<?xml version="1.0" encoding="utf-8"?>
<rss version="2.0" xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:content="http://purl.org/rss/1.0/modules/content/" xmlns:atom="http://www.w3.org/2005/Atom">
    <channel>
        <title>小刀志</title>
        <link>https://xiaodaozhi.com</link>
        <description>稻草小刀的在线笔记。记录所有事情，并写给自己。</description>
        <lastBuildDate>Wed, 08 Apr 2026 05:14:05 GMT</lastBuildDate>
        <docs>https://validator.w3.org/feed/docs/rss2.html</docs>
        <generator>https://github.com/jpmonette/feed</generator>
        <language>zh-CN</language>
        <image>
            <title>小刀志</title>
            <url>https://xiaodaozhi.com/logo.png</url>
            <link>https://xiaodaozhi.com</link>
        </image>
        <copyright>All rights reserved 2026</copyright>
        <atom:link href="https://xiaodaozhi.com/feed" rel="self" type="application/rss+xml"/>
        <item>
            <title><![CDATA[基于海量样本数据的高级威胁发现]]></title>
            <link>https://xiaodaozhi.com/security/195.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/security/195.html</guid>
            <pubDate>Thu, 08 Dec 2022 04:00:00 GMT</pubDate>
            <description><![CDATA[“看见”的能力始终伴随着“不看见”的能力，正如“太极”的两部分。什么是看见？看见一片大海、一片星空、一片沙漠，是看见吗？正是由于有选择的不看见的能力，忽略过滤排除筛选，去除大量无效信息，才能拨云见日、从茫茫大海星空沙漠中看见更加有价值的东西。 本文由我在互联网安全大会 ISC 2022 分论坛“以对手为目标的威胁防御——安全情报与高级威胁论坛”中的分享《基于海量样本数据的高级威胁发现》整理而成，内容有所改动。这次分享主要从 4 个方面呈现，分别是：严峻的网络威胁形势、恶意行为自动化检测技术、海量样本数据运营、情报生产和高级威胁发现。 ![基于海量样本数据的高级威胁发现][1] 严峻的网络威胁形...]]></description>
            <content:encoded><![CDATA[“看见”的能力始终伴随着“不看见”的能力，正如“太极”的两部分。什么是看见？看见一片大海、一片星空、一片沙漠，是看见吗？正是由于有选择的不看见的能力，忽略过滤排除筛选，去除大量无效信息，才能拨云见日、从茫茫大海星空沙漠中看见更加有价值的东西。 本文由我在互联网安全大会 ISC 2022 分论坛“以对手为目标的威胁防御——安全情报与高级威胁论坛”中的分享《基于海量样本数据的高级威胁发现》整理而成，内容有所改动。这次分享主要从 4 个方面呈现，分别是：严峻的网络威胁形势、恶意行为自动化检测技术、海量样本数据运营、情报生产和高级威胁发现。 ![基于海量样本数据的高级威胁发现][1] 严峻的网络威胁形...]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[丰富化威胁情报平台的能力]]></title>
            <link>https://xiaodaozhi.com/security/172.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/security/172.html</guid>
            <pubDate>Sun, 05 Sep 2021 04:00:00 GMT</pubDate>
            <description><![CDATA[翻译自英文文章：《Enriching Threat Intelligence Platforms Capabilities》。文章讲述一个丰富化的威胁情报平台的实现思路，以扩展当前 TIP 中的导入、质量评估过程和信息共享功能。原文链接在文后可见。]]></description>
            <content:encoded><![CDATA[翻译自英文文章：《Enriching Threat Intelligence Platforms Capabilities》。文章讲述一个丰富化的威胁情报平台的实现思路，以扩展当前 TIP 中的导入、质量评估过程和信息共享功能。原文链接在文后可见。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[Win32k NULL-Pointer-Dereference Analysis by Matching the May Update]]></title>
            <link>https://xiaodaozhi.com/exploit/156.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/156.html</guid>
            <pubDate>Tue, 09 Apr 2019 04:00:00 GMT</pubDate>
            <description><![CDATA[Microsoft shipped and fixed four win32k kernel Escalation of Privilege vulnerabilities in the May security bulletin. This article will discover and analyze one of these vulnerabilities caused by a null pointer dereference fixed by the patch program, and will finally attempt to implement its proof an...]]></description>
