农村主教 RuralBishop实际上是的复本，但所有调用已被代替。 这将在RuralBishop中创建本地RW部分，然后将该部分作为RX映射到远程进程。一旦建立了共享节，便会将shellcode写入本地节，然后将其自动传播到远程进程。为了执行，RuralBishop创建一个远程挂起的线程（起始地址设置为ntdll!RtlExitUserThread ），并将APC在该线程上排队。使用NtAlertResumeThread恢复NtAlertResumeThread ，将执行shellcode，并