Каким образом работает RunPe и инжектирование кода в внутрь памяти процесса

Question

Задаюсь вопросом как происходит инжект кода в память другого процесса и зачем RunPe получает PID процесса и Handle

babuin_gibonovich · Accepted Answer

`RunPE` — это техника, используемая для инжекции кода в память другого процесса. Это может быть полезно, например, для внедрения вредоносного кода в запущенный процесс или для обхода антивирусных программ, так как такие манипуляции могут затруднить обнаружение и анализ вредоносного программного обеспечения. 
Основные шаги инжекции кода в память процесса с использованием `RunPE` включают: 
1. Получение информации о целевом процессе: `RunPE` получает PID (идентификатор процесса) и дескриптор процесса (Handle) целевого процесса. Эта информация необходима для взаимодействия с целевым процессом. 
2. Загрузка исполняемого файла: `RunPE` загружает исполняемый файл (например, EXE-файл) в своей собственной памяти. Этот файл будет содержать код, который вы хотите инжектировать в целевой процесс. 
3. Аллокация памяти в целевом процессе: `RunPE` выделяет область памяти в адресном пространстве целевого процесса, куда будет загружен код. Это делается с использованием функций, таких как `VirtualAllocEx`. 
4. Копирование кода в целевой процесс: Скопированный ранее исполняемый файл теперь загружается в выделенное место в адресном пространстве целевого процесса с использованием функции `WriteProcessMemory`. 
5. Создание потока в целевом процессе: Для запуска скопированного кода в целевом процессе создается новый поток. Это обычно делается с использованием функции `CreateRemoteThread`. 
6. Запуск кода в целевом процессе: Созданный поток начинает выполнение кода, загруженного в адресное пространство целевого процесса. Таким образом, инъектированный код становится частью выполнения целевого процесса. 
`RunPE` может быть использован как в легитимных сценариях (например, для запуска внешних приложений внутри вашего приложения) так и в малварных атаках, и, следовательно, должен использоваться осторожно. Большинство антивирусных программ следят за такими манипуляциями и могут срабатывать на попытки инъекции кода в другие процессы. 
При использовании `RunPE` для легитимных задач, необходимо обладать соответствующими правами доступа к целевому процессу, а также убедитесь, что ваши действия соответствуют законодательству и политикам безопасности.