这是谁的孩子？

摘要

Yarden Shafir 解析 Windows 进程重父机制：子进程如何挂到并非调用 CreateProcess 的父进程下，为何 ProcMon 会显示 explorer.exe 启动 Windows Terminal 的误导性调用栈，以及攻击者与合法应用各自的滥用方式。