KProcTerminator

概述

本仓库“KProcTerminator”包含一个 Windows 内核驱动程序，用于终止系统中的特定进程。它旨在通过 kdmapper 加载，kdmapper 是一种已知工具，可在没有签名驱动的情况下将未签名驱动加载到 Windows 内核空间。

KProcTerminator 示意图

警告

⚠️ 此驱动可以终止系统进程，可能导致系统不稳定或崩溃。

功能

• 按名称终止指定进程。
• 持续监控并终止目标进程。
• 利用原生 Windows 内核 API 进行进程管理。

前提条件

• 64 位 Windows 环境。
• 系统管理员权限。
• 了解 Windows 内核模式操作。
• 用于加载未签名内核驱动的 kdmapper 或类似工具。

编译

使用 Microsoft Visual Studio 和 Windows Driver Kit (WDK) 编译该驱动。

使用方法

1. 驱动加载：使用 kdmapper 或类似工具，以管理员权限将驱动加载到内核中。
2. 运行：加载后，它将监控并终止以下进程：
   • EPProtectedService.exe
   • EPIntegrationService.exe
   • EPSecurityService.exe
3. 监控：该驱动静默运行。请检查系统日志以了解其活动。
4. 卸载：该驱动不支持卸载；请重启系统以使其停止运行。

自定义

通过修改 DriverEntry 函数，可将该驱动改为针对不同进程。修改后需重新编译。