开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

为什么在尝试绕过winapi时进程会崩溃？

在尝试绕过WinAPI时，进程可能会崩溃的原因有以下几点：

安全性限制：WinAPI是Windows操作系统提供的一组函数和接口，用于管理系统资源和执行各种操作。这些API函数经过严格的安全性设计和验证，以确保系统的稳定性和安全性。当尝试绕过WinAPI时，可能会绕过这些安全性限制，导致进程崩溃。
内存访问错误：WinAPI函数在执行过程中会涉及到对内存的读写操作，包括参数传递、数据拷贝等。如果在绕过WinAPI时没有正确处理内存访问，可能会导致内存错误，进而引发进程崩溃。
依赖关系破坏：许多应用程序依赖于特定的WinAPI函数或接口来实现其功能。当尝试绕过WinAPI时，可能会破坏应用程序与系统之间的依赖关系，导致应用程序无法正常运行，进而崩溃。
兼容性问题：WinAPI是Windows操作系统的核心组成部分，不同版本的Windows操作系统可能会有不同的API函数和接口。当尝试绕过WinAPI时，可能会遇到兼容性问题，导致进程在特定的操作系统版本上崩溃。

总之，绕过WinAPI可能会破坏系统的安全性、稳定性和兼容性，导致进程崩溃。因此，在开发过程中，建议遵循操作系统提供的API函数和接口，以确保应用程序的正常运行和稳定性。

腾讯云相关产品和产品介绍链接地址：

腾讯云云服务器（CVM）：https://cloud.tencent.com/product/cvm
腾讯云容器服务（TKE）：https://cloud.tencent.com/product/tke
腾讯云数据库（TencentDB）：https://cloud.tencent.com/product/cdb
腾讯云人工智能（AI）：https://cloud.tencent.com/product/ai
腾讯云物联网（IoT）：https://cloud.tencent.com/product/iotexplorer
腾讯云移动开发（移动推送、移动分析）：https://cloud.tencent.com/product/mps
腾讯云对象存储（COS）：https://cloud.tencent.com/product/cos
腾讯云区块链（BCS）：https://cloud.tencent.com/product/bcs
腾讯云游戏多媒体引擎（GME）：https://cloud.tencent.com/product/gme
腾讯云视频直播（CSS）：https://cloud.tencent.com/product/css

相关搜索:Python进程在尝试拟合CatBoost模型时崩溃为什么添加属性时CoreData会崩溃？在进行任何输入之前尝试转换readline时，会立即崩溃尝试使用套接字传输数据时，PyQt会崩溃为什么在使用KivyMD模块时应用程序会崩溃？为什么在执行给定任务时，子进程会失败？为什么在我的python函数中'elif‘会绕过'if’尝试生成同一进程的多个进程时崩溃(访问冲突错误)Composer在尝试解析依赖项时崩溃在尝试绕过pysvn时，是否可以使用子进程函数在shell脚本中编写svn调用？为什么当我尝试显示我的位置时，我会崩溃？当我尝试添加AdMob时，为什么我的清单崩溃？为什么下面的R命令在我尝试访问新对象时崩溃 Android studio在尝试打开现有项目时崩溃为什么在将Apache Arrow用于字符串类型时，pySpark会崩溃？为什么在discord.net中删除消息会崩溃为什么在ResampleImageFilter执行过程中SimpleITK会崩溃？声明sf::SoundBuffer会导致程序在终止时崩溃当我尝试运行docker镜像时，为什么会引发“来自守护进程的错误响应”？为什么我的应用程序在尝试从Firebase检索数据时崩溃？

相关搜索:

页面内容是否对你有帮助？

有帮助

没帮助

相关·内容

Shellcode 技术

转载：https://vanmieghem.io/blueprint-for-evading-edr-in-2022/

02

如何使用LightsOut生成经过混淆处理的DLL

LightsOut是一款功能强大的DLL生成工具，该工具可以帮助广大研究人员轻松生成经过混淆处理的DLL。该工具专为红队研究人员设计，生成的DLL可以在研究人员尝试绕过反病毒产品时禁用AMSI和ETW，从而更好地测试目标系统的安全性。

01

“兵不厌诈”？漏洞还是那些漏洞，攻击技术却层出不穷

如今每天都能发现超过55万个新的恶意软件样本，企业如何避免系统漏洞暴露在这些网络威胁中成为了工作中的重中之重。尽管如此，许多人仍然让自己暴露在了风险之中。

03

红队技巧：绕过ESET_NOD32抓取密码

聊一聊绕过ESET_NOD32抓取密码的方法，这里的ESET_NOD32指的是ESET_NOD32 File Security For Microsoft windows server，测试版本如下：

