T1055: 进程注入

摘要

攻击者可能将代码注入进程，以规避基于进程的防御，并可能提升权限。进程注入是一种在另一个活动进程的地址空间中执行任意代码的方法。在另一个进程的上下文中运行代码可能允许访问该进程的内存、系统/网络资源，并可能获得提升的权限。通过进程注入进行的执行也可能规避安全产品的检测，因为执行被掩盖在合法进程之下。 将代码注入进程有许多不同的方式，其中许多滥用了合法功能。这些实现存在于每一个主流操作系统，但通常是与平台相关的。 更复杂的样本可能执行多次进程注入，以分割模块并进一步规避检测，利用命名管道或其他进程间通信（IPC）机制作为通信通道。