            <content:encoded><![CDATA[Microsoft shipped and fixed four win32k kernel Escalation of Privilege vulnerabilities in the May security bulletin. This article will discover and analyze one of these vulnerabilities caused by a null pointer dereference fixed by the patch program, and will finally attempt to implement its proof an...]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[通过对比 5 月补丁分析 win32k 空指针解引用漏洞]]></title>
            <link>https://xiaodaozhi.com/exploit/149.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/149.html</guid>
            <pubDate>Thu, 13 Sep 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[微软在 5 月安全公告中包含并修复了 4 个 win32k 内核提权漏洞。这篇文章将通过补丁对比的方式，发现并分析补丁程序中修复的一个由某处空指针解引用导致的提权漏洞，最终实现其验证和利用代码。分析和调试的过程将在 Windows 7 x86 SP1 基础环境的虚拟机中进行。]]></description>
            <content:encoded><![CDATA[微软在 5 月安全公告中包含并修复了 4 个 win32k 内核提权漏洞。这篇文章将通过补丁对比的方式，发现并分析补丁程序中修复的一个由某处空指针解引用导致的提权漏洞，最终实现其验证和利用代码。分析和调试的过程将在 Windows 7 x86 SP1 基础环境的虚拟机中进行。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[对 UAF 漏洞 CVE-2016-0167 的分析和利用]]></title>
            <link>https://xiaodaozhi.com/exploit/135.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/135.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[这篇文章将对 Windows 释放后重用（UAF）内核漏洞 CVE-2016-0167 进行一次简单的分析并构造其利用验证代码。该漏洞在 2016 年据报道称被用于攻击支付卡等目标的数据，并和之前分析的 CVE-2016-0165 在同一个补丁程序中被微软修复。针对该漏洞的分析和测试是在 Windows 7 x86 SP1 基础环境的虚拟机中进行的。]]></description>
            <content:encoded><![CDATA[这篇文章将对 Windows 释放后重用（UAF）内核漏洞 CVE-2016-0167 进行一次简单的分析并构造其利用验证代码。该漏洞在 2016 年据报道称被用于攻击支付卡等目标的数据，并和之前分析的 CVE-2016-0165 在同一个补丁程序中被微软修复。针对该漏洞的分析和测试是在 Windows 7 x86 SP1 基础环境的虚拟机中进行的。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[CVE-2015-2546 UAF Analysis and Exploit]]></title>
            <link>https://xiaodaozhi.com/exploit/132.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/132.html</guid>
            <pubDate>Thu, 17 Jun 2021 04:00:00 GMT</pubDate>
            <description><![CDATA[This article will analyze a UAF vulnerability in win32k Window Manager (User) Subsystem in Windows: CVE-2015-2546. Similar to CVE-2017-0263 analyzed in the previous article, this vulnerability is use-after-free of popup menu tagPOPUPMENU object as well. The analyzing environment is Windows 7 x86 SP1...]]></description>
            <content:encoded><![CDATA[This article will analyze a UAF vulnerability in win32k Window Manager (User) Subsystem in Windows: CVE-2015-2546. Similar to CVE-2017-0263 analyzed in the previous article, this vulnerability is use-after-free of popup menu tagPOPUPMENU object as well. The analyzing environment is Windows 7 x86 SP1...]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[对 UAF 漏洞 CVE-2015-2546 的分析和利用]]></title>
            <link>https://xiaodaozhi.com/exploit/122.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/122.html</guid>
