使用通告例程监控驱动及DLL加载

• 作者: Newblecoder
• 来源期刊: 黑客防线
• 学科: 工学
• 关键词: 编程 通告例程 驱动
• 年，卷（期）: 2009,（12）
• 页码范围: 72-80
• 页数: 9页
• 分类号: TP311

摘要

随着隐藏进程检测技术的进步，木马也转而向无进程方向发展。通常，它们会将代码编译成一个DLL（在本文中，DLL特指用户模式下的动态链接库）或者一个驱动而随其他进程加载（驱动被加载到SYStem进程）．所以如何监控驱动以及DLL加载成为了防马的重要一环。本文将介绍一种通过使用Windows NT系统所提供的注册通告例程来监控驱动以及DLL加载的方法。