Maldev Academy - 远程TLS回调注入

快速链接

Maldev Academy 主页

Maldev Academy 课程大纲

相关 Maldev Academy 模块

新模块 34：用于反调试的 TLS 回调

新模块 35：无线程注入

概述

该方法利用 TLS 回调在远程进程中执行载荷，无需生成任何线程。该方法的灵感来自 无线程注入，因为 RemoteTLSCallbackInjection 在触发注入的载荷时不会调用任何 API。

实现步骤

PoC 遵循以下步骤：

1. 使用 CreateProcessViaWinAPIsW 函数（即 RuntimeBroker.exe）创建一个挂起的进程。
2. 获取远程进程映像基址，随后读取进程的 PE 头。
3. 获取 TLS 回调函数的地址。
4. 使用运行时获取的值修补一个固定 shellcode（即 g_FixedShellcode）。该 shellcode 负责恢复 TLS 回调函数地址处的原始字节和内存权限。
5. 注入两个 shellcode：g_FixedShellcode 和主载荷。
6. 修补 TLS 回调函数的地址，将其替换为我们注入的载荷的地址。
7. 恢复进程运行。

然后，g_FixedShellcode shellcode 将通过恢复原始 TLS 回调的原始地址，确保主载荷只执行一次，然后再调用主载荷。TLS 回调在进程整个生命周期中可能执行多次，因此通过恢复原始代码路径执行到原始 TLS 回调函数来控制载荷触发的次数至关重要。

演示

下图展示了我们的实现 RemoteTLSCallbackInjection.exe 生成一个 cmd.exe 作为其主载荷。