暴力注入Explorer的apc方法_ntqueueapcthread-优快云博客

本文链接：https://blog.youkuaiyun.com/iiprogram/article/details/2664098

本文介绍了如何使用QueueUserAPC API在Explorer进程中暴力注入DLL，通过枚举线程并在目标线程调用SleepEx后执行APC，以实现代码隐蔽执行。这种方法虽然简单但不优雅，依赖于Explorer中存在合适的线程状态。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

向一个运行中的进程注入自己的代码，最自然莫过于使用CreateRemoteThread，如今远线程注入已经是泛滥成灾，同样的监测远线程注入、防止远线程注入的工具也举不胜举，一个木马或后门启动时向Explorer或IE的注入操作就像在自己脸上写上“我是贼”一样。

用户态代码想要更隐蔽地藏身于别的进程，就应该在注入的环节隐蔽自己的行为。下面就介绍一种非常简单不过比较暴力的方法，给出的示例为在Explorer里加载自己的dll。

首先提到的就是一个API:QueueUserAPC

DWORD QueueUserAPC(

PAPCFUNC pfnAPC, // APC function

HANDLE hThread, // handle to thread

ULONG_PTR dwData // APC function parameter ;

大家对这个API应该并不陌生，它直接转入了系统服务NtQueueApcThread从而利用KeInsertQueueApc向给出的目标线程的APC队列插入一APC对象。倘若KiDeliverApc顺利的去构造apc环境并执行我们的代码那一切就OK了，只可惜没有那么顺利的事，ApcState中UserApcPending是否为TRUE有重要的影响，结果往往是你等到花儿都谢了你的代码还是没得到执行。在核心态往往不成问题，自己动手赋值，可是用户态程序可不好做，怎么办?其实最简单的，不好做就不做啰，让系统去干。

实际上应用程序在请求“alertable”的等待时系统就会置UserApcPending为TRUE(当KeDelayExecutionThread/KeWaitForMultipleObjects/KeWaitForSingleObject 使用TestForAlertPending时就有可能，此外还有KeTestA