Windows反恶意软件扫描接口线程安全

Question

Windows Antimalware扫描界面（AMSI）包含可用于调用Windows中当前活动的病毒扫描程序的抽象：

https://docs.microsoft.com/zh-cn/windows/desktop/amsi/antimalware-scan-interface-functions

有两种与初始化有关的方法：

• Amsi初始化
• Amsi未初始化

AmsiInitialize返回“ HAMSICONTEXT 类型的句柄，必须将其传递给对AMSI API的所有后续调用。 ”。

初始化完成后，我可以使用AmsiScanBuffer扫描缓冲区中的恶意软件。

我的问题：

我可以在我的应用程序中的多个线程中并发使用同一上下文，还是需要为每个线程创建一个上下文来调用方法？

阅读有关AsmiUnitialize的文档，它告诉我， 当应用程序使用AMSI API完成后，必须调用AmsiUninitialize。 。 这告诉我该上下文可以用于许多调用，但是并没有告诉我有关线程安全性或并发性的任何信息。

Answer 1

通常，没有专门标记为线程安全的API调用不是（对于任何库通常都是如此）。 最简单的解决方案是为每个线程打开一个AMSI句柄。

（根据我的测试，这仅适用于Windows Defender）。