【IT专家网独家】很多人对Rootkit感兴趣，Rootkit技术已经用于很多流氓软件中，杀毒软件开始重视Rootkit。很多Rootkit所做的主要工作是在内核态做手脚来隐藏攻击者的后门。那么相应就有很多检测工具来检测隐藏的进程与线程。
有没有办法在Rootkit的内核模块里就实现一个完整的后门，提供一个CMD出来呢?这样就免去了隐藏进程所带来的风险。
NT Rootkit试图这么做过，不知道什么原因这个功能并没有开发完成。这涉及到一个问题，如何从内核态来执行用户态代码。
关于这个话题有人很早就已经研究了，但是目前还没有成熟的、公开源码的后门使用这样的技术。也许觉得这很神秘?其实不然。Rootkit.com上的valerino就提到过用APC的方法来CreateProcess。
如果对Windows操作系统有深入的了解，那么很快你可以想到一个函数：KeUserModeCallback；如果你对linux也比较了解，你会知道一个宏：move_to_user_mode。他们两个实质都是使用中断返回的方式执行到了用户态代码。
但这会带来一些问题，他们都只能让你的代码运行在当前线程，以及如何触发他们?
你也许会想到Windows的APC，它可以让代码运行在一个你任意制定的线程环境中。然而APC常常为系统所用(比如I/O Manager)，通常的开发人员是不会去接触这个东西，所以相应的文档资料就少得可怜。
APC(Asynchronous Procedure Call) --- 异步过程调用
APC的精确定义我不太明确，通过它的行为，可以这样理解：将一个内核过程插入到一个线程队列等待执行，相当于强行插入到特定线程上下文中去执行的一段代码。
系统中存在三种APC：
普通内核APC：它们可以插入内核线程，它们在那个内核线程没有执行其他APC的时候执行。
特定内核APC：基本上和上面的一样。但它们运行在APC_LEVEL中断级，而且不能被阻塞，除非它们运行在更高的中断级。它们可抢占普通内核APC的执行。
用户态APC：这种APC只能插入到一个用户线程中，这个线程必须事先调用一个等待函数比如WaitForSingleObject而且将Alertable置为TRUE。下一次线程从内核返回的时候，这个APC就得以执行。这就是我们要利用的APC了。
