Windows进程注入检测与内存防护

进程注入本身不是恶意行为，它是操作系统为调试、功能扩展和热补丁预留的高级机制。但在攻击者手里，它成了绕过安全软件、窃取敏感信息或在内存中无文件落地的核心手段。检测的关键不在于拦截API调用本身，而在于捕捉调用链中那些“合法但不合理”的上下文异常。内存防护也不能只依赖签名，必须深入到分配类型、页面属性和线程入口点的微观层面。

理解检测必须先理解攻击手法。经典远程线程注入利用CreateRemoteThread在目标进程创建执行路径，但早已被EDR重点监控。攻击者转向了更隐蔽的方式：通过SetWindowsHookEx给系统消息队列挂钩子，系统会自动把恶意DLL加载进GUI进程；利用APC（异步过程调用）向处于可警告状态的线程队列插入执行回调，实现“借刀杀人”；更底层的手法直接操作进程环境块（PEB）中的LdrLoadDll指针，或通过修改线程上下文（SetThreadContext）劫持现有线程的执行流。近年来无柄注入（Module Stomping）流行，攻击者先加载合法DLL再覆写其入口点代码，内存中的模块列表看起来完全干净。

单纯监控VirtualAllocEx和WriteProcessMemory会产生海量告警。有效的检测逻辑需要建立行为链。当观察到以下序列时风险极高：一个非调试类进程获取另一个进程的句柄（OpenProcess），随后申请内存且页面属性为PAGE_EXECUTE_READWRITE，紧接着调用WriteProcessMemory写入内容，最后通过创建远程线程、修改线程上下文或插入APC来触发执行。内存页面权限的瞬时变化也是强信号，先申请RW（读写）写入代码再改为RX（读执行）或RWX（读写执行）的模式，几乎坐实了注入行为。检测系统必须能捕获VirtualProtect或VirtualProtectEx对页面属性的修改请求，特别是将非可执行内存变为可执行的操作。

用户态的钩子容易被绕过，内核回调提供了更可靠的观测点。通过注册PsSetCreateProcessNotifyRoutine、PsSetCreateThreadNotifyRoutine和PsSetLoadImageNotifyRoutine，可以在进程创建、线程生成和镜像加载这三个关键节点截获信息。当LoadImage回调发现一个没有对应磁盘文件映射的内存区域被标记为可执行，或者一个线程的起始地址不在任何已加载模块的地址范围内，这就是明确的注入证据。ETW（Event Tracing for Windows）的Microsoft-Windows-Threat-Intelligence提供者能暴露更底层的事件，例如直接系统调用（syscall）的发起、内存分配和线程上下文修改。攻击者可以避开用户态API，但无法完全隐藏从内核态返回用户态时的系统调用痕迹。

内存防护的核心在于周期性扫描和实时拦截的结合。扫描器不能只检查磁盘上的DLL，必须遍历VAD（虚拟地址描述符）树，寻找所有类型为MEM_IMAGE但签名验证失败、或者类型为MEM_PRIVATE却拥有执行权限的区域。对于MEM_MAPPED区域，需要验证映射文件路径的合法性。一种有效的做法是枚举所有线程的起始地址，将其与已加载模块列表做交叉比对。任何线程起始地址落在私有内存（Private Memory）内，或者落在已加载模块的地址空间之外，都应立即标记为可疑。扫描时还要注意“空洞利用”，攻击者可能在已加载模块的代码段之间、通过修改页表的方式插入恶意代码页。

当告警触发时，静态的内存快照不足以定论，必须结合堆栈回溯。捕获可疑线程的当前调用栈，分析返回地址是否指向合法的调用者。如果堆栈中出现未备份模块（Unbacked Module）的地址，或者调用链中出现了从RtlAllocateHeap直接跳转到可执行内存的异常路径，基本可以确认代码执行流已被劫持。利用栈指针遍历（Stack Walking）技术，可以重建完整的函数调用历史，识别出那些通过ROP链或JOP链拼接起来的执行片段。在分析堆栈时，要特别注意那些没有对应符号文件、且内存属性为RWX的区域，这些往往是shellcode的运行位置。

进程注入的第一步通常是获取目标进程的句柄。通过NtQuerySystemInformation枚举所有进程的句柄表，可以反向查找哪些进程打开了高权限句柄。重点关注拥有PROCESS_VM_OPERATION、PROCESS_VM_WRITE和PROCESS_CREATE_THREAD权限的句柄。正常软件如任务管理器也会打开这些权限，但结合句柄持有者的进程路径、签名状态和启动时间来判断，可以大幅降低误报。如果句柄持有者是一个长期运行的桌面应用，却突然打开了一个系统服务进程的高权限句柄，这就是典型的行为异常。句柄的打开方式也值得关注，通过DuplicateHandle从其他进程复制句柄来规避权限检查的手法，需要在句柄复制事件中追踪源进程和目标进程的关系。

