Process Overwriting

Process Overwriting è una tecnica di iniezione PE, strettamente correlata a Process Hollowing e Module Overloading.

Con il suo aiuto, puoi sostituire l'eseguibile principale (non una DLL) del processo target.

Funziona solo per un processo appena creato - l'iniezione in processi esistenti non è supportata con questa tecnica.

AVVERTENZA: La dimensione dell'immagine target NON DEVE ESSERE INFERIORE alla dimensione dell'immagine del payload.

Passaggi eseguiti:

1. crea un processo sospeso da un file benigno (con CFG disabilitato)
2. mappa il payload in memoria e lo scrive sopra l'immagine originariamente mappata (senza smappare l'immagine originale)
3. aggiorna il punto di ingresso del processo al punto di ingresso del payload
4. riprende il processo, eseguendo il PE sostituito

[!IMPORTANT]
Leggi le FAQ

Demo:

Il payload demo (demo.bin) iniettato in Windows Calc (target predefinito):

In memoria (tramite Process Hacker):

📹 Process Overwriting su Windows 11 24H2: https://youtu.be/sZ8tMwKfvXw

Clone:

Usa il clone ricorsivo per ottenere il repository insieme a tutti i sottomoduli:

git clone --recursive https://github.com/hasherezade/process_overwriting.git