基于进程空洞（Process Hollowing）的无文件攻击与防护<\/strong><\/p>

基础概念与原理<\/strong>
进程空洞<\/strong>是一种高级的无文件攻击技术，攻击者首先创建一个合法的、处于挂起（Suspended）<\/strong> 状态的宿主进程（如svchost.exe<\/code>或explorer.exe<\/code>）。随后，攻击者“掏空”该进程在内存中的主要可执行模块（通常是其主映像），并将其替换为恶意的可执行代码。最后，恢复进程的执行，使恶意代码在合法进程的外壳掩护下运行，从而规避基于文件扫描和进程白名单的传统防护手段。<\/p> <\/li>
详细攻击步骤分解<\/strong> 攻击流程通常按以下顺序执行：<\/p> 创建挂起进程<\/strong>：攻击者使用 CreateProcess<\/code> API（设置 CREATE_SUSPENDED<\/code> 标志）启动一个可信的、签名的系统进程。此时进程的主线程被创建但未执行。<\/li> 获取进程上下文<\/strong>：调用 GetThreadContext<\/code> 获取挂起线程的上下文信息，特别是 EAX\/RIP 寄存器<\/strong>的值，该值在进程恢复执行时指向进程入口点（Entry Point）。<\/li> “掏空”宿主进程内存<\/strong>：使用 NtUnmapViewOfSection<\/code> 或 ZwUnmapViewOfSection<\/code> 等底层函数，解除宿主进程主模块（例如其 .exe 文件映像）在内存中的映射<\/strong>，使其原本的代码和数据区域变为“空洞”。<\/li> 分配新内存并写入恶意载荷<\/strong>：在掏空的内存区域（或新分配的内存）中，使用 VirtualAllocEx<\/code> 和 WriteProcessMemory<\/code> 等API，写入恶意可执行文件（PE文件）的完整内容<\/strong>，包括其头部、节区（.text, .data等）数据。<\/li> 修复内存映射与上下文<\/strong>：调整新写入的PE映像的基地址重定位（ImageBase）<\/strong>，并更新线程上下文中指向新入口点的地址（修改之前获取的 EAX\/RIP 值），通过 SetThreadContext<\/code> 设置。<\/li> 恢复执行<\/strong>：调用 ResumeThread<\/code> 恢复主线程。此时，CPU 将从新的恶意入口点开始执行，完整的恶意代码便在合法进程的外壳内运行<\/strong>。<\/li> <\/ul> <\/li> 攻击特点与检测难点<\/strong><\/p> 隐蔽性强<\/strong>：进程列表显示的是可信的进程名称，且恶意代码不依赖磁盘上的可执行文件<\/strong>。<\/li> 内存特征复杂<\/strong>：进程的内存结构可能呈现出异常，例如进程的主模块（在任务管理器中显示的可执行文件路径）与其实际内存中的执行代码不匹配。<\/li> 行为检测关键点<\/strong>：检测需聚焦于进程创建、内存操作、以及上下文修改这一系列行为的异常组合，而非单一静态特征。<\/li> <\/ul> <\/li> 主要防护与检测手段<\/strong><\/p> 行为监控（EDR\/下一代AV核心）<\/strong>：监控进程创建链与挂起标志<\/strong>：对创建挂起进程，尤其是随后立即进行大量进程内存写入操作的行为进行告警。<\/li> API 调用序列分析<\/strong>：检测 CreateProcess<\/code>(SUSPENDED) -> NtUnmapViewOfSection<\/code>\/VirtualAllocEx<\/code> -> WriteProcessMemory<\/code> -> SetThreadContext<\/code> -> ResumeThread<\/code> 这一典型序列<\/strong>。<\/li> 内存完整性检查<\/strong>：对比进程在磁盘上的原始映像与其在内存中执行代码的差异，检测“空洞”与注入。<\/li> <\/ul> <\/li> 操作系统安全机制<\/strong>：控制流防护（CFG）<\/strong>：增加攻击者恶意修改代码执行流的难度。<\/li> 任意代码防护（ACG）<\/strong>：防止非图像内存页（如堆、栈）被当作代码执行，可对抗部分进程空洞变种。<\/li> <\/ul> <\/li> 内存取证与分析<\/strong>：对可疑进程进行内存转储，分析其 PEB（进程环境块）<\/strong>、VAD（虚拟地址描述符）树<\/strong> 以及内存中的PE头部，寻找多个PE头或内存区域权限异常（例如，本应只读的 .text 段具有可写权限）的证据。<\/li> 策略限制<\/strong>：在端点实施严格的应用程序控制\/白名单<\/strong>策略，即使进程被劫持，也能阻止非授权代码的执行。<\/li> <\/ul> <\/li> 高级对抗与演化<\/strong> 攻击者会采用更多技术绕过检测：<\/p> 间接系统调用（Syscall）<\/strong>：直接调用底层系统服务（如 Nt*<\/code> 函数）以绕过用户态的API钩子监控。<\/li> 傀儡进程选择<\/strong>：选择与目标环境更融合、行为更常见的进程作为宿主。<\/li> 阶段性载荷<\/strong>：初始空洞的代码仅为下载器或注入器，后续恶意行为通过内存加载或反射式加载实现，进一步减少一次性内存操作的异常特征。<\/li> <\/ul> <\/li> <\/ol> 理解进程空洞攻击的关键在于把握 “合法进程外壳”<\/strong> 与 “内在恶意代码”<\/strong> 的分离，以及攻击者为实现此目的而对进程内存结构和执行流程进行的系统性篡改<\/strong>。防御需依赖深度行为监控和内存完整性验证。<\/p>