Перезапись процесса

Перезапись процесса — это техника внедрения PE, тесно связанная с Вытеснением процесса и Перегрузкой модуля.

С её помощью вы можете заменить главный исполняемый файл (не DLL) целевого процесса.

Она работает только для только что созданного процесса — внедрение в существующие процессы с помощью этой техники не поддерживается.

ПРЕДУПРЕЖДЕНИЕ: Размер целевого образа должен быть НЕ МЕНЬШЕ размера образа полезной нагрузки.

Выполняемые шаги:

1. создание приостановленного процесса из безвредного файла (с отключённым CFG)
2. отображение полезной нагрузки в памяти и запись её поверх исходного отображённого образа (без отмены отображения исходного образа)
3. обновление точки входа процесса до точки входа полезной нагрузки
4. возобновление процесса с выполнением заменённого PE

[!ВАЖНО]
Читайте FAQ

Демонстрация:

Демонстрационная полезная нагрузка (demo.bin) внедрена в Windows Calc (цель по умолчанию):

В памяти (через Process Hacker):

📹 Перезапись процесса на Windows 11 24H2: https://youtu.be/sZ8tMwKfvXw

Клонирование:

Используйте рекурсивное клонирование, чтобы получить репозиторий вместе со всеми подмодулями:

git clone --recursive https://github.com/hasherezade/process_overwriting.git