进程/线程/DLL
创建进程 NtCreateProcess
墨衍会员 · AI 创作全网分发 墨衍智能分发 通过墨衍一键同步至各平台 可同步平台 CSDN微信公众号微博知乎掘金百家号博客园抖音小红书 你的文章也可以这样分发 墨衍会员 ¥399起/年，写一次发全网
我也要 关注 + 加入社区创建进程有很多方法, CreateProcess, ShellExecute...
但是这些最终是调用 NtCreateProcess(ZwCreateProcess)这个函数来创建的
除了NtCreateProcess 是否还有其他哪些函数可以创建进程?
今天打开一个网站, 遇到病毒, 我用OllyDBG 调试IE, 在ZwCreateProcess加上断点(还有其他函数), 打开这个网址,
然后IE就创建了一个进程, 但是断点并没有断下来! 我的系统是XP+sp2
网址是: (注意该网址脚本有恶意代码, 会中毒)
http://cache.baidu.com/c?m=9d78d513d9d437ae4f9ce3697c62c0161c4380122ba7db020ea2843e92732b45506793ac57210770d9d13b275fa0131aacb22173441e3de2c897df0bcabbe57f73df6123706bd71c4dc419d89a1a389260d601b8f14efac9f03393acd0d4dd5550ce51077997f0fc00464b94&p=9267ca1fca904eaf0dbd9b7455&user=baidu
后来我用虚拟机打开这个网址, 加断点, 虚拟机中会断下来
会运行"C:\WINDOWS\system32\cmd.exe" /c C:\WINDOWS\~tmp8200.exe 但是这是另外一个exe, 与普通机器不同
问题:
1. 除了NtCreateProcess 是否还有其他哪些函数可以创建进程?
2. 有兴趣的话帮我分析htm代码, 看恶意代码在哪?
3. 这个网址在IE是如何创建进程(不是虚拟机的那种)?
但是这些最终是调用 NtCreateProcess(ZwCreateProcess)这个函数来创建的
除了NtCreateProcess 是否还有其他哪些函数可以创建进程?
今天打开一个网站, 遇到病毒, 我用OllyDBG 调试IE, 在ZwCreateProcess加上断点(还有其他函数), 打开这个网址,
然后IE就创建了一个进程, 但是断点并没有断下来! 我的系统是XP+sp2
网址是: (注意该网址脚本有恶意代码, 会中毒)
http://cache.baidu.com/c?m=9d78d513d9d437ae4f9ce3697c62c0161c4380122ba7db020ea2843e92732b45506793ac57210770d9d13b275fa0131aacb22173441e3de2c897df0bcabbe57f73df6123706bd71c4dc419d89a1a389260d601b8f14efac9f03393acd0d4dd5550ce51077997f0fc00464b94&p=9267ca1fca904eaf0dbd9b7455&user=baidu
后来我用虚拟机打开这个网址, 加断点, 虚拟机中会断下来
会运行"C:\WINDOWS\system32\cmd.exe" /c C:\WINDOWS\~tmp8200.exe 但是这是另外一个exe, 与普通机器不同
问题:
1. 除了NtCreateProcess 是否还有其他哪些函数可以创建进程?
2. 有兴趣的话帮我分析htm代码, 看恶意代码在哪?
3. 这个网址在IE是如何创建进程(不是虚拟机的那种)?
...全文
