进程覆写

进程覆写是一种 PE 注入技术，与进程空心化和模块重载密切相关。

借助它，你可以替换目标进程的主可执行文件（而非 DLL）。

它仅适用于新创建的进程——该技术不支持注入到现有进程。

警告：目标镜像的大小必须不小于有效载荷镜像的大小。

执行步骤：

1. 从良性文件创建一个挂起的进程（禁用 CFG）
2. 将有效载荷映射到内存，并覆写到原始映射的镜像上（不取消映射原始镜像）
3. 将进程的入口点更新为有效载荷的入口点
4. 恢复进程，执行被替换的 PE

[!IMPORTANT]
阅读常见问题解答

演示：

演示有效载荷（demo.bin）注入到 Windows 计算器（默认目标）：

内存中（通过 Process Hacker）：

📹 在 Windows 11 24H2 上演示进程覆写：https://youtu.be/sZ8tMwKfvXw

克隆：

使用递归克隆以获取仓库及其所有子模块：

git clone --recursive https://github.com/hasherezade/process_overwriting.git