04

消息钩子的反拦截

首先声明一下，标题所指的钩子是消息钩子，而不是API钩子（一种对API地址的替换技术）。若标题使您误解，请不要继续阅读。消息钩子在Windows编程中有着非常广泛的应用，它可以任意拦截Windows系统，这个以消息为驱动的系统中的绝大多数消息类型。一方面这给编程者带来了巨大的灵活性，另一方面也埋下了巨大隐患，大多数窃密软件都使用这种方法。此篇文章给您提供一种钩子的反拦截方法，希望对您有所帮助。文章中使用了API钩子，您之前必须对此技术有一定了解。为求完整，文章分为两部分，第一部分为消息钩子的使用，熟悉此技术的读者可以直接跳过此节。第二部分为消息钩子的反拦截。一、消息钩子的使用。消息钩子分为本地（local）和远程（remote）两种（两个local system-wide hook例外，无关主题，不多说了）。local类型的钩子函数只能拦截本进程的消息。能够拦截本进程以外的消息的钩子，都是remote类型。remote类型的钩子必须放在DLL里面。下面以remote类型为例，通过安装键盘钩子介绍其使用。 1、首先建立DLL，在头文件中添加如下代码。 #ifdef KM_EXPORTS #define KM_API __declspec(dllexport) #else #define KM_API __declspec(dllimport) #endif KM_API BOOL HookStart();//安装钩子 KM_API BOOL HookStop();//卸载钩子 2、在.cpp文件中添加代码 #pragma data_seg(“Shared”) HHOOK g_hhookKey=NULL; #pragma data_seg() #pragma comment(linker,”/SECTION:Shared,RWS”) g_hhookKey为键盘钩子的句柄，为确保此数值在所有实例中均保持不变，将其存放于此模块所有实例的共享数据区，若在exe程序中按此格式添加一int 变量 appNum，在程序启动时appNum++，则可以通过访问此变量的数值，确定有多少个exe的实例，当然这种方法也可以替代同步对象用于只启动一个实例。 HINSTANCE g_hinstDll=NULL; //添加全局变量用于记录此DLL模块的句柄 BOOL APIENTRY DllMain( HANDLE hModule, DWORD ul_reason_for_call, LPVOID lpReserved ) { switch (ul_reason_for_call) { case DLL_PROCESS_ATTACH: g_hinstDll=(HINSTANCE)hModule;//在DLL加载时对全局变量赋值 ……………… } } LRESULT KeyHookProc(int nCode,WPARAM wParam,LPARAM lParam)//键盘钩子的过滤函数 { ………………… return::CallNextHookEx(g_hhookKey,nCode,wParam,lParam);//*****请留意此行代码***** } BOOL HookStart()//安装钩子 { g_hhookKey=::SetWindowsHookEx(WH_KEYBOARD,(HOOKPROC)KeyHookProc,g_hinstDll, ::GetWindowThreadProcessId(::FindWindow(NULL,”被监视的窗口的标题“),NULL) ); return (g_hhookKey!=NULL); } BOOL HookStop()//卸载钩子 { BOOL ret; if(g_hhookKey!=NULL) ret=::UnhookWindowsHookEx(g_hhookKey);

03

分析两种Dump(崩溃日志)文件生成的方法及比较

做windows产品开发的，永远绕不开一个问题——程序崩溃。如果希望不断提升产品质量，就得不停的收集和分析崩溃日志。但是我们会发现一个问题，我们经常采用的方案无法拦截崩溃。（转载请指明出于breaksoftware的csdn博客）比如会出现如下提示：

02

Windows 反消息钩子（1）

消息钩子在Windows编程中有着非常广泛的应用，它可以任意拦截Windows系统，这个以消息为驱动的系统中的绝大多数消息类型。一方面这给编程者带来了巨大的灵活性，另一方面也埋下了巨大隐患，大多数窃密软件都使用这种方法。此篇文章给您提供一种钩子的反拦截方法，希望对您有所帮助。文章中使用了API钩子，您之前必须对此技术有一定了解。为求完整，文章分为两部分，第一部分为消息钩子的使用，熟悉此技术的读者可以直接跳过此节。第二部分为消息钩子的反拦截。

02

BOF及cna插件开发初探

bof能够加载并执行C/C++编译后但未链接的目标obj文件(linux中的.o文件)。可以在beacon中执行内部的beaconAPI和Win32API。它的体积很小，在beacon进程内部运行，不会创建新进程，所以可以有效的规避一些EDR。

