.386
.model stdcall, flat
option  casemap:none

include kernel32.inc
include user32.inc
include windows.inc
includelib kernel32.lib
includelib user32.lib

.data
szError db '找不到任务管理器',0
szFormat db '%d',0
szBuf db 100 dup (?)

szWndName db 'Windows 任务管理器',0
dwID dd ? ;要 HOOK 的进程ID
lpMemory dd ? ;远程进程代码申请的空间
hProcess dd ? ;远程进程句柄

dwTerminateProcessFunAddr dd 7C801E16h ;TerminateProcess函数的地址

szJmp db 0e9h
dwMyOpenProcessFunAddr dd ? ;Hook OpenProcess 地址

szOldText db 5 dup(0)

dwMyProcessID dd ?

szManagerPath db 'C:\WINDOWS\system32\taskmgr.exe',0

szMyText db 'CIW_BLUE 进程守护',0
szMyCaption db '进程保护',0
.code
include MyCode.asm
start:
invoke WinExec, offset szManagerPath , SW_SHOW
invoke Sleep, 1000

invoke FindWindow, NULL, offset szWndName
invoke GetWindowThreadProcessId, eax, offset dwID

invoke OpenProcess, PROCESS_ALL_ACCESS, FALSE, dwID ;打开进程
mov hProcess, eax ;进程句柄
.if !eax
invoke MessageBox, NULL, offset szError, NULL, MB_OK
invoke ExitProcess, 0
.endif

invoke VirtualAllocEx, hProcess, NULL, offset My_Code_End - offset My_Code_Start, MEM_COMMIT, PAGE_EXECUTE_READWRITE
mov lpMemory, eax ;远程代码的地址

invoke WriteProcessMemory, hProcess, lpMemory, offset My_Code_Start, offset My_Code_End - offset My_Code_Start, NULL

mov eax, lpMemory
mov ecx, offset _MyEntry
sub ecx, offset My_Code_Start
add eax, ecx
sub eax, dwTerminateProcessFunAddr
sub eax, 5
mov dwMyOpenProcessFunAddr, eax ;远程代码的执行地址

;获取当前进程的ID
invoke GetCurrentProcessId
mov dwMyProcessID, eax

;把当前进程的ID写入到远进程中
invoke WriteProcessMemory, hProcess, lpMemory, offset dwMyProcessID, 4, NULL

;修改API后的内容
mov eax, lpMemory 
add eax, 4
invoke WriteProcessMemory, hProcess, eax, offset szJmp, 5, NULL

;修改API前的内容
invoke ReadProcessMemory, hProcess, dwTerminateProcessFunAddr, offset szOldText, 5, 0
mov eax, lpMemory 
add eax, 9
invoke WriteProcessMemory, hProcess, eax, offset szOldText, 5, 0

;修改API的内容
invoke WriteProcessMemory, hProcess, dwTerminateProcessFunAddr, offset szJmp, 5, NULL

invoke MessageBox, NULL, offset szMyText, offset szMyCaption, MB_OK

invoke ExitProcess, 0

end start