环境变量还是有的玩。。。

kfpe23

这半天时间都花在找在线编译和捣鼓虚拟机上了。。。找了十几个在线编译才一个能用，然后虚拟机又出毛病。
就是想试试通过修改环境变量除了之前说过的可以绕360写启动，能不能注入explorer.exe。

做法倒是很简单，但是很不环保。
xp下就是修改一下
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Environment
弄个systemroot
指向自己的路径c:\test
然后弄个假的shell32.dll放在c:\test\system32\shell32.dll
然后sendmessage刷新一下环境变量.
这样从process explorer工具看到的explorer.exe的环境变量就变了。（winlogon.exe为毛不变。。。）
因为explorer的shell32接口太多，可以触发加载的地方太多。所以只要文件丢过去就可以说我注入成功了。。

不过systemroot不能一直弄成c:\test，要出事的，所以得再注册表恢复systemroot（删掉再刷新不行，得写成c:\windows,再刷新一下。。）

win7下不太一样，系统机制不一样，360的主防在xp和win7x64下做的也不一样。。。。
可以把shell32.dll丢到临时目录，因为临时目录在360白名单不会拦截，或者结束explorer通过winlogon的antorestartshell重启explorer从而刷新环境变量（这个xp就不行，一个环境变量两个系统的机制就不一样）.