01

远程线程注入引出的问题

远程线程注入引出的问题一、远程线程注入基本原理远程线程注入——相信对Windows底层编程和系统安全熟悉的人并不陌生，其主要核心在于一个Windows API函数CreateRemoteThread，通过它可以在另外一个进程中注入一个线程并执行。在提供便利的同时，正是因为如此，使得系统内部出现了安全隐患。常用的注入手段有两种：一种是远程的dll的注入，另一种是远程代码的注入。后者相对起来更加隐蔽，也更难被杀软检测。本文具体实现这两种操作，在介绍相关API使用的同时，也会解决由此引发的一些问题。顾名思义

c语言createthread函数,C++中CreateThread函数创建线程的用法和实例

CreateThread是一种微软在Windows API中提供了建立新的线程的函数，该函数在主线程的基础上创建一个新线程。线程终止运行后，线程对象仍然在系统中，必须通过CloseHandle函数来关闭该线程对象。

02

Windows线程漫谈界面线程和工作者线程

每个系统都有线程，而线程的最重要的作用就是并行处理，提高软件的并发率。针对界面来说，还能提高界面的响应力。

02

用Go语言写一个Windows的外挂（上）

本人在一家互联网金融公司上班，对于一家互联网金融公司，最基本的功能就是客户入金和出金，而出金的稳定性是很重要的，出金不畅容易导致投资人恐慌，本文讲的是出金，出金接口我们对接的是招商银行的银企直联系统，那么银企直连系统是一个什么样的程序呢？

02

Understanding-and-bypassing-AMSI

反恶意软件扫描接口简称"AMSI"，它是微软在Windows中阻止危险脚本执行的解决方案，AMSI理论上是一个好的解决方案，它通过分析正在执行的脚本然后根据是否发现恶意内容来阻止或允许，然而正如我们稍后将讨论的那样，它有一些基本的实现缺陷，使得我们可以绕过检测

01

反虚拟机和沙箱检测的一些小技巧

近年来，各类恶意软件层出不穷，反病毒软件也更新了各种检测方案以提高检测率。其中比较有效的方案是动态沙箱检测技术，即通过在沙箱中运行程序并观察程序行为来判断程序是否为恶意程序。

02

C/C++ 进程代码注入&提权&降权

如果将shellcode注入到具有特定权限的进程中，我们就可以获得与该进程相同的权限，此方法可以用于提权与降权操作，注入有多种方式，最简单的是直接将metasploit生成的有效载荷直接注入到目标进程中，并通过创建远程线程启动，还可以自己实现一个注入器，这里我们自己来实现一个提权器，可提权也可降权。

03

绕过AMSI进行逃避审计

在之前的文章，hook rdp对外连接的账号密码中有提到利用Detours进行hook得到rdp的账号密码，今天正好看到绕过AMSI的文章，那我们今天继续利用这个库来达到绕过AMSI的目的。

01

bypass Bitdefender

渗透时,可能会遇到各种各样的的杀软,但每个杀软特性不同,在绕过前,往往都需要分析,本文就Bitdefender进行分析

01

COM 进程注入技术

项目地址：https://github.com/0xlane/com-process-inject

03

Windows中如何在父子进程间传递SOCKET句柄

Linux由于一切皆文件，不管是文件、管道，还是socket，都可以轻易在父子进程间传递；而Windows上会复杂很多。最近有个需求，需要进行父子进程间的通信，常见的方案是在创建子进程时通过stdin、stdout、stderr这三个句柄来传递管道句柄，从而达到父子进程间通信的目的。但这种方式最大的问题是：对子进程需要单独处理stdout和stderr，使用上有些限制。

01

C/C++ Inline Hook 钩子编写技巧

Hook 技术通常被称为钩子技术，Hook技术是Windows系统用于替代中断机制的具体实现，钩子的含义就是在程序还没有调用系统函数之前，钩子捕获调用消息并获得控制权，在执行系统调用之前执行自身程序，简单来说就是函数劫持，本笔记将具体介绍应用层Hook的实现机制。

01

bypass Bitdefender

渗透时,可能会遇到各种各样的的杀软,但每个杀软特性不同,在绕过前,往往都需要分析,本文就Bitdefender进行分析

04

C#类来封装C++Dll里的方法

最近帮底层开发的同时用C#重新封装一下dll,也就是用C#类来封装C++Dll里的方法，以供用户使用。

01

1.12 进程注入ShellCode套接字

在笔者前几篇文章中我们一直在探讨如何利用Metasploit这个渗透工具生成ShellCode以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向ShellCodeShell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与《运用C语言编写ShellCode代码》中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对Metasploit工具生成的Shell原理的理解能够起到促进作用。

