首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[讨论]当被注入进程先于注入进程退出时,卸载钩子还有必要么？
发表于: 2008-4-28 21:47 4879

[讨论]当被注入进程先于注入进程退出时,卸载钩子还有必要么？

aqtata 活跃值
2
2008-4-28 21:47
4879
程序A注入dll到程序B

当程序B先于程序A退出时，这个时候程序A还有必要去进行卸载动作吗？比如closehandle等等之类。。。

[课程]Linux pwn 探索篇！

收藏
免费 ・0
支持
分享
最新回复 (3)
轩辕小聪
雪    币： 722
活跃值： (123)
能力值： ( LV12，RANK：300 )
在线值：
发帖
回帖
粉丝
私信
2 楼
CloseHandle进入内核后调用到ObfDereferenceObject，这样才会减少Object的引用计数。
比如你OpenProcess访问一个进程（之后注入等），最后TerminateProcess之，那么最后还是要把这个句柄CloseHandle的。
如果不CloseHandle，表面看没有问题（进程的确结束了），但是在内核中其进程对象（EPROCESS）的引用计数应该还非0，所以没释放掉。只有CloseHandle了之后，系统才最终将它释放掉。
2008-4-29 01:00
0
wzy
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
wzy
3 楼
哦  这样，学习
2008-5-9 14:31
0
HereInSide
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
卸载动作不必要。至于之前的openproc等全局性（指的是krnl中有全局效果，比如增加对象引用计数的）的操作，无论如何都是得closehdl的
2008-5-9 20:05
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//