Etw对系统删除文件操作进行监听易语言源码首先利用NtQueryInformationProcess获取进程Peb。
然后向进程写入ShellCode。
接着将Peb->KernelCallbackTable->__fnDWORD改写为写入的ShellCode地址。
向程序窗口发送重画消息，此后win32k.sys会处理消息，并且使用KeUserModeCallback从R0切换到R3并且调用ntdll!KiUserCallbackDispatcher，KiUserCallbackDispatcher接着会根据ApiNumber调用KernelCallbackTable中的函数，此时KernelCallbackTable->__fnDWORD已经被修改，导致程序调用LoadLibraryA实现Dll的注入。
实现结果：

ShellCode已经编写好，调用第一次时自动恢复KernelCallbackTable，InjectedDll在调用完成后会立刻释放ShellCode。
因为借助Peb->KernelCallbackTable->__fnDWORD实现，所以InjectedDll暂时只能针对32位有窗口程序。。

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系贝贝进行处理。
本站默认解压密码：www.hibbba.com