Dirty Vanity

一种滥用 Windows fork API 以规避 EDR 的新注入技术的 PoC。

用法

DirtyVanity.exe [TARGET_PID_TO_REFLECT]

运行时步骤

• 分配并将 shellcode 写入 [TARGET_PID_TO_REFLECT]
• 将 [TARGET_PID_TO_REFLECT] fork 到一个新进程
• 将 fork 出的进程的起始地址设置为克隆的 shellcode

Shellcode

反射的 shellcode 使用 ntdll API。它由随附的生成项目 shellcode_template 生成， 感谢 https://github.com/rainerzufalldererste/windows_x64_shellcode_template

Shellcode 定制

为了方便定制 shellcode：

• 根据 https://github.com/rainerzufalldererste/windows_x64_shellcode_template 中的说明，编辑 shellcode_template 项目中的 shellcode_template 函数
• 编译它
• 使用你喜欢的 PE 解析工具（例如 IDA）裁剪 shellcode_template 函数的字节
• 这些字节是位置无关的 shellcode。将它们放入 DirtyVanity.cpp
• 执行 DirtyVanity，观察它们被反射