T1055.002: 可移植可执行文件注入

摘要

攻击者可能将可移植可执行文件（PE）注入进程，以规避基于进程的防御，并可能提升权限。PE 注入是一种在另一个活动进程的地址空间中执行任意代码的方法。 PE 注入通常通过以下方式执行：先将代码（可能不涉及磁盘上的文件）复制到目标进程的虚拟地址空间，然后通过新线程调用它。写入可以使用原生 Windows API 调用（如 <code>VirtualAllocEx</code> 和 <code>WriteProcessMemory</code>）完成，然后通过 <code>CreateRemoteThread</code> 或额外代码（如 shellcode）调用。注入代码的位移确实带来了额外需求，即需要具备重新映射内存引用的功能。(Citation: Elastic Process Injection July 2017) 在另一个进程的上下文中运行代码可能允许访问该进程的内存、系统/网络资源，并可能获得提升的权限。通过 PE 注入进行的执行也可能规避安全产品的检测，因为执行被掩盖在合法进程之下。