04

1.12 进程注入ShellCode套接字

在笔者前几篇文章中我们一直在探讨如何利用Metasploit这个渗透工具生成ShellCode以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向ShellCodeShell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与《运用C语言编写ShellCode代码》中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对Metasploit工具生成的Shell原理的理解能够起到促进作用。

04

原来... 反调试技术揭秘（转）

在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破0解自己。为了了解如何破0解反调试技术，首先我们来看看反调试技术。

02

反调试技术常用API，用来对付检测od和自动退出程序

在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了解如何破解反调试技术，首先我们来看看反调试技术。

03

实战｜使用Windows API绕过进程保护

这个自我保护实际上是加载360SelfProtection.sys驱动(看这名字应该还有360SelfProtection_win10.sys文件)，在0环通过hook等手段保护注册表项，重要进程进程等。

02

使用 Cobalt Strike 的 Beacon 对象文件自定义 DLL 注入

信标对象文件 (BOF) 是一个已编译的 C 程序，按照约定编写，允许在信标进程中执行并使用内部信标 API。

02

监视的最低点(4)

有趣的是，由于某种原因没有使用剪贴板监视的完整实现。剪贴板检查对于通过复制其他作业中的元素来捕捉学生在考试中剽窃是绝对显而易见的。

n个进程访问一个临界资源,则设置的互斥信号量_多线程同步和互斥有几种实现方法

每个进程中访问临界资源的那段代码称为临界区（Critical Section）（临界资源是一次仅允许一个进程使用的共享资源）。每次只准许一个进程进入临界区，进入后不允许其他进程进入。不论是硬件临界资源，还是软件临界资源，多个进程必须互斥地对它进行访问。多个进程中涉及到同一个临界资源的临界区称为相关临界区。

01

令牌模拟

在入侵过程中，令牌盗窃和用户冒充可以提供很大帮助，节省我们大量时间并帮助我们尽可能保持隐秘，仅使用 Microsoft Windows 操作系统本身提供的功能和工具。

01

c++中CreateEvent函数「建议收藏」

http://blog.csdn.net/chenyujing1234/article/details/8572921

02

滥用具备RWX-S权限且有签名的dll进行无感知的shellcode注入

常规的shellcode注入一般是通过VirtualAllocEx,WriteProcessMemory 和 CreateRemoteThread 来实现的，但是这种方式是被安全软件重点监控的，同时微软提供的ETW接口也是可以轻易检测出上述方式进行代码注入的痕迹。本文的核心是讲解怎么利用具备 RWX-S 权限且自身有签名的白DLL进行一种比较隐蔽的shellcode注入，并讲解具体的代码实现以及在写代码实现的过程中遇到的坑。本方法是由文章提出的：https://billdemirkapi.me/sharing-is-caring-abusing-shared-sections-for-code-injection/ ，详情可以参考此文章。

02

TrustedInstaller，停止 Windows Defender

在入侵过程中，禁用目标计算机的防御措施的能力会很有用。对于那些已经尝试过微软操作系统默认嵌入的安全解决方案 Windows Defender 的渗透测试者，你会同意我的观点，自首次发布以来它已经有了很大的改进，尤其是 Windows 10 具有云容量的最新版本。因此，我们很可能迟早会在入侵过程中遇到这种防病毒软件。

01

【操作系统】多线程之线程同步

定义：内核对象通过API来创建，每个内核对象是一个数据结构，它对应一块内存，由操作系统内核分配，并且只能由操作系统内核访问。在此数据结构中少数成员如安全描述符和使用计数是所有对应都有的，但其他大多数成员都是不用类型的对象特有的。内核对象的数据结构只能由操作系统提供的API访问，应用程序在内存中不能访问。调用创建内核对象的函数后，该函数会返回一个句柄，它标识了所创建的对象。它可以由进程的任何线程使用。

03

利用特殊协议加载本地文件，绕过 HTML5 沙箱，打开弹窗诸事

原文链接：https://www.brokenbrowser.com/abusing-of-protocols/ 原作者：Manuel Caballero 译：Holic (知道创宇404安全实验室) 在 10 月 25 日，研究员 @MSEdgeDev twitter 了一个链接，成功引起了我的注意，因为我点击那个链接的时候（在 Chrome 上），Windows 应用商店会自动打开。这对你来说也许不足为奇，但它足以让我感到惊讶。在我印象中，Chrome 有这样一个健康的习惯，在打开外部程序之前询问用户

