Windows系统文件保护

用PEDIY的方式来给Windows系统文件添加引入表项来加载DLL，我的同事yythac写过一个后门叫做黑客之门也是使用类似的方式来加载，本来打算向他请教的，只是现在他们太忙了，只是自己搞定了，用了一天时间分析引入表，一天时间写程序，XP和2K系统上调试运行通过，只是通讯这一块不打算搞那么麻烦，要不时间搞太长老总肯定要K我啦！

另外一个问题是Windows系统文件保护，通过反汇编sfc.dll和sfc_os.dll发现在有一个叫做TerminateWatchThread的函数，很多人都说是Close什么之类的函数，基本根本不是Close什么东东，而是停止对系统文件保护的监视线程，通过IDA Pro反汇编的代码，基本微软的符号文件很清楚的告诉我们它是干什么的了，用它可以关闭系统文件保护。

首先判断一下版本，如果是XP就从sfc_os.dll里找这个函数，如果是2K就从sfc.dll里找这个函数，然后在Winlogon.exe里启一个远程线程运行一下TerminateWatchThread，再PEDIY搞系统文件。为什么在Winlogon.exe里启远程线程，写一个小程序枚举一下系统中的Modules就可以发现只有Winlogon.exe进程里使用了sfc#.dll，所以监视线程在Winlogon.exe进程的地址空间里啊！