关于隐藏线程

Wiezerzz · 发表于 2025-7-23 23:38:47

1、在NTOSKRNL的范围内寻找jmp rcx的机器码（ff e1）并记录到变量addr
2、PsCreateSystemThread(p0,p1,p2,p3,p4,addr,你的线程函数指针);
修改起始地址指向正常模块
如何欺骗这个线程的堆栈好实现吗还有其他方法防止被找到这个线程吗

Tesla.Angela · 发表于 6 天前

线程的堆栈肯定是不好欺骗的，除非你用虚拟化来处理内存读写。。。

账号		自动登录	找回密码
密码			加入我们