            <pubDate>Sun, 16 Sep 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[这篇文章将分析 Windows 操作系统 win32k 内核模块窗口管理器子系统中的 CVE-2015-2546 漏洞，与上一篇分析的 CVE-2017-0263 漏洞类似地，这个漏洞也是弹出菜单 tagPOPUPMENU 对象的释放后重用（UAF）漏洞。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机。]]></description>
            <content:encoded><![CDATA[这篇文章将分析 Windows 操作系统 win32k 内核模块窗口管理器子系统中的 CVE-2015-2546 漏洞，与上一篇分析的 CVE-2017-0263 漏洞类似地，这个漏洞也是弹出菜单 tagPOPUPMENU 对象的释放后重用（UAF）漏洞。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[From CVE-2017-0263 To Windows Menu Manager]]></title>
            <link>https://xiaodaozhi.com/exploit/117.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/117.html</guid>
            <pubDate>Tue, 28 Jul 2020 04:00:00 GMT</pubDate>
            <description><![CDATA[CVE-2017-0263 is a UAF vulnerability in Menu Management Component in win32k kernel module of Windows operating system, which was reported to be used to attack with an EPS vulnerability to interfere the French election. This article will simply analyze the CVE-2017-0263 part of the attacking sample i...]]></description>
            <content:encoded><![CDATA[CVE-2017-0263 is a UAF vulnerability in Menu Management Component in win32k kernel module of Windows operating system, which was reported to be used to attack with an EPS vulnerability to interfere the French election. This article will simply analyze the CVE-2017-0263 part of the attacking sample i...]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[从 CVE-2017-0263 漏洞分析到 Windows 菜单管理组件]]></title>
            <link>https://xiaodaozhi.com/exploit/71.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/71.html</guid>
            <pubDate>Tue, 28 Jul 2020 04:00:00 GMT</pubDate>
            <description><![CDATA[CVE-2017-0263 是 Windows 操作系统 win32k 内核模块菜单管理组件中的一个 UAF（释放后重用）漏洞，据报道称该漏洞在之前与一个 EPS 漏洞被 APT28 组织组合攻击用来干涉法国大选。这篇文章将对用于这次攻击的样本的 CVE-2017-0263 漏洞部分进行一次简单的分析，以整理出该漏洞利用的运作原理和基本思路，并对 Windows 窗口管理器子系统的菜单管理组件进行简单的探究。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机。]]></description>
            <content:encoded><![CDATA[CVE-2017-0263 是 Windows 操作系统 win32k 内核模块菜单管理组件中的一个 UAF（释放后重用）漏洞，据报道称该漏洞在之前与一个 EPS 漏洞被 APT28 组织组合攻击用来干涉法国大选。这篇文章将对用于这次攻击的样本的 CVE-2017-0263 漏洞部分进行一次简单的分析，以整理出该漏洞利用的运作原理和基本思路，并对 Windows 窗口管理器子系统的菜单管理组件进行简单的探究。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[分析笔记：MS17-017 中的整数溢出漏洞]]></title>
            <link>https://xiaodaozhi.com/exploit/70.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/70.html</guid>
            <pubDate>Tue, 22 Mar 2022 04:00:00 GMT</pubDate>
            <description><![CDATA[前面的文章分析了 CVE-2016-0165 整数上溢漏洞，这篇文章继续分析另一个同样发生在 GDI 子系统的一个整数向上溢出漏洞（在分析此漏洞时，误以为此漏洞是 MS17-017 公告中的 CVE-2017-0101 漏洞，近期根据 @MJ 的提醒，发现此漏洞不是 CVE-2017-0101 而可能是 CVE-2017-0102 或其他在此公告中隐性修复的漏洞，在此更正，并向给各位读者带来的误导致歉）。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></description>
