使用CreateThread()函数创建，则线程函数必须申明为DWORD WINAPI；
定义：内核对象通过API来创建，每个内核对象是一个数据结构，它对应一块内存， 由操作系统内核分配，并且只能由操作系统内核访问。在此数据结构中少数成员如安全描述符和使用计数是所有对应都有的，但其他大多数成员都是不用类型的对象特有的。内核对象的数据结构只能由操作系统提供的API访问，应用程序在内存中不能访问。调用创建内核对象的函数后，该函数会返回一个句柄，它标识了所创建的对象。它可以由进程的任何线程使用。
CreateThread是一种微软在Windows API中提供了建立新的线程的函数，该函数在主线程的基础上创建一个新线程。线程终止运行后，线程对象仍然在系统中，必须通过CloseHandle函数来关闭该线程对象。
LPSECURITY_ATTRIBUTES lpMutexAttributes,//
在入侵过程中，令牌盗窃和用户冒充可以提供很大帮助，节省我们大量时间并帮助我们尽可能保持隐秘，仅使用 Microsoft Windows 操作系统本身提供的功能和工具。
GUI（Graphical User Interface）应用，链接器选项：/SUBSYSTEM:WINDOWS
每个系统都有线程，而线程的最重要的作用就是并行处理，提高软件的并发率。针对界面来说，还能提高界面的响应力。
其实今天写这个的主要原因就是看到倾旋大佬有篇文章提到:有些反病毒引擎限制从lsass中dump出缓存,可以通过注入lsass,就想试试注入lsass
今天操作系统课老师讲到进程，提出了一个有趣的小实验：能否以系统调用的方式利用 Windows 创建进程的系统调用函数来打开一个软件。闲着蛋疼的我立马来了兴趣，姑且写一个玩玩（
MinHook是一个轻量级的Hooking库，可以在运行时劫持函数调用。它支持钩子API函数和普通函数，并且可以运行在32位和64位Windows操作系统上。其特点包括易于使用、高性能和低内存占用。MinHook使用纯汇编语言实现，在安装和卸载钩子时只需要短暂地锁定目标线程，因此对目标线程的影响非常小。
在笔者前几篇文章中我们一直在探讨如何利用Metasploit这个渗透工具生成ShellCode以及如何将ShellCode注入到特定进程内，本章我们将自己实现一个正向ShellCodeShell，当进程被注入后，则我们可以通过利用NC等工具连接到被注入进程内，并以对方的权限及身份执行命令，该功能有利于于Shell的隐藏。本章的内容其原理与《运用C语言编写ShellCode代码》中所使用的原理保持一致，通过动态定位到我们所需的网络通信函数并以此来构建一个正向Shell，本章节内容对Metasploit工具生成的Shell原理的理解能够起到促进作用。
传统的远程线程技术一般是向普通用户进程注入线程。而要是想隐藏的更深，则需要突破SESSION0隔离机制，将自身进程注入到系统进程中，使得自己更加隐蔽。 突破SESSION0隔离的远程线程注入与传统的CreateRemoteThread实现DLL远程线程注入相比区别在与是用更为底层的ZwCreateEx函数来创建的。
转载：https://vanmieghem.io/blueprint-for-evading-edr-in-2022/
多线程编程在现代软件开发中是如此的重要，以至于熟练使用多线程编程是一名合格的后台开发人员的基本功，注意，我这里用的是基本功一词。它是如此的重要，所以您应该掌握它。本文将介绍多线程的方方面面，从基础的知识到高级进阶。让我们开始吧。
在计算机程序中，线程是一种很重要的资源，使用的恰当可以极大的提高程序的效率，也就是多线程的使用，但是多线程会让应用程序变得异常复杂，会占用大量的系统资源。就像QQ表情一样，每一个QQ表情的闪动都需要构建一个线程，如果用户使用了大量的表情(GIF)，将会有多少个线程在运行，系统的性能将大大减少，甚至导致死机。在这种情况下，多线程变得不太合适了，那么什么机制适用于这种情况下呢，这就是线程池。
最近在学习张银奎老师的《软件调试》，获益良多。熟悉Windows调试机制，对我们深入理解操作系统以及游戏保护的原理有着莫大好处。
在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破0解自己。为了了解如何破0解反调试技术，首先我们来看看反调试技术。
在调试一些病毒程序的时候，可能会碰到一些反调试技术，也就是说，被调试的程序可以检测到自己是否被调试器附加了，如果探知自己正在被调试，肯定是有人试图反汇编啦之类的方法破解自己。为了了解如何破解反调试技术，首先我们来看看反调试技术。
每个进程中访问临界资源的那段代码称为临界区（Critical Section）（临界 资源是一次仅允许一个进程使用的共享资源）。每次只准许一个进程进入临界区， 进入后不允许其他进程进入。不论是硬件临界资源，还是软件临界资源，多个进程 必须互斥地对它进行访问。 多个进程中涉及到同一个临界资源的临界区称为相关临界区。
