幽灵注入（Ghost Injection）
💡
原文中文，约4100字，阅读约需10分钟。
📝
内容提要
新型内存驻留技术通过合法进程的未使用内存注入shellcode，利用内存地址随机化和熵值混淆技术规避EDR扫描。使用Rust代码实现混淆和注入，以确保隐蔽性和安全性。
🎯
关键要点
- 新型内存驻留技术通过合法进程的未使用内存注入shellcode。
- 利用内存地址随机化和熵值混淆技术规避EDR扫描。
- 使用Rust代码实现混淆和注入，以确保隐蔽性和安全性。
- 混淆shellcode增加熵值，通过插入随机垃圾指令改变特征。
- 查找目标进程PID使用系统关键进程（如svchost.exe）。
- 隐蔽注入技术不依赖新线程创建，使用合法API调用。
- 内存保护技巧：先分配为PAGE_READWRITE，写入后改为PAGE_EXECUTE_READ。
- 增强方向包括使用更隐蔽的内存区域查找。
❓
延伸问答
幽灵注入技术的基本原理是什么？
幽灵注入技术通过合法进程的未使用内存注入shellcode，利用内存地址随机化和熵值混淆技术规避EDR扫描。
如何实现shellcode的混淆？
通过插入随机垃圾指令和改变熵值来混淆shellcode，增加其被检测的难度。
在幽灵注入中，如何查找目标进程的PID？
使用系统关键进程的快照，通过ToolHelp32 API查找目标进程的PID。
幽灵注入技术如何确保隐蔽性？
该技术不依赖新线程创建，而是使用合法API调用进行内存操作，增强隐蔽性。
在内存保护方面，幽灵注入使用了哪些技巧？
先将内存分配为PAGE_READWRITE，写入后再改为PAGE_EXECUTE_READ，以确保执行权限。
幽灵注入技术的潜在风险是什么？
由于该技术涉及内存注入和代码执行，可能被用于恶意攻击，带来安全隐患。
➡️
