Start.exe 安装 Insert.dll 中的 WH_GETMESSAGE 钩子.在钩子回调函数中 判断当前进程ID是否先前 Start.exe 查找到的 Explorer进程ID, 是的话,则 再次LoadLibrary(Insert.dll),并定位到其中ThreadPro函数. 此时创建一个 新线程,线程函数就是ThreadPro,该新线程首先往Start.exe消息队列放置一个线 程退出消息 WM_QUIT,导致其消息循环结束. 此时插入线程完成..可以看到

Purpose: - Implement remote code injection - Usermode hook (Ntdll->NtQueryDirectoryFile) Note: This is only POC that will hide file explorer.exe Hidding file via usermode code injection to explorer.exe You can restart explorer.exe to un

IFileOperation COM HOOK代码实例 WIN7系统在explorer.exe中操作文件都是调用IFileOperation COM接口，因此通用方法HOOK Win32 API 如DeleteFile就失去了作用 该实例成功HOOK到了NewItem、RenameItem、RenameItems、MoveItem、MoveItems、CopyItem、CopyItems、DeleteItem、DeleteItems等接口 备注： google您可以找到有关com