简介
在之前的文章中笔者曾经为大家介绍过使用CreateRemoteThread函数来实现远程线程注入，毫无疑问最经典的注入方式，但也因为如此，这种方式到今天已经几乎被所有安全软件所防御。所以今天笔者要介绍的是一种相对比较“另类”的方式，被称作“APC注入”。APC(Asynchronous Procedure Call)，全称为异步过程调用，指的是函数在特定线程中被异步执行。简单地说，在Windows操作系统中，每一个进程的每一个线程都有自己的APC队列，可以使用QueueUserAPC函数把一个APC函数压入APC队列中。当处于用户模式的APC被压入到线程APC队列后，线程并不会立刻执行压入的APC函数，而是要等到线程处于可通知状态才会执行，也就是说，只有当一个线程内部调用WaitForSingleObject, WaitForMultiObjects, SleepEx等函数将自己处于挂起状态时，才会执行APC队列函数，执行顺序与普通队列相同，先进先出（FIFO），在整个执行过程中，线程并无任何异常举动，不容易被察觉，但缺点是对于单线程程序一般不存在挂起状态，所以APC注入对于这类程序没有明显效果。