APC机制

最新推荐文章于 2025-05-07 10:52:13 发布

原创最新推荐文章于 2025-05-07 10:52:13 发布 · 3.2k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

当前文章被以下社区和专栏收录：

APC(Asynchronous Procedure Call)异步过程调用。NtQueueApcThread()这个系统调用把一个”用户APC请求”挂入目标线程的APC队列。KTHREAD数据结构中APCState指向线程的APC队列（用户APC和内核APC。

一般来说，只有把APC请求挂入队列，就不再需要触发，而只是等待执行的时机。对于用户APC请求，该时机同样也是目标线程从内核返回用户空间的前夕。对于内核APC则有所不同，每当内核通过KeLowerIrql()降低其运行级别或者进行线程切换时，就会执行当前线程的内核APC。

APC执行的时机是在系统调用、中断、或异常处理之后从内核返回用户空间的途中，执行过程是在APC_LEVEL上。
DPC执行的时机是IRQ降到DISPATCH_LEVEL时

标签

#asynchronous #数据结构

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

strongxu

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

Windows驱动开发避坑指南：搞不清PASSIVE/APC/DISPATCH中断等级？你的代码离蓝屏只差一个KeRaiseIrql

weixin_30647423的博客

05-29

228

本文深入解析Windows驱动开发中的IRQL中断等级问题，揭示PASSIVE、APC和DISPATCH等级的关键差异及常见陷阱。通过实战案例和代码示例，帮助开发者避免蓝屏错误，提升驱动稳定性。特别针对内存访问、同步原语等场景提供安全编程指南，是Windows内核开发者的必备避坑手册。

暴力注入Explorer的apc方法

07-17

1368

向一个运行中的进程注入自己的代码，最自然莫过于使用CreateRemoteThread，如今远线程注入已经是泛滥成灾，同样的监测远线程注入、防止远线程注入的工具也举不胜举，一个木马或后门启动时向Explorer或IE的注入操作就像在自己脸上写上“我是贼”一样。用户态代码想要更隐蔽地藏身于别的进程，就应该在注入的环节隐蔽自己的行为。下面就介绍一种非常简单不过比较暴力的方法，给出的示例为在E

参与评论您还未登录，请先登录后发表或查看评论

探索隐蔽代码注入：NtQueueApcThreadEx NTDLL Gadget Injection

gitblog_00027的博客

05-30

605

探索隐蔽代码注入：NtQueueApcThreadEx NTDLL Gadget Injection ntqueueapcthreadex-ntdll-gadget-injectionThis novel way of using NtQueueApcThreadEx by abusing the ApcRoutine and SystemArgument[0-3] parameters by ...

APC

SUNE__学无止境

12-19

356

关于NT内核的apc机制

06-30

1676

Asynchronous Procedure Calls (APCs) are a fundamental building block in NTs asynchronous processing architecture. An understanding of this mechanism is essential to better understand how NT works

关于APC机制

4SecNet团队专栏

03-12

1414

在病毒、逆向中，关于APC最常见的应用就是APC注入的使用了，但是随着随APC的深入了解，发现不管是在内核状态进行APC注入的操作，还是在用户空间执行APC注入的操作。虽然调用的API不同，但是核心内容是不变的，就是往APC队列中插入回调函数,但是一直对于这个回调函数什么时候执行,是怎么执行的很费解.看了毛教授的文章《Windows的APC机制》受益匪浅，总结一点自己关于APC的思路：之前在分析rootkit的时候，有注意到关于内核中文件的读写函数的API调用中存在APCRoutine的参数设定，内核文件

初识APC机制&实现APC注入

dreamer292的博客

09-22

2659

其实就是一种骚姿势进行的DLL注入，而且动静比之前的小，又已经在运行的线程来回调插入到APC队列中的恶意DLL。

7 APC机制

史D芬周

12-17

859

（只判断用户空间的APC请求是因为在KiDeliverApc函数中会优先处理内核空间的APC然后处理用户空间的APC，因此我们不需要再多余进行判断）

Windows的APC机制

q87236316的专栏

01-17

574

好文转之前两篇漫谈中讲到，除ntdll.dll外，在启动一个新进程运行时，PE格式DLL映像的装入和动态连接是由ntdll.dll中的函数 LdrInitializeThunk()作为APC函数执行而完成的。这就牵涉到了Windows的APC机制，APC是“异步过程调用 (Asyncroneus Procedure Call)”的缩写。从大体上说，Windows的APC机制

APC机制详解

鬼手的博客

02-15

8180

文章目录APC的本质APC队列APC结构APC相关函数KiServiceExitKiDeliveApc备用APC队列ApcState的含义挂靠环境下的ApcState的含义其他APC相关成员ApcStatePointerApcStateIndexApcStatePointer与ApcStateIndex组合寻址ApcQueueableAPC挂入过程KAPC结构挂入流程KeInitializeApc...

ReactOS分析windows APC机制

dayenglish的专栏

09-01

1792

#define KeEnterGuardedRegion() \ { \ PKTHREAD _Thread = KeGetCurrentThread();

内核级APC的机制与影响

最新发布

weixin_28746457的博客

05-07

441

本文深入探讨了Windows内核中异步过程调用(APC)的工作机制，包括如何通过不同机制禁用APC，以及APC在内核和用户模式下的不同行为。文章详细解释了特殊内核APC和普通用户APC的执行流程，并通过代码和系统调用的分析，揭示了APC在系统调度和定时器处理中的作用。

Windows11_22H2下的APC机制分析

lkylky123789的博客

01-04

2386

APC机制分析

漫谈兼容内核之十二:Windows的APC机制

周寅的专栏

03-13

3425

前两篇漫谈中讲到，除ntdll.dll外，在启动一个新进程运行时，PE格式DLL映像的装入和动态连接是由ntdll.dll中的函数LdrInitializeThunk()作为APC函数执行而完成的。这就牵涉到了Windows的APC机制，APC是“异步过程调用(Asyncroneus Procedure Call)”的缩写。从大体上说，Windows的APC机制相当于Linux的Signal机

APC计算机编程,[原创]小Win，点一份APC（Apc机制详解）（一）

weixin_29184371的博客

07-27

894

翻开翻开小Win的菜单，APC赫然在目...做工讲究，味道不错，是小Win的热门菜，我们点一来尝尝！吃了可以做很多事情...APC注入APC注入APC注入...细节来自于ReactOS源码分析。如果对这个发神经的文风有任何不适，请谅解，因为我确实神经了来一份APCring3这么做的点APC的正确姿势是使用QueueUserApc，不走寻常路的也可以使用NtQueueApcThreadDWORDW...

win2k下的APC机制

06-30

1024

APC是运行在APC_level irql 上的内核机制。win2k下APC当作object来管理，在内核中定义的相应数据结构是KAPC 如下：typedef struct _KAPC { CSHORT Type;//对象类型，这里应该是ApcObject CSHORT Size;//KAPC结构的大小，应该为sizeof(KAPC) ULONG Spare0;

滴水逆向apc机制

若面朝大海边竹妮春暖花开的博客

08-31

940

nt!_KTHREAD +0x000 Header : _DISPATCHER_HEADER +0x018 CycleTime : Uint8B +0x020 QuantumTarget : Uint8B +0x028 InitialStack : Ptr64 Void +0x030 StackLimit : Ptr64 Void +0x...

漫谈兼容内核之十二: Windows的APC机制（毛德操）

vbsourcecode的专栏

02-07

2666