InjectProc

حقن العمليات هو طريقة شائعة جدًا لإخفاء السلوك الضار للكود، ويستخدمها مؤلفو البرامج الضارة بكثافة.

هناك عدة تقنيات شائعة الاستخدام: حقن DLL، استبدال العملية (المعروف أيضًا باسم تجويف العملية)، حقن الخطافات، وحقن APC.

معظمها يستخدم نفس دوال Windows API: OpenProcess, VirtualAllocEx, WriteProcessMemory. للحصول على معلومات مفصلة عن هذه الدوال، استخدم MSDN.

حقن DLL:

• افتح العملية المستهدفة.
• خصص مساحة.
• اكتب الكود في العملية البعيدة.
• نفذ الكود البعيد.

استبدال العملية:

• أنشئ العملية المستهدفة وأوقفها مؤقتًا.
• أزل التعيين من الذاكرة.
• خصص مساحة.
• اكتب الرؤوس والأقسام في العملية البعيدة.
• استأنف الخيط البعيد.

حقن الخطافات:

• ابحث/أنشئ عملية.
• اضبط الخطاف.

ملاحظة:

يستخدم InjectProc دالة SetWindowsHookEx، يمكنك تجربة طرق مختلفة لتثبيت الخطافات، على سبيل المثال، EasyHook

حقن APC:

• افتح العملية.
• خصص مساحة.
• اكتب الكود في الخيوط البعيدة.
• "نفذ" الخيوط باستخدام QueueUserAPC.

تحميل

ملف ثنائي لنظام Windows x64 - إصدار تجريبي 64 بت

التبعيات:

vc_redist.x64 - حزمة إعادة توزيع Microsoft Visual C++

عرض توضيحي

InjectProc DEMO - تقنيات حقن العمليات

المساهمون

• nullbites

تحذير

يعمل على Windows 10 الإصدار 1703، 64 بت.

ليس لدي وقت كافٍ لاختبار الأنظمة الأخرى وجعلها محمولة، إذا كان لديك وقت كافٍ، فيرجى المساهمة.

لقد أنشأت هذا المشروع لنفسي لفهم كيفية عمل حقن العمليات بشكل أفضل، وأعتقد أنه سيكون مفيدًا أيضًا للعديد من محللي البرامج الضارة المبتدئين.