记录一个首页劫持

这几天老是碰到奇怪的莫名其妙的首页劫持发生，于是今天抽时间看了一下，首页被劫持到 2345 导航。

首先拿 PCHunter 扫了一下 网络相关的接口，并没有发现什么异常发生，看了一下驱动模块，也没发现特别奇怪的模块。

接着检查了一下 进程通知回调，也没发现什么特别的东西。

于是进一步检查 是不是 explorer进程被hook了。

果然钩子一扫就出来了。。

被挂钩的地方是 RtlCreateProcessParametersEx。这个函数。

这个函数用于创建进程过程中被调用来创建一个进程环境变量块。

关于这个函数可以看看 看雪的分析帖 http://www.pediy.com/kssd/pediy11/114611.html  不多说。

由于hook掉它可以 看到进程的  imagepath 以及 commandline 等参数，，修改掉 commanline 就可以带参数打开浏览器，于是就可以实现锁首了。

进一步打开 windbg_x64 。附加到 explorer上面 对这个函数下断点，跟入 就可以找到它的模块，由于模块 放在了 system32 目录下，且 加了vmp保护，所以这里不再进一步分析了，删掉模块，恢复钩子就行了。

本文主要是展示一种现行可用的锁首思路。