ContextMenu Manager Plus 深入分析实战在隔离进程中安全查看未知 Shell Extension 的真面目【免费下载链接】ContextMenuMgrContext Menu Manager Plus 是一个强大的实用程序它可帮助您管理 Windows 上的右键菜单并避免第三方向你的右键菜单里塞屎项目地址: https://gitcode.com/gh_mirrors/co/ContextMenuMgrContextMenu Manager Plus 是一款面向 Windows 的右键菜单管理器它的深入分析Deep Analysis功能可以启动一个独立的隔离进程 ProbeHost去真实加载并探测未知的 Shell Extension安全地把第三方软件塞进右键菜单的菜单项现形。本文带你了解它为什么必须隔离运行、一次分析是如何完成的以及如何解读分析结果。为什么不能顺手加载未知 Shell Extension Windows 右键菜单项大多由第三方 in-process COM DLL 提供。要看到它真正插进菜单的文字和图标程序必须在自己进程内创建这个 COM handler 并调用IContextMenu.QueryContextMenu——这一步风险极高风险后果崩溃第三方 DLL 的访问违例会直接拖垮宿主进程卡死handler 可能阻塞宿主线程异常行为依赖 Explorer 环境、选中文件等外部条件架构限制x86 handler 无法加载进 x64 进程如果把这件事放在主程序里做一个来路不明的 DLL 就可能让整个菜单管理器陪葬。这就是 ContextMenu Manager Plus 设计ProbeHost 隔离进程的出发点。ProbeHost一个可牺牲的隔离进程 ️ContextMenuMgr.ProbeHost是一个短生命周期的原生 C Win32 程序它在整个分析流程中扮演排雷兵角色边界非常清晰只读只读取必要的 COM 信息并执行探测不写注册表不执行命令只枚举菜单文字不调用任何菜单命令不常驻仅在用户点击深入分析时由前端按需启动可以失败超时、崩溃、无结果都是被容忍的正常失败不会牵连主程序前端会根据 handler DLL 的 PE 架构自动挑选同架构的 ProbeHosthandler 架构选择的 ProbeHostx86ProbeHost\x86\ContextMenuMgr.ProbeHost.exex64ProbeHost\x64\ContextMenuMgr.ProbeHost.exearm64ProbeHost\arm64\ContextMenuMgr.ProbeHost.exe架构不匹配时CoCreateInstance会失败严重甚至触发 native crash所以构建脚本 Verify-ProbeHostArchitecture.ps1 会在打包前校验目录标签与实际 PE machine type 是否一致。一次深入分析的完整流程 在界面中选中某个可疑的右键菜单项点击深入分析后前端与隔离进程之间的协作如下前端 ContextMenuDeepAnalysisService.cs 解析 handler DLL 路径与 CLSID按架构挑选 ProbeHost在临时目录写入request.json请求契约定义见 ContextMenuDeepAnalysisContracts.cs启动对应架构的ContextMenuMgr.ProbeHost.exe传入--request与--result参数入口逻辑见 main.cppProbeHost 完成 COM 初始化创建 handler 并枚举HMENU可安全提取的菜单项图标会被编码为 PNG base64结果写回result.json前端捕获 stdout / stderr / 退出码解析后在分析窗口中展示菜单项的文字、图标、canonical verb 与帮助文本整个探测默认带 5 秒超时超时后前端会直接结束 ProbeHost主界面依旧安然无恙。两种探测模式别把全菜单当成当前项 ⚠️深入分析提供两种模式它们回答的问题并不相同SpecificHandler只CoCreate当前条目的HandlerClsid再调用QueryContextMenu。结果最贴近当前菜单项但更容易因 handler 不支持IShellExtInit等初始化上下文而失败WholeContextMenu创建示例目标的完整右键菜单并整体枚举。结果可能混入其它软件、系统项和 Explorer 自身菜单不能当作当前 handler 的精确结果因此当 SpecificHandler 失败、WholeContextMenu 成功时不要解读为当前项探测成功——这是官方文档 docs/deep-analysis-probehost.md 中明确强调的语义边界。读懂分析结果失败也可能是正常 深入分析失败时前端会给出分类错误码。以下失败大多属于正常限制不必当作 Bug 报告错误码含义MissingX64ProbeHost等对应架构的 ProbeHost 缺失ArchitectureMismatchProbeHost 与 handler DLL 架构不兼容ShellExtInitNotSupported/IContextMenuNotSupportedhandler 接口能力不足SpecificHandlerReturnedNoItems探测成功但无可显示项ProbeHostNativeAccessViolation隔离进程被第三方 DLL 拖崩——恰好证明隔离生效了Timeout超过超时时间前端已结束进程另外两点小提示菜单文本里的是 Windows 菜单助记符下划线标记不是乱码缺少图标是 best-effort 机制下的正常现象owner-draw、回调图标或无法安全转换的位图会被有意跳过深入源码与文档 如果你想继续研究这套隔离探测的设计推荐从以下路径入手设计与失败分类总览docs/deep-analysis-probehost.md前端分析服务与架构选择ContextMenuDeepAnalysisService.cs请求/结果契约ContextMenuDeepAnalysisContracts.cs隔离进程入口ContextMenuMgr.ProbeHost/src/分析窗口与结果展示ContextMenuDeepAnalysisWindowViewModel.cs架构验证脚本Scripts/Verify-ProbeHostArchitecture.ps1小结ContextMenu Manager Plus 的深入分析把加载未知 COM 组件这一高危动作关进了 ProbeHost 隔离进程主程序只负责发起请求和展示结果隔离进程负责真实探测并承担崩溃风险。这种可失败的探测器 明确边界的设计正是安全查看未知 Shell Extension 真面目的关键。【免费下载链接】ContextMenuMgrContext Menu Manager Plus 是一个强大的实用程序它可帮助您管理 Windows 上的右键菜单并避免第三方向你的右键菜单里塞屎项目地址: https://gitcode.com/gh_mirrors/co/ContextMenuMgr创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考