            <content:encoded><![CDATA[前面的文章分析了 CVE-2016-0165 整数上溢漏洞，这篇文章继续分析另一个同样发生在 GDI 子系统的一个整数向上溢出漏洞（在分析此漏洞时，误以为此漏洞是 MS17-017 公告中的 CVE-2017-0101 漏洞，近期根据 @MJ 的提醒，发现此漏洞不是 CVE-2017-0101 而可能是 CVE-2017-0102 或其他在此公告中隐性修复的漏洞，在此更正，并向给各位读者带来的误导致歉）。分析的环境是 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[从 CVE-2016-0165 说起：分析、利用和检测（下）]]></title>
            <link>https://xiaodaozhi.com/exploit/56.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/56.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></description>
            <content:encoded><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[从 CVE-2016-0165 说起：分析、利用和检测（中）]]></title>
            <link>https://xiaodaozhi.com/exploit/42.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/42.html</guid>
            <pubDate>Mon, 16 Sep 2019 04:00:00 GMT</pubDate>
            <description><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></description>
            <content:encoded><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[从 CVE-2016-0165 说起：分析、利用和检测（上）]]></title>
            <link>https://xiaodaozhi.com/exploit/32.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/32.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></description>
            <content:encoded><![CDATA[本文将对 CVE-2016-0165 (MS16-039) 漏洞进行一次简单的分析，并尝试构造其漏洞利用和内核提权验证代码，以及实现对应利用样本的检测逻辑。分析环境为 Windows 7 x86 SP1 基础环境的虚拟机，配置 1.5GB 的内存。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[挂钩 NtCreateThreadEx 导致 0xC00000F2 问题]]></title>
            <link>https://xiaodaozhi.com/kernel/31.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/kernel/31.html</guid>
            <pubDate>Sat, 21 Aug 2021 04:00:00 GMT</pubDate>
            <description><![CDATA[近期在研究和开发基于虚拟化的虚拟 HOOK 技术。在 Windows 7 x64 环境开发实测期间，发现针对 NtCreateThreadEx 函数的 HOOK 存在问题：该函数大部分情况下变得只返回 0xC00000F2 (STATUSINVALIDPARAMETER4) 第 4 个参数无效的状态码。这导致系统出现很多问题，大部分的新线程都无法成功创建。为了解决这个问题，在这篇文章中对问题进行追溯，查找到底是哪里导致的。]]></description>
            <content:encoded><![CDATA[近期在研究和开发基于虚拟化的虚拟 HOOK 技术。在 Windows 7 x64 环境开发实测期间，发现针对 NtCreateThreadEx 函数的 HOOK 存在问题：该函数大部分情况下变得只返回 0xC00000F2 (STATUSINVALIDPARAMETER4) 第 4 个参数无效的状态码。这导致系统出现很多问题，大部分的新线程都无法成功创建。为了解决这个问题，在这篇文章中对问题进行追溯，查找到底是哪里导致的。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[调用 NtUserXXX 引发系统 BSOD 的问题分析]]></title>
            <link>https://xiaodaozhi.com/kernel/30.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/kernel/30.html</guid>
            <pubDate>Sat, 21 Aug 2021 04:00:00 GMT</pubDate>
            <description><![CDATA[这篇文章通过一次在 Windows XP 和 Windows 7 操作系统内核中分别调用同一个 NtUserXxx 系统调用产生不同现象的问题，对其做了简单分析。]]></description>
            <content:encoded><![CDATA[这篇文章通过一次在 Windows XP 和 Windows 7 操作系统内核中分别调用同一个 NtUserXxx 系统调用产生不同现象的问题，对其做了简单分析。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[通过 Windows 用户模式回调实施的内核攻击]]></title>
            <link>https://xiaodaozhi.com/exploit/29.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/exploit/29.html</guid>
