daem0nc0re/tangledwinexec用于研究 Windows 进程执行技术的 PoC 和工具
此仓库用于研究 Windows 进程执行技术。 大多数 PoC 都按与其对应的技术命名。
BlockingDLL : 该工具集用于测试阻止 DLL 的进程。参见 README.md。
CloneProcess : 此目录用于进程分叉与反射。参见 README.md。
CommandLineSpoofing : 此 PoC 实现命令行欺骗（Command Line Spoofing）。该技术可能不适用于 Windows 11。
DarkLoadLibrary : 此目录中的 PoC 用于测试由 @_batsec_ 发布的 Dark Load Library。参见 README.md
GhostlyHollowing : 此 PoC 实现 Ghostly Hollowing 技术。
Misc : 此目录包含用于开发本仓库中 PoC 的辅助工具。
PhantomDllHollower : 此 PoC 实现 Phantom DLL Hollowing 技术。参见 README.md。
PPIDSpoofing : 此 PoC 实现 PPID 欺骗（PPID Spoofing）技术。
ProcessDoppelgaenging : 此 PoC 实现 Process Doppelgänging 技术。由于 Microsoft Defender 内核防护的改进，该技术不适用于较新的 Windows 操作系统（大约自 2021 年起）。因此，如果要在较新的环境中测试此技术，必须停止 Microsoft/Windows Defender Antivirus Service 服务。参见 hasherezade 仓库中的该 issue。
ProcessGhosting : 此 PoC 实现 Process Ghosting 技术。由于内核防护机制，该技术不适用于 22H2 及更新版本的 Windows。
ProcessHerpaderping : 此 PoC 实现 Process Herpaderping 技术。由于文件锁问题，如果你选择的伪镜像文件小于要执行的文件，文件大小缩减将会失败，并破坏用于 herpaderping 进程的文件签名。要充分利用此技术，伪镜像文件的大小应大于要执行的文件。由于内核防护机制，该技术不适用于 22H2 及更新版本的 Windows。
ProcessHollowing : 此 PoC 实现进程镂空（Process Hollowing）技术。与原始实现不同，它将 PE 镜像解析到新的内存区域，而不是使用 ZwUnmapViewOfSection / NtUnmapViewOfSection。
ProcMemScan : 这是一个用于调查远程进程的诊断工具。参见 README.md。
ProtectedProcess : 该工具集用于测试受保护进程（Protected Process）。参见 README.md。
ReflectiveDLLInjection : 该工具集用于测试反射式 DLL 注入（Reflective DLL Injection）。参见 README.md。
sRDI : 此目录包含用于 sRDI（Shellcode 反射式 DLL 注入，Shellcode Reflective DLL Injection）的工具。参见 README.md。
TransactedHollowing : 此 PoC 实现 Transacted Hollowing 技术。
WmiSpawn : 此 PoC 尝试使用 WMI 生成进程。生成的进程将作为 WmiPrvSE.exe 的子进程。支持本机进程执行和远程机器进程执行。用法参见 README.md。
注意： 目前 ProcessHollowing 的代码无法在 Debug 构建下运行。要进行测试，请使用 Release 构建。参见此 issue。
