtTerminateProcess的功能… 至于原来的NtTerminateProcess的位置…大概只有360自己记得了吧… 那么它是怎么得到修改SSDT权限的呢？ 回忆一下，杀毒安装时是不是向你要来了TrustedInstaller权限？ 在安装过程中…它会向你的电脑安装一个老driver…而Driver…作为和硬件打交道的家伙…是有几乎万能的权限的……（当然，和本机权限无关的事上它不可能万能…比如说它解决不了停机问题…） 听起来很麻烦对吧…实际上…也确实是… 尤其是电脑性能不好的人不要随便研究…不能开虚拟机的话…自己电脑蓝瓶的钙了就不好玩了…… 然后，好消息是…微软大概也觉得这玩法动不动就蓝屏，太让人头疼… 于是在x64的系统中锁死了SSDT不让自己乱动… 如果要做类似这种功能…微软提供了接口ObRegisterCallbacks用来hook SSDT… 这样就简单多了… 虽说还是比平时在用户态写程序麻烦多了… 另外。友情提示。 除非你可以使得每一个用户手动通过复杂的流程关闭“驱动程序强制签名”… 否则的话…你可能要准备为你的程序付出250美元接生费用，通过微软的严苛的测试取得一个签名来证明你的程序能够在Windows平台下稳定运行不会引起崩溃… 以上。 —————————————————————— 密封线内……反正我也已经答题了… —————————————————————— 11.12  03:59更新 初步判断360在Win10 x64的保护机制应该不会有太多黑科技 刚刚试了一下（卸载迈克菲，安装360…），通过直接调用内核函数ZwTerminateProcess可以关掉360sd.exe和360tray.exe （虽说加载驱动的时候360连续弹窗阻止就是了…） 然后那个快过免费试用期限的Mcafee在卸载前也测试了一下 mcshield.exe也是可以这么杀死的，但是会瞬间被隔壁进程救起来…我也懒得找是谁救的了，只是看到PID瞬间变化… 不过如果用监视进程创建与销毁的函数PsSetCreateProcessNotifyRoutineEx不让它重新启动的话是可以成功的 更加神奇的事情是mcafee不拦截注册表里IFEO项目的修改，所以说我们也可以用这种方法直接从用户层而非内核层阻止它的复活… （IFEO是微软提供的为进程提供特殊运行环境的功能，通过修改IFEO中的特定内容（多为debugger）可以为程序指定运行环境…自然也可以阻止程序的运行或者替代成其它程序…） 然后就是那个…在本地可以通过bcdedit.exe /set nointegritychecks on来禁用强制检查的…如果失败的话可能是主板里Secure Boot的锅，暂时关一下就好… 再下一条…我要郑重地向大家道歉…就是…额…WHQL的收费似乎是我弄错了…感谢评论区的指正…刚刚参考了一下wiki的说法说是这笔收费早就取消了… 晚上寝室断电了…明天上课时我会去试着申请一下的… 最后…差点忘了… 上述测试内容均在Windows10家庭中文版 版本1809 内部版本号17763.104下完成。 （突然感觉自己最近给自己安排的锅好多…我周末的考试不会要凉吧…但是有好玩的事不弄明白真的好难受啊…） ———————————————————————— 来电了… 需要有来自特定根的证书啊… 好贵… 买不起…告辞…