系列目录 windows完成端口（一） windows完成端口（二） windows完成端口（三） windows完成端口（四） windows完成端口（五） windows完成端口（六） 1 现在还剩下最后一个问题，就是工作线程如何退出。当然你可以在每次判断标识位前先判断一个退出标识。但是如果工作线程正好被GetQueuedCompletionStatus挂载那里呢？如何唤醒，微软提供了另外一个函数：PostQueuedCompletionStatus，看下这个函数的签名： BOOL WINAPI Pos
最近写Named Pipe Server Using Completion Routines 发现在delphi调试器中会阻塞在：
在windows中，系统提供了QueueUserWorkItem 函数实现异步调用，这个函数相当于在线程池中建立多个用户工作项目，跟普通线程机制一样，线程池也有线程的同步等机制。
最近学完了简单的socket编程，发现其实socket的网络编程其实并没有什么难度，只是简单的函数调用，记住客户端与服务端的步骤，写起来基本没有什么问题。 在服务器程序的设计中，一个服务器不可能只相应一个客户端的链接，为了响应多个客户端的链接，需要使用多线程的方式，每当有一个客户端连接进来，我们就开辟一个线程，用来处理双方的交互（主要是利用recv或者recvfrom用于收发信息），由于但是在网络中可能出现这样一种情况：由于处理比较复杂，下一条信息到来之后，上一条信息的处理还没有完成，这样信息太多了之后系统的缓冲占满之后可能会发生丢包的现象，所以为了解决这个问题，需要另外再开一个线程，专门用来处理接收到的数据，这样总共至少有3个线程，主线程，收发信息的线程，处理线程；这样可能也不完整，处理的操作种类多了的话可能需要根据不同的请求来开辟不同的线程用来处理这一类请求，下面是实现这一思路的部分代码： 全局变量：
系列目录 关于windows完成端口（IOCP）的一些理解（一） 关于windows完成端口（IOCP）的一些理解（二） 关于windows完成端口（IOCP）的一些理解（三） 关于windows完成端口（IOCP）的一些理解（四） 关于windows完成端口（IOCP）的一些理解（五） 关于windows完成端口（IOCP）的一些理解（六） 1 现在还剩下最后一个问题，就是工作线程如何退出。当然你可以在每次判断标识位前先判断一个退出标识。但是如果工作线程正好被GetQueuedCompletionStat
动态链接库(Dynamic Link Library 或者 Dynamic-link Library，缩写为 DLL)
以下内容摘自《程序员的自我修养》 什么是线程？ 线程（Thread），有时被称为轻量级（Lightweight Process, LWP），是程序执行流程的最小单元。一个标准的线程由线程ID、当前指令
指导书上出现了一个陌生的名词“句柄（handle）”，感觉比较奇妙，因为在之前编写微信公众号小程序看教程也编写了一个handle程序。所以留档一下吧。
http://blog.csdn.net/chenyujing1234/article/details/8572921
4.1.C语言中的宽字符 1、常用函数 char wchar_ t //多字节字符类型 宽字符类型 printf wprintf //打印到控制台函数 strlen wcslen //获取长度 strcpy wcscpy //字符串复制 strcat wcscat //字符串拼接 strcmp wcscmp //字符串比较 strstr wcsstr //字符串查找 2、打印宽字符 #include <locale.h> setlocale(LC_ALL,") /
如今每天都能发现超过55万个新的恶意软件样本，企业如何避免系统漏洞暴露在这些网络威胁中成为了工作中的重中之重。尽管如此，许多人仍然让自己暴露在了风险之中。
向往了多年，终于静下心来备战 IOCP，对于语言方面不缺少什么东西了，剩下的就是对操作系统和编程技巧的学习了，所以慢慢的开始写一些周边会涉及到的代码，也算是对 C/C++ 的复习，本文写的是一个 Windows 下多线程的例子，跟 Linux 下没什么区别，循环创建线程然后用堆上内存传递参数，代码有详细的注释可以参考。
Windows下有两种处理器访问模式：用户模式（user mode）和内核模式（kernel mode）。用户模式下运行应用程序时，Windows 会为该程序创建一个新进程，提供一个私有虚拟地址空间和一个私有句柄表，因为私有，一个应用程序无法修改另一个应用程序的私有虚拟地址空间的数据；内核模式下，所有运行的代码都共享一个虚拟地址空间， 因此内核中驱动程序可能还会因为写入错误的地址空间导致其他驱动程序甚至系统出现错误。
