幽灵注入（Ghost Injection）
内容提要
新型内存驻留技术通过合法进程的未使用内存注入shellcode，利用内存地址随机化和熵值混淆技术规避EDR扫描。使用Rust代码实现混淆和注入，以确保隐蔽性和安全性。
关键要点
-
新型内存驻留技术通过合法进程的未使用内存注入shellcode。
-
利用内存地址随机化和熵值混淆技术规避EDR扫描。
-
使用Rust代码实现混淆和注入，以确保隐蔽性和安全性。
-
混淆shellcode增加熵值，通过插入随机垃圾指令改变特征。
-
查找目标进程PID使用系统关键进程（如svchost.exe）。
-
隐蔽注入技术不依赖新线程创建，使用合法API调用。
-
内存保护技巧：先分配为PAGE_READWRITE，写入后改为PAGE_EXECUTE_READ。
-
增强方向包括使用更隐蔽的内存区域查找。
延伸解读
内存注入技术的隐蔽性
新型内存驻留技术通过合法进程的未使用内存进行注入，利用内存地址随机化和熵值混淆来规避EDR扫描。这种方法的隐蔽性使得攻击者能够在不被检测的情况下执行恶意代码，增加了系统安全防护的难度。
混淆技术的作用
混淆shellcode的过程通过插入随机垃圾指令来增加熵值，改变其特征。这种技术不仅提高了代码的复杂性，还使得静态分析工具更难以识别和检测恶意代码，从而增强了攻击的成功率。
合法API调用的重要性
该技术强调使用合法的API调用进行内存操作，而不是创建新线程。这种方法不仅降低了被检测的风险，还使得攻击行为看起来更像是正常的系统操作，从而进一步提高了隐蔽性。
延伸问答
幽灵注入技术的基本原理是什么？
幽灵注入技术通过合法进程的未使用内存注入shellcode，利用内存地址随机化和熵值混淆技术规避EDR扫描。
如何实现shellcode的混淆？
通过插入随机垃圾指令和改变熵值来混淆shellcode，增加其被检测的难度。
在幽灵注入中，如何查找目标进程的PID？
使用系统关键进程的快照，通过ToolHelp32 API查找目标进程的PID。
幽灵注入技术如何确保隐蔽性？
该技术不依赖新线程创建，而是使用合法API调用进行内存操作，增强隐蔽性。
在内存保护方面，幽灵注入使用了哪些技巧？
先将内存分配为PAGE_READWRITE，写入后再改为PAGE_EXECUTE_READ，以确保执行权限。
幽灵注入技术的潜在风险是什么？
由于该技术涉及内存注入和代码执行，可能被用于恶意攻击，带来安全隐患。
