WIN10 HOOK OpenProcess 成功后，为什么explorer依然可以结束进程

waitforjjkk 2019-09-06 05:34:36

dll成功注入explorer了，explorer结束进程也调用了MyOpenProcess,虽然MyOpenProccess返回的是NULL,可explorer依然能结束进程，为什么？

...全文

340 2 打赏收藏转发到动态举报

写回复

2 条回复

切换为时间正序

请发表友善的回复…

发表回复

zwfgdlc 2019-09-06

打赏
举报

回复

理解错了,你想防止explorer.exe被结束,不是HOOK 进程自身的OpenProcess, 而是HOOK其他想结束explorer.exe的进程的OpenProcess,比如任务管理器

Eleven 2019-09-06

打赏
举报

回复

explorer结束进程？确定不是通过任务管理器结束进程？

本文针对2000以上系统介绍了4种进程隐藏方法。包括DLL挂靠法，挂靠Explorer.exe或WinLogon.exe；API Hook法，Hook OpenProcess保证进程安全；NT内核修改法，修改NT系统内核对象链表；远程线程法，将代码注入进程空间。还给出了部分方法的示例及代码。

本文深入剖析Windows远程线程注入在真实攻防场景中失败的四大核心层级：用户态API层（CreateRemoteThread仅封装请求）、内核对象管理层（进程保护级别与作业对象校验）、线程初始化层（PspCallThreadCreationNotify与内存页保护）、EDR/AV Hook层（NtCreateThreadEx影子拦截）。重点揭示ASLR碰撞、Thread Isolation、CFG验证、WDAC UMCI等系统级防护机制如何导致静默失败，并提供直调NtCreateThreadEx、内存自适应分配、三阶段行为降噪等实战绕过方案。

本文系统阐述Rust在恶意软件开发中的实战应用，涵盖环境伪装、进程镂空、动态API解析、字符串混淆、沙箱逃逸、跨平台持久化、隐蔽C2通信、反射式DLL加载、直接系统调用绕过及免杀测试等10项关键技术。重点聚焦Rust内存安全特性如何提升载荷稳定性，以及其零成本抽象和交叉编译能力对红队工具链的赋能。所有内容严格限定于授权安全研究与防御能力建设范畴。

本文深入探讨Windows平台下安全卸载已加载DLL的实践方案，重点分析FreeLibrary远程调用的局限性（如ASLR、CFG、TLS回调、引用计数等风险），提出基于状态检查、模块精确定位、权限控制与错误码诊断的健壮卸载流程，并涵盖CreateRemoteThread实现细节、常见错误（错误码5/87/1114）排查及位数匹配等关键要点，强调安全性与适用边界。

本文详解如何利用Python构建可绕过EDR/AV检测的Shellcode加载器，涵盖静态与动态对抗原理、字符串/API混淆、内存权限分离、AES加密与密钥分离、NT API调用、APC注入及Shellcode分块加载等关键技术。重点聚焦Windows API底层调用、Python内存操作特性及安全软件三层次检测（静态、行为、内存扫描）的规避策略，适用于授权红蓝对抗与安全研究场景。

进程/线程/DLL

15,465

社区成员

49,169

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章