首页
学习
活动
专区
圈层
工具
发布
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    分析重装系统也无法清除的鬼影病毒

    不会真正写入,但会呈现已被写入的假象 内核向用户态进程注入代码原理 通过KeInitializeApc、KeInsertQueueApc(未文档化函数)插入内核APC回调函数、ExQueueWorkItem插入WorkItem...3)上步插入的内核APC函数异步执行 调用ExFreePool释放APC结构体内存 FsRtlAllocatePool申请0×40字节非分页内核内存(用于后续EVENT对象、WORKITEM对象及其参数...PsGetCurrentThreadProcessId得到进程对象,线程对象,PID(存入上面申请的内存中,作为参数传给ExQueueWorkItem插入的回调函数) 调用KeInitializeEvent,用于同步,等待WorkItem...执行完毕 调用ExQueueWorkItem插入后续流程的回调函数 调用KeWaitForMutexObject等待上面的WorkItem回调函数执行完毕 调用ExFreePool释放上面申请的0×40...调用ZwClose,KeUnstackDetachProcess,ObDereferenceObject释放资源 末尾调用KeSetEvent设置事件,用于同步,通知WorkItem执行完毕 ?

    2.3K60
    领券