KERNEL_APC_PENDING_DURING_EXIT BSOD

Question

Ich setze ein PLOAD_IMAGE_NOTIFY_ROUTINE, um einen bestimmten Image-Namen zu erkennen und wenn es eine Übereinstimmung gibt, dann beende es. Ich bekomme jedoch einen KERNEL_APC_PENDING_DURING_EXIT BSOD. Der BSOD passiert irgendwo in meiner KillProcess-Funktion, die einfach ein Kernel-Handle mit ObOpenObjectByPointer öffnet und dann ZwTerminateProcess für dieses Handle aufruft.

Was könnte falsch sein? Der Code funktioniert gut außerhalb der Routine. Muss ich es posten? Ich erhalte einen BSOD in meinem PLOAD_IMAGE_NOTIFY_ROUTINE, wenn ich KillProcess anrufe.

Hier ist meine Killprocess Funktion:

NTSTATUS KillProcess(HANDLE ProcessId) 
{ 
PEPROCESS Process; 
HANDLE newProcessHandle = NULL; 
NTSTATUS status = PsLookupProcessByProcessId(ProcessId, &Process); 

do 
{ 
    if (!NT_SUCCESS(status)) 
    { 
#ifdef DEBUGPRINT 
     DbgPrint("Process with id %d does not exist\n", ProcessId); 
#endif 
     break; 
    } 

    if (NT_SUCCESS(status = ObOpenObjectByPointer(
     Process, 
     OBJ_KERNEL_HANDLE, 
     NULL, 
     PROCESS_TERMINATE, 
     *PsProcessType, 
     KernelMode, 
     &newProcessHandle 
    ))) 
    { 
     if (newProcessHandle != NULL) 
     { 
      status = ZwTerminateProcess(newProcessHandle, 0); 

      ZwClose(newProcessHandle); 
     } 
     else 
     { 
      ObDereferenceObject(Process); 
      break; 
     } 

     if (NT_SUCCESS(status)) 
     { 
#ifdef DEBUGPRINT 
      DbgPrint("Successfully killed process with id %d\n", ProcessId); 
#endif 
     } 
     else 
     { 
#ifdef DEBUGPRINT 
      DbgPrint("Failed to kill process with id %d\n", ProcessId); 
#endif 
     } 
    } 
    else 
    { 
#ifdef DEBUGPRINT 
     DbgPrint("Failed to open process with id %d\n", ProcessId); 
#endif 
    } 

    ObDereferenceObject(Process); 

} while (FALSE); 

return status; 
} 

Answer 1

Das Problem ist, ich habe versucht, den Prozess in seinem eigenen Kontext zu beenden, die zu einem BSOD führen. Lösung:

1. eine globale Variable erstellen die pid
2. Stellen Sie die globale Variable
3. In einem System-Thread zu halten, überprüfen, ob die globale Variable
4. beenden den Prozess

Answer 2

Die documentation for PsSetLoadImageNotifyRoutine sagt:

Wenn die ausführbare Haupt Bild für eine neu erstellte Prozess geladen wird, wird die Last-Bild benachrichtigen Routine läuft im Rahmen des neuen Prozesses.

(Es scheint auch wahrscheinlich, dass, wenn eine DLL geladen wird, wird der Anruf im Rahmen des Prozesses der DLL-Laden erfolgt.)

Also von den Klängen der es, Sie beenden den Prozess, das Kontext, in dem Sie gerade laufen. Sie tun dies an einem besonders verwundbaren Punkt während eines Callbacks für eine Bildladeoperation. Es ist nicht überraschend, dass dies Probleme verursacht.

Die documentation for ZwTerminateProcess impliziert, dass ein Fahrer kann den aktuellen Prozess beenden, vorausgesetzt, dass sie sicherstellt, dass Mittel aus dem Kernel-Stack befreit worden, aber ich glaube nicht, dass in dieser Situation gilt. (Außerdem weiß ich nicht, wie Sie das machen würden.)

Es könnte stattdessen möglich sein, den Prozess zu unterbrechen und später von einem Systemthread zu beenden.