            <pubDate>Thu, 18 Oct 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[这篇文章翻译自一篇多年之前的论文，原文作者是 Tarjei Mandt。原文系统地描述了 win32k 的用户模式回调机制以及相关的原理和思想，可以作为学习 win32k 漏洞挖掘的典范。早前曾经研读过，近期又翻出来整理了一下翻译，在这里发出来做个记录。原文链接在文后可见。]]></description>
            <content:encoded><![CDATA[这篇文章翻译自一篇多年之前的论文，原文作者是 Tarjei Mandt。原文系统地描述了 win32k 的用户模式回调机制以及相关的原理和思想，可以作为学习 win32k 漏洞挖掘的典范。早前曾经研读过，近期又翻出来整理了一下翻译，在这里发出来做个记录。原文链接在文后可见。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[恶意样本对抗栈回溯检测机制的套路浅析]]></title>
            <link>https://xiaodaozhi.com/analysis/28.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/analysis/28.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[最近发现有很多漏洞利用或木马程序样本会通过一些技术手段，达到使自动化检测系统或分析人员调试工具的栈回溯机制失效的目的。在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。]]></description>
            <content:encoded><![CDATA[最近发现有很多漏洞利用或木马程序样本会通过一些技术手段，达到使自动化检测系统或分析人员调试工具的栈回溯机制失效的目的。在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[从 PE 文件资源表中提取文件的版本信息]]></title>
            <link>https://xiaodaozhi.com/develop/25.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/develop/25.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[前段时间需要实现对 Windows PE 文件版本信息的提取，如文件说明、文件版本、产品名称、版权、原始文件名等信息。获取这些信息在 Windows 下当然有一系列的 API 函数供调用，简单方便。但是当需要在 Linux 操作系统平台下提取 PE 文件的版本信息数据时，就需要自己对 PE 文件的结构进行手动解析。]]></description>
            <content:encoded><![CDATA[前段时间需要实现对 Windows PE 文件版本信息的提取，如文件说明、文件版本、产品名称、版权、原始文件名等信息。获取这些信息在 Windows 下当然有一系列的 API 函数供调用，简单方便。但是当需要在 Linux 操作系统平台下提取 PE 文件的版本信息数据时，就需要自己对 PE 文件的结构进行手动解析。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[在 64 位 Windows 操作系统中的内核特权级别提升]]></title>
            <link>https://xiaodaozhi.com/kernel/22.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/kernel/22.html</guid>
            <pubDate>Fri, 08 Jun 2018 04:00:00 GMT</pubDate>
            <description><![CDATA[这篇文章翻译自一篇英文技术博客。文章讲述了 Windows 7 x64 系统中对指定进程进行特权级别提升的原理和方法。原文链接在文后可见。]]></description>
            <content:encoded><![CDATA[这篇文章翻译自一篇英文技术博客。文章讲述了 Windows 7 x64 系统中对指定进程进行特权级别提升的原理和方法。原文链接在文后可见。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
        <item>
            <title><![CDATA[Windows 内核驱动程序完整性校验的原理分析]]></title>
            <link>https://xiaodaozhi.com/kernel/20.html</link>
            <guid isPermaLink="false">https://xiaodaozhi.com/kernel/20.html</guid>
            <pubDate>Thu, 06 Jun 2019 04:00:00 GMT</pubDate>
            <description><![CDATA[在上一篇文章中提到了 Windows Vista 及之后版本的 Windows 操作系统在驱动程序加载完成后，驱动中调用的一些系统回调函数（如 ObRegisterCallbacks，可用来监控系统中对进线程句柄的操作，如打开进程、复制线程句柄等）等 API 中会通过 MmVerifyCallbackFunction 函数对该驱动程序进行完整性检查，检测未通过则会返回 0xC0000022 拒绝访问的返回值。在这篇文章中将会对这个函数进行简单的分析，以明确其原理。]]></description>
            <content:encoded><![CDATA[在上一篇文章中提到了 Windows Vista 及之后版本的 Windows 操作系统在驱动程序加载完成后，驱动中调用的一些系统回调函数（如 ObRegisterCallbacks，可用来监控系统中对进线程句柄的操作，如打开进程、复制线程句柄等）等 API 中会通过 MmVerifyCallbackFunction 函数对该驱动程序进行完整性检查，检测未通过则会返回 0xC0000022 拒绝访问的返回值。在这篇文章中将会对这个函数进行简单的分析，以明确其原理。]]></content:encoded>
            <author>稻草小刀</author>
        </item>
    </channel>
</rss>