返回：Windows 逆向攻防篇 · 网络安全学习主页

这一节对应 03.0 - 03.4。它的关键词是“更早的执行时机”和“系统级配置触发”。相比单次线程实验，这类机制更容易牵涉持久化、全局影响和系统配置风险，所以笔记只保留合法实验与检测视角。

1、内容范围

小节 主题
03.0 进程挂起执行及对应安全检测
03.1 早鸟执行实现原理与流程
03.2 AppInit_DLLs
03.3 注册表操作与 REG 文件定义
03.4 键值写入与命令行验证方法

1.1、逐节复盘

小节 主要内容 复盘点
03.0 理解进程挂起启动和早期执行窗口 观察进程创建参数、挂起状态、主线程恢复时机和父子关系
03.1 复盘早鸟执行的整体流程与检测点 重点看进程还没正常运行前是否出现异常内存、线程或 APC 行为
03.2 认识 AppInit_DLLs 这类全局加载机制 从历史机制和兼容性角度理解，不作为推荐实践
03.3 了解注册表配置如何影响全局加载行为 记录键路径、值类型、权限和是否会造成系统级影响
03.4 用命令行和日志验证配置是否生效 关注变更前后差异、恢复方式和误操作风险

2、核心理解

主题 复盘重点
挂起进程 进程创建后尚未正常运行时，线程状态和入口前阶段很敏感
早鸟执行 关键是执行时机早，检测要看创建、挂起、排队、恢复的时间线
全局注册 注册表配置会影响范围更大，必须在虚拟机和授权环境中复盘
配置验证 关注键值、路径、权限、签名和配置恢复

3、防护观察点

观察点 说明
进程创建参数 是否存在挂起创建、异常父进程、异常命令行
早期线程行为 主线程恢复前是否出现异常队列、入口变化或内存变化
注册表键值 与加载、全局 DLL、启动项相关的键值需要审计
文件路径 DLL 路径是否位于用户可写目录、临时目录或异常路径
变更恢复 实验后必须记录并恢复配置，避免污染系统

4、复盘模板

项目 记录内容
实验目标 自写程序或课程样本
触发点 进程创建阶段、注册表加载阶段或配置变更阶段
系统变化 进程树、线程状态、注册表前后对比
检测结果 安全工具、事件日志、手动检查结果
清理动作 删除测试配置、恢复快照或还原键值

5、学习检查清单

检查项 状态
能解释“早鸟”的核心是执行时机而不是单一 API 待复盘
能列出挂起进程阶段可观察的行为线索 待复盘
能说明全局注册类机制为什么风险更高 待复盘
能完成注册表实验前后差异记录和恢复计划 待复盘

涉及全局注册和启动加载的内容只做隔离环境复盘，不在真实工作机或他人设备上实验。