在windows中进程只是一个容器，用于装载系统资源，它并不执行代码，它是系统资源分配的最小单元，而在进程中执行代码的是线程，线程是轻量级的进程，是代码执行的最小单位。 从系统的内核角度看，进程是一个内核对象，内核用这个对象来存储一些关于线程的信息，比如当前线程环境等等，从编程的角度看，线程就是一堆寄存器状态以及线程栈的一个结构体对象，本质上可以理解为一个函数调用，一般线程有一个代码的起始地址，系统需要执行线程，只需要将寄存器EIP指向这个代码的地址，那么CPU接下来就会自动的去执行这个线程，线程切换时也是修改EIP的值，那么CPU就回去执行另外的代码了。
安全与危险是共存的。如果我们了解危险的来源以及产生的过程，对于安全防护拥有很现实的意义。 本文主要介绍dll注入的方式，意在描述危险的来源，以及危险的执行的过程，以便于我们解决危险。
GetMessage是计算机编程中的一个函数，从调用线程的消息队列里取得一个消息并把其放于指定的结构。GetMessage函数可取得与指定窗口联系的消息和由PostThreadMesssge寄送的线程消息，接收一定范围的消息值，不接收属于其他线程或应用程序的消息。GetMessage获取消息成功后，线程把从消息队列中删除该消息，函数会一直等待直到有消息到来才有返回值。
做无边框窗口之后，我们有方法可以让窗口的标题栏区域和边缘调大小的区域继续正常工作，直到——这个窗口上面覆盖了其他的子窗口。这个子窗口会吃掉消息导致父窗口的边缘无法再继续处理这些消息。
如果将shellcode注入到具有特定权限的进程中，我们就可以获得与该进程相同的权限，此方法可以用于提权与降权操作，注入有多种方式，最简单的是直接将metasploit生成的有效载荷直接注入到目标进程中，并通过创建远程线程启动，还可以自己实现一个注入器，这里我们自己来实现一个提权器，可提权也可降权。
纤程本质上也是线程，是多任务系统的一部分，纤程为一个线程准并行方式调用多个不同函数提供了一种可能，它本身可以作为一种轻量级的线程使用。它与线程在本质上没有区别，它也有上下文环境，纤程的上下文环境也是一组寄存器和调用堆栈。它是比线程更小的调度单位。注意一般我们认为线程是操作系统调用的最小单位，而纤程相比于线程来说更小，但是它是有程序员自己调用，而不由操作系统调用。系统在调度线程的时候会陷入到内核态，线程对象本身也是一种内核对象，而纤程完全是建立在用户层上，它不是内核对象也没有对象的句柄。通过纤程的机制实际就绕开了Windows的随机调度线程执行的行为,调度算法由应用程序自己实现，这对一些并行算法非常有意义。因为纤程和线程本质上的类同性,所以也要按照理解线程为函数调用器的方式来理解纤程。
大家好，又见面了，我是你们的朋友全栈君。 Detours的安装： 下载部分： 1.直接在百度搜”detour”，进对应的网站下载。 2.或以下链接 https://www.microsoft.com/
远程线程注入引出的问题 一、远程线程注入基本原理 远程线程注入——相信对Windows底层编程和系统安全熟悉的人并不陌生，其主要核心在于一个Windows API函数CreateRemoteThread，通过它可以在另外一个进程中注入一个线程并执行。在提供便利的同时，正是因为如此，使得系统内部出现了安全隐患。常用的注入手段有两种：一种是远程的dll的注入，另一种是远程代码的注入。后者相对起来更加隐蔽，也更难被杀软检测。本文具体实现这两种操作，在介绍相关API使用的同时，也会解决由此引发的一些问题。 顾名思义
通过常用的api来创建进程是常规启动进程的方式，最常用的几个api有WinExec、ShellExecute、CreateProcess，我们一个一个来看一下
通过上面几讲.我们知道了线程怎么创建.线程切换的原理(CONTEXT结构) 每个线程在切换的时候都有自己的堆栈.
进程，直观点说，保存在硬盘上的程序运行以后，会在内存空间里形成一个独立的内存体，这个内存体有自己独立的地址空间，有自己的堆，上级挂靠单位是操作系统。操作系统会以进程为单位，分配系统资源（CPU时间片、内存等资源），进程是资源分配的最小单位。
Windows 线程同步是指多个线程一同访问共享资源时，为了避免资源的并发访问导致数据的不一致或程序崩溃等问题，需要对线程的访问进行协同和控制，以保证程序的正确性和稳定性。Windows提供了多种线程同步机制，以适应不同的并发编程场景。主要包括以下几种：
利用Window可以先加载当前目录下的dll特性,仿造系统的LPK.DLL,让应用程序先加载我们的伪LPK.DLL,然后在我们的dll中去调用原来系统的原函数.
0x00 远线程注入远线程注入是指一个进程在另一个进程中创建线程的技术。0x01 函数介绍OpenProcess作用： 打开现有的本地进程对象。函数声明：HANDLE WINAPI OpenProcess( _In_ DWORD dwDesiredAccess, _In_ BOOL bInheritHandle, _In_ DWOR
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
