十种进程注入技术介绍：常见注入技术及趋势调查
进程注入是一种广泛使用的躲避检测的技术，通常用于恶意软件或者无文件技术。其需要在另一个进程的地址空间内运行特制代码，进程注入改善了不可见性，同时一些技术也实现了持久性。尽管目前有许多进程注入技术，但在这篇文章中，我将会介绍十种在野发现的，在另一个程序的地址空间执行恶意代码的进程注入技术，并提供这些技术应用的截图，以便于逆向工程和恶意软件分析，然后协助检测并防御这些进程注入技术。
一、通过CREATEREMOTETHREAD和LOADLIBRARY进行经典DLL注入
该技术是用于将恶意软件代码注入另一个进程最常用技术之一，恶意软件作者将恶意的动态链接库（DLL）的路径写入另一个进程的虚拟地址空间，并通过在目标进程中创建一个远程线程来确保目标进程加载它。
恶意软件首先需要选择被注入的目标进程（例如svchost.exe），这通常可以通过调用三个应用编程接口（API）搜索进程来完成：CreateToolhelp32Snapshot，Process32First和Process32Next。CreateToolhelp32Snapshot是用于枚举指定进程或所有进程的堆或模块状态的API，其会返回一个快照。Process32First会检索有关快照中第一个进程的信息，然后通过循环Process32Next来迭代。找到目标进程后，恶意软件通过调用OpenProcess获取目标进程的句柄。
如图一所示，恶意软件调用VirtualAllocEx来获得写入其DLL路径的空间。然后恶意软件调用WriteProcessMemory在已分配的内存中写入路径。最后，为了让代码在另一个进程中执行，恶意软件作者会调用API，例如CreateRemoteThread，NtCreateThreadEx或RtlCreateUserThread。后两个并未存在应用记录，但是一般的想法就是将LoadLibrary的地址传递给其中一个API，以便远程进程不得不代表恶意软件执行DLL。
很多杀毒软件都会追踪和标记CreateRemoteThread，此外，注入也需要磁盘上存在恶意DLL。但这是可以被检测到的。考虑到攻击者最常通过注入代码以逃避检测，所以一些老练的攻击者可能并不会使用这种方法。下面的截图展示了一个叫Rebhip的恶意软件应用了此技术。
二、PORTABLE EXECUTABLE注入（PE注入）
这种技术斌没有传递LoadLibrary的地址，而是将其恶意代码复制到已存在的开放进程并执行（通过shellcode或调用CreateRemoteThread）。PE注入相对于LoadLibrary注入的一个优点是恶意软件不必在磁盘上放一个恶意DLL。与第一种技术类似，恶意软件在宿主进程中分配到内存，其并没有编写“DLL路径”，而是通过调用WriteProcessMemory来编写其恶意代码。然而，这种方法的一个缺陷是目标基址的改变，当恶意软件将其PE注入到另一个进程时，其会有一个新的不可预测的基址，这就要求其动态地重新计算PE的地址。为了解决这个问题，恶意软件需要在宿主进程中找到其重定位表地址，并通过循环其重定位描述符来解析绝对地址。
此技术类似于其他技术，例如反射式DLL，因为它们不会将任何文件放在磁盘，但是，反射式DLL注入方法甚至会更加隐蔽。它们不依赖于任何额外的Windows API（例如CreateRemoteThread或LoadLibrary），因为它们在内存中加载和执行自己。反射式DLL注入通过创建一个DLL来实现，该DLL在执行时将自身映射到内存，而不是依赖于Windows的loader。
在分析PE注入时，调用CreateRemoteThread之前通常会看到循环（通常是两个“for”循环，一个嵌套在另一个中）这种技术在crypter（加密和混淆恶意软件的软件）中非常流行。在图二中，样本的单元测试中正在利用这种技术。代码有两个嵌套循环来调整其重定位表，可以在调用WriteProcessMemory和CreateRemoteThread之前看到它。“AND 0x0fff”指令是另一个好指示，表明前12位用于获取包含重定位块的虚拟地址的偏移量。既然恶意软件已经重新计算了所有必要的地址，那么它需要做的只是将其起始地址传递给CreateRemoteThread并让它执行。
