Cubrimos la inyección de procesos y el vaciado de procesos. La inyección de proceso es el proceso de inyectar un proceso que ya se está ejecutando con código malicioso o shellcode. El vaciado de procesos es el proceso de crear un proceso legítimo en un estado suspendido y luego desasignar el código legítimo de la memoria y reemplazarlo con el código shell. Tanto la inyección de procesos como el vaciado son útiles para ocultar rootkits y códigos shell en procesos de apariencia inocente para mantener el acceso y la persistencia. Esto fue parte de TryHackMe abusa de las partes internas de Windows Camino del equipo rojo.
También cubrimos la inyección de DLL y el secuestro de DLL junto con un escenario práctico del laboratorio TryHackMe Abusing Windows Internals que es parte del camino del equipo rojo. La inyección de DLL se basa en el uso de llamadas a la API de Windows para realizar acciones específicas, como seleccionar un proceso en ejecución, asignar memoria y escribir la DLL maliciosa en la región de memoria asignada. El secuestro de DLL se basa en tener permisos de acceso para localizar y reemplazar una DLL legítima por una maliciosa.
Obtenga notas de estudio COMPTIA Pentest+
Curso de técnicas de escalada de privilegios de Windows
Descripción del desafío
Aproveche los componentes internos de Windows para evadir las soluciones de detección comunes, utilizando enfoques modernos independientes de las herramientas.
Vídeos destacados
La inyección de procesos se utiliza comúnmente como término general para describir la inyección de código malicioso en un proceso a través de funciones o componentes legítimos.
En un nivel alto, la inyección de shellcode se puede dividir en cuatro pasos:
- Abra un proceso de destino con todos los derechos de acceso.
- Asigne memoria de proceso de destino para el código de shell.
- Escriba shellcode en la memoria asignada en el proceso de destino.
- Ejecute el código shell usando un hilo remoto.
El vaciado de procesos ofrece la posibilidad de inyectar un archivo malicioso completo en un proceso. Esto se logra “vaciando” o desasignando el proceso e inyectando EDUCACIÓN FÍSICA (PAGmesa miejecutable) datos y secciones del proceso.
En un proceso de alto nivel, el vaciado se puede dividir en seis pasos:
- Cree un proceso de destino en estado suspendido.
- Abra una imagen maliciosa.
- Desasignar código legítimo de la memoria del proceso.
- Asigne ubicaciones de memoria para códigos maliciosos y escriba cada sección en el espacio de direcciones.
- Establezca un punto de entrada para el código malicioso.
- Saque el proceso objetivo del estado suspendido.
En un hilo de alto nivel (ejecución), el secuestro se puede dividir en once pasos:
- Localice y abra un proceso objetivo para controlar.
- Asigne una región de memoria para código malicioso.
- Escriba código malicioso en la memoria asignada.
- Identifique el ID del hilo de destino que se va a secuestrar.
- Abra el hilo de destino.
- Suspender el hilo de destino.
- Obtenga el contexto del hilo.
- Actualice el puntero de instrucción al código malicioso.
- Reescribe el contexto del hilo de destino.
- Reanudar el hilo secuestrado.
En un nivel alto, la inyección de DLL se puede dividir en seis pasos:
- Localice un proceso de destino para inyectar.
- Abra el proceso de destino.
- Asigne una región de memoria para DLL maliciosa.
- Escriba la DLL maliciosa en la memoria asignada.
- Cargue y ejecute la DLL maliciosa.
Respuestas de la habitación
¿Qué bandera se obtiene después de inyectar el código shell?
¿Qué bandera se obtiene después de vaciar e inyectar el código shell?
¿Qué bandera se obtiene después de secuestrar el hilo?
¿Qué se utiliza la llamada API de Windows para poner en cola una función APC?
¿Se puede utilizar el puntero de función nula en un proceso remoto? (t/n)
¿Las técnicas de inyección empleadas por TrickBot fueron reflectantes? (t/n)
¿Qué nombre de función se utilizó para escribir ganchos manualmente?
Tutorial en vídeo
