病毒分析教程第七话--进程注入分析（上）

进程注入分析（上）

---

教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm

---

Lab 12-1

本节实验使用样本Lab12-01.exe和Lab12-01.dll。

在你运行恶意代码可执行文件时，会发生什么？

Lab12-01.exe调用了CreateRemoteThread、WriteProcessMemory等函数，不难想象它进行了进程注入的操作。

查看该病毒的主体代码，果然是执行了进程注入的恶意操作，注入方式是传统的DLL注入。

哪个进程会被注入？

病毒会先遍历进程列表，筛选出名为explorer.exe的进程。

从此可知恶意代码被注入到了explorer.exe进程中。