过保护应该注意的函数

NTSTATUS
_stdcall
NtSetInformationThread(
                       IN HANDLE ThreadHandle,
                       IN THREADINFOCLASS ThreadInformationClass,
                       IN PVOID ThreadInformation,
                       IN ULONG ThreadInformationLength
                       )

 

其中ThreadInformationClass对应的调用是
ThreadHideFromDebugger
这个一般是用来查是否处于调试状态的.

要对其进行监控
    if (0x11 == (ULONG)ThreadInformationClass)

 

转载于:https://blog.51cto.com/laokaddk/333782