当打开任务管理器时，选择一个进程并结束进程这个过程，可以详细的分为以下几步：
    1） taskmgr 进程首先获取要结束的进程句柄，通过 OpenProcess()这个下API，OpenProcess 调用在Kernel32.dll 中；
    2）系统捕获API调用，转到Ring0 级下，从 SSDT中取得对应的 RintOpenProcess 的入口地址，执行相应操作，此过程在 ntdll.dll 中；
    3）完成NtOpenProcess 操作后转回Ring3 级下返回 OpenProcess 函数返回taskmgr进程，因此获取了要结束的进程的句柄；
    4）taskmgr 执行 TerminateProcess()这个 Ring3 下的 API，传入进程句试结束进程；
    5）系统捕获API调用，再次转到 Ring0 级下，从SSDT中取得对应的PI：NtTerminateProcess 的入口地址，执行结束进程操作；
    6、完成 NtTerminateProcess 操作后转回 Ring3 级下返回 TerminatePro数，继而返回taskmgr 进程，完成结束进程过程；
    在这一个流程中，SSDT起到了重要的作用。于是针对这一流程可以hook ssdt，改变这处流程的处理，从而达到无论是用taskkill命令还是任务管理器都不能杀死进程的效果

    1. #include <ntddk.h>
    2. #include <ntstatus.h>
    4. // 记录原函数的地址
    5. ULONG uOldNtOpenProcess;
    7. //内核之SSDT-HOOK
    8. //系统服务表
    9. typedef struct _KSYSTEM_SERVICE_TABLE
    10. {
    11.     PULONG ServiceTableBase;       //函数地址表的首地址
    12.     PULONG ServiceCounterTableBase;//函数表中每个函数被调用的次数
    13.     ULONG  NumberOfService;        //服务函数的个数
    14.     ULONG ParamTableBase;          //参数个数表首地址
    15. }KSYSTEM_SERVICE_TABLE, *PKSYSTEM_SERVICE_TABLE;
    17. //服务描述符
    18. typedef struct _KSERVICE_TABLE_DESCRIPTOR
    19. {
    20.     KSYSTEM_SERVICE_TABLE ntoskrnl;//ntoskrnl.exe的服务函数,SSDT
    21.     KSYSTEM_SERVICE_TABLE win32k;  //win32k.sys的服务函数,ShadowSSDT
    22.     KSYSTEM_SERVICE_TABLE notUsed1;//暂时没用1
    23.     KSYSTEM_SERVICE_TABLE notUsed2;//暂时没用2
    24. }KSERVICE_TABLE_DESCRIPTOR, *PKSERVICE_TABLE_DESCRIPTOR;
    26. //定义HOOK的函数的类型
    27. typedef NTSTATUS(NTAPI* FuZwOpenProcess)(
    28.     _Out_ PHANDLE ProcessHandle,
    29.     _In_ ACCESS_MASK DesiredAccess,
    30.     _In_ POBJECT_ATTRIBUTES ObjectAttributes,
    31.     _In_opt_ PCLIENT_ID ClientId
    32.     );
    34. //自写的函数声明
    35. NTSTATUS NTAPI MyZwOpenProcess(
    36.     _Out_ PHANDLE ProcessHandle,
    37.     _In_ ACCESS_MASK DesiredAccess,
    38.     _In_ POBJECT_ATTRIBUTES ObjectAttributes,
    39.     _In_opt_ PCLIENT_ID ClientId
    40. );
    42. // KeServiceDescriptorTable 为 ntoskrnl.exe 所导出的全局变量
    43. extern PKSERVICE_TABLE_DESCRIPTOR KeServiceDescriptorTable;
    45. //记录系统的该函数
    46. FuZwOpenProcess g_OldZwOpenProcess;
    47. //服务描述符表指针
    48. KSERVICE_TABLE_DESCRIPTOR* g_pServiceTable = NULL;
    49. //要保护进程的ID
    50. ULONG g_Pid = 1624;
    52. //安装钩子
    53. NTSTATUS HookNtOpenProcess();
    54. //卸载钩子
    55. NTSTATUS UnHookNtOpenProcess();
    56. //关闭页写入保护
    57. void ShutPageProtect();
    58. //开启页写入保护
    59. void OpenPageProtect();
    61. //卸载驱动
    62. void DriverUnload(DRIVER_OBJECT* obj);
    66. /***驱动入口主函数***/
    67. NTSTATUS DriverEntry(DRIVER_OBJECT* driver, UNICODE_STRING* path)
    68. {
    69.     KdPrint(("驱动启动成功！\n"));
    71.     //安装钩子
    72.     HookNtOpenProcess();
    74.     driver->DriverUnload = DriverUnload;
    75.     return STATUS_SUCCESS;
    76. }
    78. //卸载驱动
    79. void DriverUnload(DRIVER_OBJECT* obj)
    80. {
    81.     //卸载钩子
    82.     UnHookNtOpenProcess();
    84.     KdPrint(("驱动卸载成功！\n"));
    85. }
    88. NTSTATUS HookNtOpenProcess()
    89. {
    90.     NTSTATUS Status;
    92.     Status = STATUS_SUCCESS;
    94.     //1.关闭页只读保护
    95.     ShutPageProtect();
    96.     //2.修改SSDT表
    97.     uOldNtOpenProcess = KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7a];
    98.     KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7a] =(ULONG)MyZwOpenProcess;
    99.     //3.开启页只读保护
    100.     OpenPageProtect();
    101.     return Status;
    103. }
    105. //卸载钩子
    106. NTSTATUS UnHookNtOpenProcess()
    107. {
    108.     NTSTATUS status;
    109.     status = STATUS_SUCCESS;
    111.     //1.关闭页只读保护
    112.     ShutPageProtect();
    113.     //2.写入原来的函数到SSDT表内
    114.     KeServiceDescriptorTable->ntoskrnl.ServiceTableBase[0x7a] = uOldNtOpenProcess;
    115.     //3.开启页只读保护
    116.     OpenPageProtect();
    118.     return status;
    119. }
    121. //关闭页只读保护
    122. void _declspec(naked) ShutPageProtect()
    123. {
    124.     __asm
    125.     {
    126.         push eax;
    127.         mov eax, cr0;
    128.         and eax, ~0x10000;
    129.         mov cr0, eax;
    130.         pop eax;
    131.         ret;
    132.     }
    133. }
    135. //开启页只读保护
    136. void _declspec(naked) OpenPageProtect()
    137. {
    138.     __asm
    139.     {
    140.         push eax;
    141.         mov eax, cr0;
    142.         or eax, 0x10000;
    143.         mov cr0, eax;
    144.         pop eax;
    145.         ret;
    146.     }
    147. }
    149. //自写的函数
    150. NTSTATUS NTAPI MyZwOpenProcess(
    151.     _Out_ PHANDLE ProcessHandle,
    152.     _In_ ACCESS_MASK DesiredAccess,
    153.     _In_ POBJECT_ATTRIBUTES ObjectAttributes,
    154.     _In_opt_ PCLIENT_ID ClientId
    155. )
    156. {
    157.     //当此进程为要保护的进程时
    158.     if (ClientId->UniqueProcess == (HANDLE)g_Pid)
    159.     {
    160.         //设为拒绝访问
    161.         DesiredAccess = 0;
    162.     }
    165.     //调用原函数
    166.     return NtOpenProcess(ProcessHandle,DesiredAccess,ObjectAttributes,ClientId);
    167. }