和谐掉系统的文件保护一分钟

lonkil 从某AutoRun中逆出来的，利用微软未公布的API,sfc_os.dll中的ordinal为5函数，关闭文件保护一分钟。在网上查了一下资料，C代码如下：

[cpp] view plain copy

print?

1. //C code demo
2. typedef DWORD(__stdcall *CPP) (DWORD param1, PWCHAR param2, DWORD param3);
3. void Disable_WFP()
4. {
5. HINSTANCE hmod=LoadLibrary(_T"sfc_os.dll"));
6. SetSfcFileException;
7. // the function is stored at the fifth ordinal in sfc_os.dll
8. SetSfcFileException= (CPP)GetProcAddress(hmod,(LPCSTR)5);
9. SetSfcFileException(0, _T("c://windows//system32//calc.exe"),-1);
10. //Now we can modify the system file in a complete stealth.
11. ......
12. }

原文链接：http://www.vcfans.com/2009/12/harmony-out-the-system-file-protection-for-one-minute.html

http://blog.csdn.net/wangningyu/article/details/5068202