再谈快速关机API实现，效率再度提升的思考

最新推荐文章于 2025-04-27 16:25:16 发布

RatinCN

最新推荐文章于 2025-04-27 16:25:16 发布

阅读量722

点赞数

分类专栏： PE Runtime 文章标签：汇编 PE文件 api 快速关机

本文链接：https://blog.youkuaiyun.com/RatinCN/article/details/43565359

版权

本文探讨了如何进一步提高快速关机API的效率，通过使用Native API替代传统函数，结合TLS回调函数在程序早期执行代码，以及自行遍历ntdll.dll的导入表获取函数地址，从而在程序加载初期即实现高效关机操作。作者还指出，通过读取内存DLL链表获取ntdll.dll基址能提升效率，并分享了完整的代码示例。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

先提权再调用NtShutdown关机不是什么新鲜事了，如果要更快还能想什么办法呢？下面先看看代码：

.data
align 4
hToken dd 0
@Tp1 dd 1
@Tp2 dd 13h
@Tp3 dd 0
@Tp4 dd 2

.code
Start:
invoke NtOpenProcessToken,-1,28h,offset hToken
invoke NtAdjustPrivilegesToken,hToken,0,offset @Tp1,16,0,0
invoke NtShutdownSystem,0
end Start

这段代码包括提权都是根据反汇编结果拼凑内存数据直接调用Native API，效率比OpenProcessToken、LookupPrivilegeValue、AdjustTokenPrivileges三个函数联用快很多，与RtlAdjustPrivilege差不多。

要更快的关机，NtShutdownSystem已经是最后一步操作了，R3下可以说没有更快的方法，如果要更快，那就从程序加载速度和代码运行效率入手吧！

比如用Native API代替OpenProcessToken、LookupPrivilegeValue、AdjustTokenPrivileges它们。
现在已经换用了Native API，还能再快吗？