zzmzzff的博客

上次讲了下进程保护原理，这次讲一下进程监控。监视进程创建，也就是监视EXE程序启动，就要hook掉创建进程的API，创建进程的API有ntdll!ZwCreateProcessEx、ZwCreateSection、ZwCreateThread等，kernel32里有CreateProcessA(W)和CreateProcessInternalA(W)，hook ZW函数比较麻烦，因为那时进...

Ring3下Hook进程有多种方法，其中有消钩子（Msg Hook）、线程注入(Insert Thread)和ShellCode等，前两种最为常见。以前用VB只能用shellcode，原因是VB不支持标准DLL，而VC则完全不成问题，下面说一下方法。消息注入是通过SetWindowsHookEx安装一个钩子（比如WH_GETMESSAGE）然后将DLL注入系统所有GUI进程，这样，大部分进...