inlinehookWindows内核中，某驱动模块对KeAttachProcess函数头进行了Inline Hook，并不断检测，故事也从这里开始...

cnnic中文上网软件是什么东西啊？

这是个罪大恶极的流氓软件 强烈建议立刻用360安全卫士清除 cnnic简介 CNNIC(中国互联网络信息中心)旗下的“CNNIC中文上网”在诸多民意测试中均为网民投诉量名列前三甲的恶意软件，网民使用奇虎360安全卫士主动卸载CNNIC旗下产品“CNNIC中文上网”和“CNNIC无忧上网工具条”每周超过200万次，在每周用户自主查杀榜单中仅次于雅虎中国。

据网友反应，“CNNIC中文上网”软件有诸多特征符合中国互联网协会颁布的恶意软件定义，如下： 1、 强制安装：未经提示即被偷偷安装在用户电脑中，通过共享软件的渠道无提示捆绑CNNIC中文上网插件。

2、 无法卸载：用户卸载时需要用户输入所谓复杂的“验证码“，用户照实输入后，也经常出现无法卸载的现象，更有一些版本的中文上网的卸载程序根本无效。

用户也无法手工删除它的文件，造成了无法卸载。

3、最新版的“CNNIC中文上网”还使用了FSD INLINE HOOK技术。

它最大的特点就是无法卸载,苦恼了N多人 ==其实杀它很简单== 1,下载安装最新的360安全卫士和CNNIC专杀工具 2,使用CNNIC专杀工具 3,一般情况是提示找不到,这时你重新启动计算机,进入安全模式 4,在安全模式下,找到名为CNNIC的文件夹,整个删除粉碎 (一般在C:Program FileCommon Files里,你实在找不到的话,就在开始搜索出来) 5,启动360安全卫士,清除CNNIC的残留部分, 6,然后重新启动,回到正常模式.

什么是IEFO？

IEFO也称为Windows文件映像劫持技术，在Windows注册表中有一项Image File Execution Options，主要用于调用对应程序，系统默认必须要有超级管理员级别用户才有权修改。

　　当此项被用户误改或发生故障时应用程序就会混乱，用户会发现运行的并不是自己指定的程序，例如双击IE后却跳出了Outlook的窗口，运行Word却打开了Excel，应用程序之间互相覆盖，这时就出现了映像劫持现象。

通常这种情况很少发生，即使发生了多半也都是由于部分程序写入注册表时无意破坏了此项。

Windows内核中，某驱动模块对KeAttachProcess函数头进行了Inline Hook，并不断检测，故事也从这里开始...

如果不检测的话 可以直接恢复不用搞那麻烦的IAT EAT hook 我搞这个直接是函数头部hook jmp XXXXX 而且有效验 要么把附加进程调用KeAttachProcess的地址全 hook了 要么 试试你的方法看看去 MyQQ 565710420 有空交流下