本文是一篇2023年的教学向长文，系统展示了从用户态MessageBoxA调用到内核Rootkit的完整攻击链，涵盖动态函数加载、PEB遍历、IAThook、进程镂空、DLL注入、shellcode加密及APC注入等技术。文章强调知识链条的完整性，但明确指出其中DKOM摘链、SSDThook等技术在2026年因PatchGuard等防御机制已过时，EarlyBirdAPC注入也已被主流EDR覆盖，价值在于教学而非实战免杀。

Fastjson2存在高危远程代码执行漏洞(评分9.0),影响版本<=2.0.62。攻击者可通过FNV-1a哈希碰撞构造恶意类名绕过白名单校验,利用URLClassLoader加载远程JAR实现RCE。建议立即升级至安全版本或开启SafeMode禁用AutoType功能。

Redis高危认证远程代码执行漏洞CVE-2026-25243存在两条独立攻击路径，底层均为双重释放缺陷，可绕过官方补丁实现无痕远程代码执行。漏洞利用不破坏业务数据且日志隐蔽，攻击门槛低，已有公开POC。受影响版本包括Redis6.2.22、7.4.9及8.6.4及以下版本。企业需立即自查受影响版本并升级至最新补丁，同时限制高危命令访问权限。

本文展示了一个已签名rootkit如何利用PsSetCreateProcessNotifyRoutineEx注册回调，在进程创建前阻止EDR进程启动，从而禁用系统安全防护。该攻击凸显了内核级防护的重要性，建议加强驱动签名策略与安全启动机制。