三、PROCESS HOLLOWING技术（又名 PROCESS REPLACEMENT AND RUNPE）
恶意软件可以不用将代码注入宿主程序，而是利用Process Hollowing技术。当恶意软件从目标进程中取消映射，并使用恶意可执行文件覆盖目标进程的内存空间时，会发生Process Hollowing。
恶意软件首先会创建一个新进程，以挂起模式托管恶意代码，如图三所示，这是通过调用CreateProcess并将Process Creation Flag设置为CREATE_SUSPENDED（0×00000004）来完成的。新进程的主线程是在挂起状态下创建的，并且在调用ResumeThread函数之前不会执行。接下来，恶意软件需要使用恶意载荷交换合法文件的内容，这是通过调用ZwUnmapViewOfSection或NtUnmapViewOfSection来取消映射目标进程的内存完成的。这两个API基本上释放了一个区的所有内存。现在内存处于未映射状态，loader执行VirtualAllocEx为恶意软件分配新内存，并使用WriteProcessMemory将每个恶意软件的部分写入目标进程空间。而恶意软件通过调用SetThreadContext将入口点指向它已编写的新代码段。最后，恶意软件通过调用ResumeThread恢复挂起的线程，使进程退出挂起状态。
四、线程执行劫持技术（或者说SUSPEND, INJECT, AND RESUME (SIR)）
该技术与先前讨论的Process Hollowing技术有一些相似之处。在线程执行劫持中，恶意软件以进程的现有线程为目标，并避免任何其他的进程或线程创建操作。因此，在分析期间，你可能会看到对CreateToolhelp32Snapshot和Thread32First的调用，然后是OpenThread。
获取目标线程的句柄后，恶意软件通过调用SuspandThread来挂起这个线程，然后调用VirtualAllocEx和WriteProcessMemory来分配内存并执行代码注入。代码可以包含shellcode，恶意DLL的路径以及LoadLibrary的地址。
图4展示了使用这种技术的通用木马。为了劫持线程的执行，恶意软件通过调用SetThreadContext来修改目标线程的EIP寄存器（包含下一条指令的地址的寄存器）。之后，恶意软件恢复线程来执行它已写入主机进程的shellcode。从攻击者的角度来看，SIR方法可能会出问题，因为在系统调用过程中挂起和恢复线程会导致系统崩溃。为了避免这种情况，如果EIP寄存器在NTDLL.dll范围内，复杂一点的恶意软件会稍后重新尝试。
五、通过SETWINDOWSHOOKEX进行HOOK注入
HOOK是一种拦截函数调用的技术，恶意软件可以利用HOOK的功能在特定线程中触发事件时加载其恶意DLL。这通常通过调用SetWindowsHookEx将hook routine安装到HOOK链中来完成。SetWindowsHookEx函数有四个参数。第一个参数是事件的类型。事件反映了HOOK类型的范围，从键盘上的按键（WH_KEYBOARD）到鼠标输入（WH_MOUSE），CBT等等。第二个参数是指向恶意软件想要在事件上调用的函数的指针。第三个参数是包含该函数的模块。因此，在调用SetWindowsHookEx之前，通常会看到对LoadLibrary和GetProcAddress的调用。此函数的最后一个参数是与HOOK过程相关联的线程。如果此值设置为零，则所有线程都会在触发事件时执行操作。但是，恶意软件通常针对一个线程以降低噪声，因此在SetWindowsHookEx之前也可以看到调用CreateToolhelp32Snapshot和Thread32Next来查找和定位单个线程。注入DLL后，恶意软件代表其threadId传递给SetWindowsHookEx函数的进程执行其恶意代码。在图5中，Locky Ransomware实现了这种技术。
