文章总结： 本文探讨Ring3层重写API以绕过安全软件钩子的技术，对比360内核HOOK、火绒回调及ntdll挂钩的性能差异，通过CreateThread代码示例和ProcessMonitor捕获线程创建事件展示实操方法。
综合评分： 93
文章分类： 逆向分析,免杀,红队,内网渗透,安全工具

Ring3重写API绕过钩子

原创

hack07
hack07

网络攻防研究

2026年3月31日 16:45
上海

在小说阅读器读本章

去阅读

360是在内核里面进行hook，火绒通过回调。还有一些通过在ntdll里面进行挂钩(因为在ntdll挂钩性能是比在内核里面挂钩好的)。下图可以看到上面的就是k,就是进入内核了，下面的U就是用户。

我们写一段创建线程的代码：

#include<Windows.h>VOID WINAPI&nbsp;Thread(LPVOID lpParam)&nbsp;{MessageBoxA(0,&nbsp;0,&nbsp;0,&nbsp;0);}int&nbsp;main()&nbsp;{CreateThread(NULL,&nbsp;0, (LPTHREAD_START_ROUTINE)Thread,&nbsp;0,&nbsp;0,&nbsp;0);system("pause");}

然后打开process monitor，进行捕获，添加如下过滤条件：

• process name is my.exe
• operation is Thread Create

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络攻防研究 hack07
hack07《Ring3重写API绕过钩子》