深入剖析进程镂空技术：原理、变体与反检测实战指南
💡
原文中文，约2800字，阅读约需7分钟。
📝
内容提要
进程镂空是一种高级进程注入技术，攻击者通过创建并挂起合法进程，清空其内存并注入恶意代码，以实现隐蔽执行。该技术常用于渗透测试和恶意软件开发，流程包括创建挂起进程、卸载原映像和写入恶意映像等。尽管有效，但容易被检测，需要采取绕过措施。
🎯
关键要点
- 进程镂空是一种高级进程注入技术，属于MITRE ATT&CK T1055.012。
- 攻击者通过创建合法进程并挂起，掏空内存，注入恶意代码以实现隐蔽执行。
- 该技术广泛应用于渗透测试和恶意软件开发，因其隐蔽性强而受到关注。
- 进程镂空的核心流程包括创建挂起进程、卸载原映像、写入恶意映像等。
- 典型的七步流程包括创建挂起进程、获取进程基址、卸载原映像、申请映像空间、写入并修复映像、重写入口地址和恢复运行。
- 进程镂空的实现代码展示了基本流程，但容易被EDR或杀毒软件检测。
- 每一步的风险分析及绕过建议包括使用NtCreateUserProcess、NtWriteVirtualMemory等技术。
- 绕过检测的推荐组合方式包括Ghost Mapping、手动加载和APC执行等。
- 免责声明指出技术信息仅供参考，读者需遵守相关法律法规并自行判断信息的时效性。
❓
延伸问答
什么是进程镂空技术？
进程镂空是一种高级进程注入技术，攻击者通过创建合法进程并挂起，清空其内存并注入恶意代码，以实现隐蔽执行。
进程镂空的核心流程包括哪些步骤？
核心流程包括创建挂起进程、卸载原映像、申请映像空间、写入恶意映像、重写入口地址和恢复运行等七个步骤。
进程镂空技术的应用场景有哪些？
该技术广泛应用于渗透测试和恶意软件开发，因其隐蔽性强而受到关注。
进程镂空技术容易被检测的原因是什么？
进程镂空的裸露调用链和行为特征在实战中极易被EDR或杀毒软件检测。
如何绕过进程镂空的检测？
可以使用NtCreateUserProcess、NtWriteVirtualMemory等技术，结合Ghost Mapping、手动加载和APC执行等方式来绕过检测。
进程镂空技术的免责声明是什么？
免责声明指出技术信息仅供参考，读者需遵守相关法律法规并自行判断信息的时效性。
➡️