进程注入是一种广泛使用的躲避检测的技术，通常用于恶意软件或者无文件技术。其需要在另一个进程的地址空间内运行特制代码，进程注入改善了不可见性，同时一些技术也实现了持久性。尽管目前有许多进程注入技术，但在这篇文章中，我将会介绍十种在野发现的，在另一个程序的地址空间执行恶意代码的进程注入技术，并提供这些技术应用的截图，以便于逆向工程和恶意软件分析，然后协助检测并防御这些进程注入技术。
一、通过CREATEREMOTETHREAD和LOADLIBRARY进行经典DLL注入
该技术是用于将恶意软件代码注入另一个进程最常用技术之一，恶意软件作者将恶意的动态链接库（DLL）的路径写入另一个进程的虚拟地址空间，并通过在目标进程中创建一个远程线程来确保目标进程加载它。
恶意软件首先需要选择被注入的目标进程（例如svchost.exe），这通常可以通过调用三个应用编程接口（API）搜索进程来完成：CreateToolhelp32Snapshot，Process32First和Process32Next。CreateToolhelp32Snapshot是用于枚举指定进程或所有进程的堆或模块状态的API，其会返回一个快照。Process32First会检索有关快照中第一个进程的信息，然后通过循环Process32Next来迭代。找到目标进程后，恶意软件通过调用OpenProcess获取目标进程的句柄。 无奈人生安全网
如图一所示，恶意软件调用VirtualAllocEx来获得写入其DLL路径的空间。然后恶意软件调用WriteProcessMemory在已分配的内存中写入路径。最后，为了让代码在另一个进程中执行，恶意软件作者会调用API，例如CreateRemoteThread，NtCreateThreadEx或RtlCreateUserThread。后两个并未存在应用记录，但是一般的想法就是将LoadLibrary的地址传递给其中一个API，以便远程进程不得不代表恶意软件执行DLL。
很多杀毒软件都会追踪和标记CreateRemoteThread，此外，注入也需要磁盘上存在恶意DLL。但这是可以被检测到的。考虑到攻击者最常通过注入代码以逃避检测，所以一些老练的攻击者可能并不会使用这种方法。下面的截图展示了一个叫Rebhip的恶意软件应用了此技术。
二、PORTABLE EXECUTABLE注入（PE注入）
这种技术斌没有传递LoadLibrary的地址，而是将其恶意代码复制到已存在的开放进程并执行（通过shellcode或调用CreateRemoteThread）。PE注入相对于LoadLibrary注入的一个优点是恶意软件不必在磁盘上放一个恶意DLL。与第一种技术类似，恶意软件在宿主进程中分配到内存，其并没有编写“DLL路径”，而是通过调用WriteProcessMemory来编写其恶意代码。然而，这种方法的一个缺陷是目标基址的改变，当恶意软件将其PE注入到另一个进程时，其会有一个新的不可预测的基址，这就要求其动态地重新计算PE的地址。为了解决这个问题，恶意软件需要在宿主进程中找到其重定位表地址，并通过循环其重定位描述符来解析绝对地址。 内容来自无奈安全网
此技术类似于其他技术，例如反射式DLL，因为它们不会将任何文件放在磁盘，但是，反射式DLL注入方法甚至会更加隐蔽。它们不依赖于任何额外的Windows API（例如CreateRemoteThread或LoadLibrary），因为它们在内存中加载和执行自己。反射式DLL注入通过创建一个DLL来实现，该DLL在执行时将自身映射到内存，而不是依赖于Windows的loader。
在分析PE注入时，调用CreateRemoteThread之前通常会看到循环（通常是两个“for”循环，一个嵌套在另一个中）这种技术在crypter（加密和混淆恶意软件的软件）中非常流行。在图二中，样本的单元测试中正在利用这种技术。代码有两个嵌套循环来调整其重定位表，可以在调用WriteProcessMemory和CreateRemoteThread之前看到它。“AND 0x0fff”指令是另一个好指示，表明前12位用于获取包含重定位块的虚拟地址的偏移量。既然恶意软件已经重新计算了所有必要的地址，那么它需要做的只是将其起始地址传递给CreateRemoteThread并让它执行。
