背景

2023年底，闲来没事想起了xjun师傅2021年发的procexp驱动利用帖子时在群里讨论的，通过procexp驱动突破PPL后注入到csrss进程中，再通过csrss来结束那些个安全防护软件。于是在当时就有了如下成果：

这些弄完之后，觉得通过hook csrss中的CsrCreateProcess来达到主动kill 指定进程并不优雅。于是对360的360FsFlt和360Hvm64进行了分析，并从中找到了他的防护缺陷。导致可以用简单的办法结束ZhuDongFangYu.exe和360try.exe等进程。

ObjectCallback的降权突破

在360FsFlt的回调中，存在一个白名单，而这个白名单为360安装目录下的exe，每当运行后都会记录对应的pid。