-
-
[翻译]自启动方式 No.93(大意)
-
发表于:
2018-11-24 20:09
5718
-
声明:本文及其软件仅用于学习交流,请勿用于商业用途和违法行为,使用产生的后果由使用者承担,本作者不承担任何法律责任和风险。
如需转载请注明一下出处,谢谢~。
经过我之前对kernel32.dll的多次分析,我很惊讶地发现了这个启动方式。我看到一个代码分支(之前没有讨论过这个分支)负责枚举注册表子键并加载dll,这是一件非常难得的事情。
实际代码驻留在NotifyUILanguageChange API中。尽管MS声称它不受支持,但仍有许多组件使用它。它撤销的可能性很低。据我所知,该函数被调用
只有当某些系统设置被改变的时候,该函数就会被调用
,我将立即向你们展示如何触发他。
HKLM\System\CurrentControlSet\Control\MUI\CallbackDlls\{ENTRY}\DllPath=<DLL>
这当然不是最好的驻留机制,但也是另一个值得关注的地方,以防万一……
HKLM\System\CurrentControlSet\Control\MUI\CallbackDlls\{ENTRY}\DllPath=<DLL>
在Windows 7,我们可以看到若干项:
Windows 10更多,我真的怀疑这段代码正要撤销。(原文这句话可能存在错误,与上文不符。也可能是本人翻译错误。)
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!
最后于 2018-11-24 20:10
被yyyang编辑
,原因: