羊哥怎么关闭嵌入系统进程并且正在使用的DLL的句柄？

[xindeyitian888]

Process Explorer
查找-搜索这个DLL，但右键无关闭句柄项目
查看句柄-看不懂是哪个

[Forever_Young]

不是每个DLL都会出现句柄占用的情况,可以说正常的没有，少数根据打开方式的不同才会占用，木马为了防止被删除所以就把句柄复制到系统进程下，你删除文件时就会删不掉，process explorer里面搜出的结果标识为handle，你可以尝试剪切粘贴的方法来挪动位置以达到删除的目的

[Forever_Young]

[Quote=引用 2 楼 keeley20 的回复:]
我是来看羊哥的专业粉丝的 (*^__^*)

顺便说下，其实很多安全辅助工具如Wsyscheck，冰刃等，都可强行卸载正在被使用的DLL。
[/Quote]

极少数DLL可以强行卸载，绝大多数你强行卸载跟死机没两样，所以这种强行卸载的功能毫无实用价值，而且在我试着写这种代码的时候还发现一个问题，某些型号的声卡会因为设备句柄被占用，造成突然没声音了。

[Forever_Young]

我比较崇拜process explorer的原因就是它强而不悍，我想没人会怀疑作者有写出注入然后close代码的能力，但是确实没什么大用，当一款软件某一功能在处理一个错误时带来新的问题，那这种功能不写出来更好，就像现在一些杀毒软件的IE首页锁定的功能一样好笑，医生不忙于治病，却把病人蜡黄的脸色用脂粉来装扮一番。

[keeley20]

[Quote=引用 3 楼 forever_young 的回复:]
极少数DLL可以强行卸载，绝大多数你强行卸载跟死机没两样，所以这种强行卸载的功能毫无实用价值，而且在我试着写这种代码的时候还发现一个问题，某些型号的声卡会因为设备句柄被占用，造成突然没声音了。
[/Quote]

所谓“安全辅助工具如Wsyscheck，冰刃”基本就是检查病毒木马之类的，而病毒木马正好属于羊哥说的“极少数DLL”。

[Forever_Young]

[Quote=引用 5 楼 keeley20 的回复:]
引用 3 楼 forever_young 的回复:
极少数DLL可以强行卸载，绝大多数你强行卸载跟死机没两样，所以这种强行卸载的功能毫无实用价值，而且在我试着写这种代码的时候还发现一个问题，某些型号的声卡会因为设备句柄被占用，造成突然没声音了。


所谓“安全辅助工具如Wsyscheck，冰刃”基本就是检查病毒木马之类的，而病毒木马正好属于羊哥说的“极少数DLL”。
[/Quote]

我个人的看法是不赞成使用这种暴力删除的办法，而且说是暴力实际上很多情况下也是无能为力的，如果这个DLL处于某个svchost或者winlogon之下，那就是玉石俱焚，实际解决不了问题，转个弯我们想想实际上挪动这个文件然后扼制它的启动更实在些，归根结底是不让它启动为上上策，特别是现在的木马病毒也不是傻子，决不会单枪匹马的出来混，如果删除其中一个造成系统重启，重启后很快会发现它又重生了。我还算是手动处理过不少木马病毒的，各种欺骗手段那是万紫千红令郎满目，确实受用不少，但我从未使用过什么暴力删除，因为多数时都是远程协助人家，一旦系统奔溃白忙活一场保不准还惹人骂。按部就班的处理还是更靠谱些。

[keeley20]

据我的认识，DLL型的木马或者说是病毒，一般都是些写系统服务或者被加载Rundll32加载，
不论上面那种方式，基本都会生成新的进程，Svchost.exe或者Rundll32.exe,既然是新生成
的独立进程，卸载其中的DLL，或者直接结束进程，根本不会影响系统当前的现状，更别说重启
或者崩溃的了，就算是CreateRemoteThread到其他进程，这个DLL也是可以直接卸载的。

典型的DLl型木马 PCshare，Gh0st,IRat,前两个是VC写的，后面的是Delphi的，都是注册Svchost服务，
羊哥有兴趣可以在虚拟机里面测试看看。

O(∩_∩)O 打字好累，此贴不回了。

[keeley20]

我是来看羊哥的专业粉丝的 (*^__^*)

顺便说下，其实很多安全辅助工具如Wsyscheck，冰刃等，都可强行卸载正在被使用的DLL。