进程注入检测方法

最新推荐文章于 2025-03-13 15:13:43 发布

trents

最新推荐文章于 2025-03-13 15:13:43 发布

阅读量5.4k

点赞数

分类专栏：驱动文章标签： basic attributes list null byte thread

本文链接：https://blog.youkuaiyun.com/trents/article/details/6786857

版权

本文介绍了如何检测进程注入，重点在于Hook NtCreateThread并区分CreateRemoteThread和CreateThread。通过ProcessHandle获取目标进程ID，比较与当前进程ID，再通过线程数判断是否为进程调用。在2003及之前版本，需要额外考虑线程数，而在2008及以上系统，此步骤不再必要。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

进程注入通常都是涉及 CreateRemoteThread调用。在内核会调用到NtCreateThread（2008,vista,win7是NtCreateThreadEx)，所以检测方法是Hook NtCreateThread，在钩子函数中判别是否是CreateRemoteThread调用引起。

CreateRemoteThread和CreateThread最终都会调用到NtCreateThread，所以需要对这两个方法进行区别判断，方法是CreateRemoteThread的目标进程ID和当前ID是不一样的，而CreateThread是相同的。

看NtCreateThread原型：

NTSTATUS NtCreateThread(
OUT PHANDLE             ThreadHandle,
IN ACCESS_MASK          DesiredAccess,
IN POBJECT_ATTRIBUTES   ObjectAttributes OPTIONAL,
IN HANDLE               ProcessHandle,
OUT PCLIENT_ID          ClientId,
IN PCONTEXT             ThreadContext,
IN PINITIAL_TEB         InitialTeb,
IN BOOLEAN              CreateSuspended );

这里的ProcessHandle是目标进程Handle，通过这个Handle获得目标进程ID,然后通过PsGetCurrentProcessId得到当前的进程ID，比较这两个ID。

通过ProcessHandle得到目标进程ID的方法：

DWORD GetProcessIDByHandle(HANDLE