并非所有代码注入都依赖远程线程。DLL劫持通过将恶意DLL放置在合法应用的搜索路径中，利用加载顺序劫持实现代码执行。检测这类攻击需要监控LoadLibrary调用时的文件路径解析过程，识别出从用户可写目录（如Temp、Downloads）加载的系统DLL名称。反射式DLL加载则完全绕过系统加载器，由恶意代码自行解析PE头、处理重定位和导入表。这种加载方式不会触发LoadImage回调，但会在内存中留下特征：一块私有内存区域包含完整的PE结构，且该区域的执行入口被手动调用。扫描器可以搜索内存中的MZ和PE头特征，并验证其所在页面的来源是否为系统加载器分配。

有效的内存防护需要多层防线。第一层是减少攻击面，强制启用ASLR（地址空间布局随机化）、DEP（数据执行保护）和控制流保护（CFG），并通过进程缓解策略（Process Mitigation Policy）禁用动态代码生成，除非应用明确需要。第二层是实时监控，在内核回调中拦截可疑的内存分配和线程创建操作，对高风险API调用进行上下文感知的阻断。第三层是周期性扫描，以低优先级线程遍历所有进程的VAD，清理那些绕过实时拦截的持久化注入。第四层是响应与隔离，一旦确认注入行为，立即挂起可疑线程、撤销恶意内存区域的执行权限，并将进程内存完整转储用于后续分析，而不是简单地终止进程。

高级攻击者使用直接系统调用来绕过用户态API钩子。他们从ntdll.dll中提取syscall号，在自身代码中执行syscall指令。检测这类行为需要将观测点下沉到内核。一种方案是在内核中通过模型特定寄存器（MSR）读取系统调用入口地址，对比发起调用的用户态代码段是否属于ntdll.dll的合法范围。如果syscall指令来自私有内存或未知模块，即可判定为恶意。硬件断点（DR0-DR7寄存器）提供了一种更底层的检测手段，安全软件可以利用调试寄存器对关键数据结构（如进程句柄表、活动进程链表）设置读写断点，捕获任何试图篡改这些结构的指令。但硬件断点资源有限，需要动态分配和轮换使用。

以下代码片段演示了如何通过VirtualQueryEx遍历目标进程内存，找出所有私有且可执行的内存区域。这种扫描是检测反射式DLL和shellcode注入的基础。

#include 
#include 

void ScanPrivateExecutableMemory(DWORD pid) {
    HANDLE hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, pid);
    if (!hProcess) return;

    MEMORY_BASIC_INFORMATION mbi;
    LPVOID address = 0;
    SIZE_T result;

    while (VirtualQueryEx(hProcess, address, &mbi, sizeof(mbi)) == sizeof(mbi)) {
        if (mbi.Type == MEM_PRIVATE && 
            (mbi.Protect == PAGE_EXECUTE || 
             mbi.Protect == PAGE_EXECUTE_READ || 
             mbi.Protect == PAGE_EXECUTE_READWRITE ||
             mbi.Protect == PAGE_EXECUTE_WRITECOPY)) {
            
            printf("[!] Private executable memory at: 0x%p, Size: 0x%zx, Protection: 0x%lx\n",
                   mbi.BaseAddress, mbi.RegionSize, mbi.Protect);
        }
        address = (LPVOID)((SIZE_T)mbi.BaseAddress + mbi.RegionSize);
    }
    CloseHandle(hProcess);
}

攻击者还会利用异常处理机制和线程局部存储（TLS）回调来执行恶意代码。通过修改进程的异常处理链（VEH/SEH），在正常异常触发时劫持执行流。检测需要验证异常处理函数指针是否指向已加载模块的代码段内，任何指向堆内存或私有可执行内存的异常处理器都应被视为恶意。TLS回调在系统加载器调用DllMain之前执行，常被用于反调试和早期代码执行。解析PE头中的TLS目录表，验证回调地址的合法性，是内存初始化阶段的重要防护步骤。

原子表（Atom Table）和窗口子类化（Window Subclassing）是两种常被忽视的注入途径。原子表是系统全局的数据存储机制，攻击者可以将shellcode存入全局原子表，随后通过NtQueueApcThread将APC回调指向RtlDispatchAPC等函数，间接执行原子表中的代码。窗口子类化则通过SetWindowLongPtr修改窗口过程函数指针，当目标窗口处理消息时自动执行恶意代码。检测这类注入需要监控原子表的写入操作和窗口过程指针的修改，特别是当新窗口过程地址落在私有内存区域时。

事后分析同样关键。内存取证工具可以重建注入事件的时间线。通过分析内存中的进程控制块（EPROCESS）、线程控制块（ETHREAD）和VAD节点，可以还原出哪些线程在何时被创建、哪些内存区域被修改了属性。结合页面交换文件（pagefile.sys）和休眠文件（hiberfil.sys），甚至可以恢复已被覆盖的恶意代码。时间线重建的核心是将内存事件与文件系统事件、注册表事件和网络连接事件关联，形成完整的攻击链视图。这种能力对于理解攻击者的完整意图和发现潜伏的持久化机制至关重要。