这几天老是碰到奇怪的莫名其妙的首页劫持发生,于是今天抽时间看了一下,首页被劫持到 2345 导航。
首先拿 PCHunter 扫了一下 网络相关的接口,并没有发现什么异常发生,看了一下驱动模块,也没发现特别奇怪的模块。
接着检查了一下 进程通知回调,也没发现什么特别的东西。
于是进一步检查 是不是 explorer进程被hook了。
果然钩子一扫就出来了。。
被挂钩的地方是 RtlCreateProcessParametersEx。这个函数。
这个函数用于创建进程过程中被调用来创建一个进程环境变量块。
关于这个函数可以看看 看雪的分析帖 http://www.pediy.com/kssd/pediy11/114611.html 不多说。
由于hook掉它可以 看到进程的 imagepath 以及 commandline 等参数,,修改掉 commanline 就可以带参数打开浏览器,于是就可以实现锁首了。
进一步打开 windbg_x64 。附加到 explorer上面 对这个函数下断点,跟入 就可以找到它的模块,由于模块 放在了 system32 目录下,且 加了vmp保护,所以这里不再进一步分析了,删掉模块,恢复钩子就行了。
本文主要是展示一种现行可用的锁首思路。