返回：Windows 逆向攻防篇 · 网络安全学习主页

这一节对应 07.3 - 08.5，主题是进程伪装与隐藏。这里把重点放在“进程看起来是什么”和“进程实际运行的映像是什么”之间的差异，以及防守侧如何从文件对象、节对象、PEB 和内存映像中发现不一致。

1、内容范围

小节 主题
07.3 Process Hollowing
07.4 NT 函数导出调用与文件属性封装
07.5 函数执行流程与数据写回分析
07.6 映像替换思路
07.7 文件对象属性回溯与工具观察
07.8 - 08.5 文件对象、节对象、PEB 信息、数据保护和代码优化

1.1、逐节复盘

小节 主要内容 复盘点
07.3 认识 Process Hollowing 这类进程映像不一致问题 从检测视角对比进程路径、内存映像、节对象和启动链
07.4 通过 NT 函数和文件属性理解底层对象信息 记录文件对象、句柄、属性和错误码
07.5 观察函数执行流程与数据写回关系 重点看输入、输出、结构字段和返回状态
07.6 理解映像替换为什么会造成多处不一致 对比磁盘文件、内存映像、PEB 路径和模块列表
07.7 使用工具回溯文件对象属性和可疑伪装效果 记录工具视角差异，不把单一工具结果当最终结论
07.8 - 08.5 汇总文件对象、节对象、PEB、保护策略和代码优化 建立“伪装点-检测点-复盘证据”的三列表

2、核心理解

概念 复盘重点
进程对象 进程名、PID、路径、父进程只是表层信息
文件对象 进程映像背后的文件对象与磁盘路径可以被回溯
节对象 映像映射依赖节对象，内存视角可能暴露真实状态
PEB 信息 PEB、模块链表和路径信息是检测一致性的关键
数据保护 伪装与隐藏常伴随内存属性、对象属性和结构字段变化

3、防护观察点

观察点 说明
路径一致性 进程路径、PEB 路径、文件对象路径是否一致
内存映像 内存中的 PE 头、节区和磁盘文件是否匹配
父子关系 父进程、启动参数和创建时间是否合理
模块链表 模块基址、大小、路径、签名是否异常
工具差异 多个工具结果不一致时要保留截图和日志

4、复盘建议

方向 内容
静态对比 对比磁盘文件、内存映像、PE 头和节区
动态观察 观察进程创建、映像变化、线程恢复和模块列表
防守侧 建立“进程表层信息”和“真实映像信息”的对照
安全边界 不整理绕过检测和隐蔽执行细节

5、学习检查清单

检查项 状态
能解释 Process Hollowing 类技术为什么会造成映像不一致 待复盘
能列出路径、PEB、文件对象和内存映像的对比点 待复盘
能使用多个工具交叉验证进程真实状态 待复盘
能从防护角度描述进程伪装的检测思路 待复盘

本节只保留进程对象与映像一致性复盘，不记录伪装隐藏的可执行流程。