关于 ProcessHollowing

ProcessHollowing (进程镂空) 也是出来很久了, 网上已经一大堆相关介绍的文章.
我就不再详细介绍, 详细介绍请看"傀儡进程的实现与检测", 这里就额外补充个小技巧.

问题一

假设我创建了一个 svchost 进程作为傀儡进程, 有一个问题就是: svchost 父进程不是 services.exe, 那么就能肉眼可见的发现这是个有问题的进程.

那么, 要怎么做才能做的更像 "svchost" 呢? 给 svchost 指定父进程为 services.exe 就行了.
下面是关键代码, 这个技巧还是我之前逆向 CreateProcessInternalW 的时候发现的.

if (!InitializeProcThreadAttributeList(
    AttributeList,
    2,
    0,
    &AttributeListSize))
{
    DosError = GetLastError();
    break;
}

// MSDN: https://docs.microsoft.com/en-us/windows/desktop/api/processthreadsapi/nf-processthreadsapi-updateprocthreadattribute
if (!UpdateProcThreadAttribute(
    AttributeList,
    0,
    PROC_THREAD_ATTRIBUTE_PARENT_PROCESS, // 指定父进程
    &ParentHandle,
    sizeof(ParentHandle),
    nullptr,
    nullptr))
{
    DosError = GetLastError();
    break;
}

auto Startup               = STARTUPINFOEXW();
Startup.StartupInfo.cb     = sizeof(Startup);
Startup.lpAttributeList    = AttributeList;

// ...

DosError = CreateProcessHollowed(
    NewToken,
    nullptr,
    LR"(C:\Windows\System32\notepad.exe)",
    RealApp,
    Args,
    nullptr, nullptr, FALSE,
    EXTENDED_STARTUPINFO_PRESENT | CREATE_NEW_CONSOLE, // 这里有个 EXTENDED_STARTUPINFO_PRESENT
    nullptr, Sysdir,
    (LPSTARTUPINFOW)& Startup, &ProcessInfo);
if (NOERROR != DosError)
{
    break;
}