08

干货｜通过HOOK底层API实现进程隐藏

一次跟师傅交流时师傅谈到有些EDR或AV,他们保护目标主机,甚至无进程,不经想到病毒实际上也常用这种技术。当然,做到隐藏,一个简单的dll注入或者劫持就可以,但本文主要讲解关于进程的隐藏。

07

操作系统——线程

静态链接库是一个或多个obj文件的打包，所以有人干脆把obj文件生成lib文件的过程称为Archive，即合并在一起。比如你链接一个静态库，如果其中有错，他会准确的找到是哪个obj有错，即静态lib只是壳子。当我们的应用工程在使用静态库链接时，静态链接库要参与编译，在生成执行文件之前的链接过程中，将静态链接库的全部指令链接入可执行文件中，故而，在执行文件生成后，静态链接库.lib文件即可弃之不用。动态链接库（dll）是作为共享函数库的可执行文件。动态链接提供了一种方法，使进程可以调用不属于其可执行代码的函数。函数的可执行代码位于.dll文件中，该dll包含一个或多个已被编译、链接并与使用它们的进程分开存储的函数。dll还有助于共享数据和资源。多个应用程序可同时访问内存中单个dll副本的内容。使用动态链接代替静态链接有若干优点。dll节省内存，减少交换操作，节省磁盘空间，更易于升级，提供售后支持，提供拓展MFC库类的机制，支持多语言程序。

01

微软NativeApi-NtQuerySystemInformation

微软有一个比较实用的Native接口：NtQuerySystemInformation，具体可以参考微软msdn官方文档：NtQuerySystemInformation，是一个系统函数，用于收集特定于所提供的指定种类的系统信息。ProcessHacker等工具使用NtQuerySystemInformation这个函数获取当前系统的处理器CPU核数，系统进程信息（包括CPU使用率、IO等）。

01

4.5 MinHook 挂钩技术

MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。

02

4.5 MinHook 挂钩技术

MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。

04

初探Windows用户态调试机制

最近在学习张银奎老师的《软件调试》，获益良多。熟悉Windows调试机制，对我们深入理解操作系统以及游戏保护的原理有着莫大好处。

02

实战 | 通过VEH异常处理规避内存扫描实现免杀

SEH中文全称：结构化异常处理。就是平时用的__try __finally __try __except,是对c的扩展。

02

我是一个线程（节选）

多线程编程在现代软件开发中是如此的重要，以至于熟练使用多线程编程是一名合格的后台开发人员的基本功，注意，我这里用的是基本功一词。它是如此的重要，所以您应该掌握它。本文将介绍多线程的方方面面，从基础的知识到高级进阶。让我们开始吧。

04

Win32线程安全问题.同步函数

通过上面几讲.我们知道了线程怎么创建.线程切换的原理(CONTEXT结构) 每个线程在切换的时候都有自己的堆栈.

04

Detours HOOK 库过滤LoadLibraryExW

Detours是微软提供的HOOK库.为我们Hook提供了方便.再也不用手撸 HOOK了.当然手撸比较好.可以锻炼.不过工作中要求效率.所以使用这个库. 这个库很强大.对于初学者来说也很简单.

02

C/C++ MinHook 库的使用技巧

在上面的各种Hook挂钩方式中,我们都是在手写封装代码,但这样的方式并不高效,真正的生产环境中我们必须使用现成的Hook库,常用的Hook库有免费开源的MinHook和商业的Detours Hook,这里我们就选择介绍MinHook这个迷你函数库,该Hook库是完全开源免费的,使用起来也非常的简单.

01

初探Windows用户态调试机制

最近写Named Pipe Server Using Completion Routines 发现在delphi调试器中会阻塞在：

02

白加黑免杀制作（详细）

最近被微步的一篇文章吸引了，里面讲到银狐通过自解压白 exe + 黑 dll 执行截取主线程添加自启动，发现 dll 与普通的免杀有很大的不同，决定自己尝试一下，虽然我之前没有做过白加黑免杀，感觉应该不会太难，但是当我真正尝试的时候才发现很多问题，如：

07

C/C++ HOOK 全局 API

全局 Hook 不一定需要用到 Dll ，比如全局的鼠标钩子、键盘钩子都是不需要 Dll 的，但是要钩住 API，就需要 Dll 的协助了，下面直接放上 Dll 的代码，注意这里使用的是 MFC DLL。

01

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云

扫码加入开发者社群

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