三、PROCESS HOLLOWING技术（又名 PROCESS REPLACEMENT AND RUNPE）
恶意软件可以不用将代码注入宿主程序，而是利用Process Hollowing技术。当恶意软件从目标进程中取消映射，并使用恶意可执行文件覆盖目标进程的内存空间时，会发生Process Hollowing。 本文来自无奈人生安全网
恶意软件首先会创建一个新进程，以挂起模式托管恶意代码，如图三所示，这是通过调用CreateProcess并将Process Creation Flag设置为CREATE_SUSPENDED（0×00000004）来完成的。新进程的主线程是在挂起状态下创建的，并且在调用ResumeThread函数之前不会执行。接下来，恶意软件需要使用恶意载荷交换合法文件的内容，这是通过调用ZwUnmapViewOfSection或NtUnmapViewOfSection来取消映射目标进程的内存完成的。这两个API基本上释放了一个区的所有内存。现在内存处于未映射状态，loader执行VirtualAllocEx为恶意软件分配新内存，并使用WriteProcessMemory将每个恶意软件的部分写入目标进程空间。而恶意软件通过调用SetThreadContext将入口点指向它已编写的新代码段。最后，恶意软件通过调用ResumeThread恢复挂起的线程，使进程退出挂起状态。
四、线程执行劫持技术（或者说SUSPEND, INJECT, AND RESUME (SIR)）
该技术与先前讨论的Process Hollowing技术有一些相似之处。在线程执行劫持中，恶意软件以进程的现有线程为目标，并避免任何其他的进程或线程创建操作。因此，在分析期间，你可能会看到对CreateToolhelp32Snapshot和Thread32First的调用，然后是OpenThread。
获取目标线程的句柄后，恶意软件通过调用SuspandThread来挂起这个线程，然后调用VirtualAllocEx和WriteProcessMemory来分配内存并执行代码注入。代码可以包含shellcode，恶意DLL的路径以及LoadLibrary的地址。 copyright 无奈人生
图4展示了使用这种技术的通用木马。为了劫持线程的执行，恶意软件通过调用SetThreadContext来修改目标线程的EIP寄存器（包含下一条指令的地址的寄存器）。之后，恶意软件恢复线程来执行它已写入主机进程的shellcode。从攻击者的角度来看，SIR方法可能会出问题，因为在系统调用过程中挂起和恢复线程会导致系统崩溃。为了避免这种情况，如果EIP寄存器在NTDLL.dll范围内，复杂一点的恶意软件会稍后重新尝试。
五、通过SETWINDOWSHOOKEX进行HOOK注入
HOOK是一种拦截函数调用的技术，恶意软件可以利用HOOK的功能在特定线程中触发事件时加载其恶意DLL。这通常通过调用SetWindowsHookEx将hook routine安装到HOOK链中来完成。SetWindowsHookEx函数有四个参数。第一个参数是事件的类型。事件反映了HOOK类型的范围，从键盘上的按键（WH_KEYBOARD）到鼠标输入（WH_MOUSE），CBT等等。第二个参数是指向恶意软件想要在事件上调用的函数的指针。第三个参数是包含该函数的模块。因此，在调用SetWindowsHookEx之前，通常会看到对LoadLibrary和GetProcAddress的调用。此函数的最后一个参数是与HOOK过程相关联的线程。如果此值设置为零，则所有线程都会在触发事件时执行操作。但是，恶意软件通常针对一个线程以降低噪声，因此在SetWindowsHookEx之前也可以看到调用CreateToolhelp32Snapshot和Thread32Next来查找和定位单个线程。注入DLL后，恶意软件代表其threadId传递给SetWindowsHookEx函数的进程执行其恶意代码。在图5中，Locky Ransomware实现了这种技术。 内容来自无奈安全网
本文来自无奈人生安全网