0x0 基础知识

00 异步过程调用 (APC)

• 异步过程调用 (APC) 是在特定线程的上下文中异步执行的函数。 当 APC 排队到线程时，系统会发出软件中断。 下次计划线程时，它将运行 APC 函数。 系统生成的 APC 称为 内核模式 APC。 应用程序生成的 APC 称为 用户模式 APC。 线程必须处于 可警报状态 才能运行用户模式 APC。
• 每个线程都有自己的 APC 队列。 应用程序通过调用 QueueUserAPC 函数将 APC 排队到线程。 调用线程在对 QueueUserAPC 的调用中指定 APC 函数的地址。 APC 的队列是线程调用 APC 函数的请求。
• 当用户模式 APC 排队时，它排队的线程不会定向到调用 APC 函数，除非它处于可警报状态。 线程在调用 SleepEx、 SignalObjectAndWait、 MsgWaitForMultipleObjectsEx、 WaitForMultipleObjectsEx 或 WaitForSingleObjectEx 函数时进入可警报状态。 如果在 APC 排队之前满足等待，则线程不再处于可警报等待状态，因此不会执行 APC 函数。 但是，APC 仍处于排队状态，因此当线程调用另一个可警报等待函数时，将执行 APC 函数。
• ReadFileEx、SetWaitableTimer、SetWaitableTimerEx 和 WriteFileEx 函数使用 APC 作为完成通知回调机制来实现。
• 如果使用 线程池，请注意，APC 不与其他信号机制一样工作，因为系统控制线程池线程的生存期，因此线程有可能在传递通知之前终止。 不要使用基于 APC 的信号机制（如 SetWaitableTimer 或 SetWaitableTimerEx 的 pfnCompletionRoutine 参数），而是使用可等待的对象，例如使用 CreateThreadpoolTimer 创建的计时器。 对于 I/O，请使用使用 CreateThreadpoolIo 创建的 I/O 完成对象或基于 hEvent的 OVERLAPPED 结构，其中事件可以传递给 SetThreadpoolWait 函数。

01 相关 API 函数

QueueUserAPC 函数 (processthreadsapi.h) – Win32 apps | Microsoft Learn

sleepEx 函数 (synchapi.h) – Win32 apps | Microsoft Learn

02 测试 ShellCode

我们用 msfvenom 生成一个测试用的我 ShellCode，内容为弹出一个计算器， 生成格式为 C

msfvenom -p windows/exec cmd=calc.exe -f c

Payload size: 193 bytes
Final size of c file: 838 bytes
unsigned char buf[] = 
"\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b\x50"
"\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26"
"\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7"
"\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c\x8b\x4c\x11\x78"
"\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01\xd3\x8b\x49\x18\xe3"
"\x3a\x49\x8b\x34\x8b\x01\xd6\x31\xff\xac\xc1\xcf\x0d\x01"
"\xc7\x38\xe0\x75\xf6\x03\x7d\xf8\x3b\x7d\x24\x75\xe4\x58"
"\x8b\x58\x24\x01\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3"
"\x8b\x04\x8b\x01\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a"
"\x51\xff\xe0\x5f\x5f\x5a\x8b\x12\xeb\x8d\x5d\x6a\x01\x8d"
"\x85\xb2\x00\x00\x00\x50\x68\x31\x8b\x6f\x87\xff\xd5\xbb"
"\xf0\xb5\xa2\x56\x68\xa6\x95\xbd\x9d\xff\xd5\x3c\x06\x7c"
"\x0a\x80\xfb\xe0\x75\x05\xbb\x47\x13\x72\x6f\x6a\x00\x53"
"\xff\xd5\x63\x61\x6c\x63\x2e\x65\x78\x65\x00";

0x1 实现代码