应用层阻止远程线程注入

关注

转载最新推荐文章于 2026-08-21 16:51:53 发布 2.5k 阅读 AI 写同款· GEO 优化 ›

Web安全攻防实战：从XSS到SQL注入的28种攻击手法与防御体系构建在Web应用开发中，安全是构建可靠系统的基石。其核心原理在于理解攻击者如何利用应用漏洞实施攻击，从而在设计之初就融入防护机制。从技术价值看，掌握Web安全能有效保护用户数据、保障业务连续性和维护企业声誉。常见的应用场景包括电商、金融、社交平台等所有在线服务。其中，跨站脚本攻击（XSS）通过注入恶意脚本危害用户浏览器，而SQL注入则通过操纵数据库查询威胁数据安全。本文系统梳理了从客户端到服务端的完整攻击链，并提供了从编码实践到架构设计的纵深防御方案，帮助开发者构建更坚固的Web应用。阅读详情

利用DLL_THREAD_ATTACH即可。当有新线程加入时，进行过滤即可。

 BOOL WINAPI DllMain(HINSTANCE hinstDll, DWORD fdwReason, PVOID fImpLoad) 
 2 {
 3     switch (fdwReason) 
 4     {
 5 
 6     case DLL_PROCESS_ATTACH:
 7 
 8             break;
 9     
10     case DLL_THREAD_ATTACH:
11             // A new thread is being created in the current process.
12             break;
13         
14     case DLL_THREAD_DETACH:
15         // A thread is exiting cleanly.
16         break;
17 
18     case DLL_PROCESS_DETACH:
19         // The calling process is detaching the DLL from its address space.
20         break;
21     }
22     return(TRUE);
23 }

这里有一种办法解决：

            hThread = GetCurrentThread();
            NtQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress, &dwStaAddr, sizeof(dwStaAddr), &dwReturnLength);
            VirtualQuery(dwStaAddr, &mbi, sizeof(mbi));
            if (mbi.AllocationBase != GetModuleHandle(NULL)) {
                TerminateThread(hThread, 0);
            }

还有一张办法是用NtQueryInformationThread获得线程入口点地址，然后判断机器指令是否为LoadLibraryA即可。显然这种方法比较挫。