JMarchiori13/process-injection-arsenal
GitHub: JMarchiori13/process-injection-arsenal
一个结构化的 Windows 进程注入技术研究与教学项目，通过统一的实验框架对比 MITRE ATT&CK T1055 下各类注入技术的行为与特征。
Stars: 0 | Forks: 0
# process-injection-arsenal
## 目标
结构化研究 Windows 中的**进程注入**（[MITRE ATT&CK T1055](https://attack.mitre.org/techniques/T1055/)）技术。每项技术都作为实验室 PoC 实现，并使用相同且无害的 payload（MessageBox），以便直接对比它们的行为、先决条件和特征。
## 目录
- [项目结构](#estrutura-do-projeto)
- [模块](#módulos)
- [实验室](#laboratório)
- [路线图](#roadmap)
- [参考](#referências)
## 项目结构
```
process-injection-arsenal/
├── docs/ # Notas de pesquisa por família de técnica
│ ├── remote-thread.md # T1055 — CreateRemoteThread / NtCreateThreadEx
│ ├── apc-injection.md # T1055 — QueueUserAPC, early bird, NtQueueApcThread
│ ├── thread-hijacking.md # T1055 — Suspend/GetContext/SetContext/Resume
│ └── image-tampering.md # T1055.012 — hollowing, module stomping, mapping
├── src/ # PoCs de laboratório (ver README de cada módulo)
│ ├── remote-thread/
│ ├── apc/
│ ├── thread-hijack/
│ └── image-tampering/
├── lab/
│ └── setup.md # Setup do ambiente de testes
├── CONTRIBUTING.md
└── LICENSE
```
## 模块
| 模块 | ATT&CK | 技术 | 状态 |
|---|---|---|---|
| [`remote-thread`](src/remote-thread/) | T1055 | `VirtualAllocEx` + `WriteProcessMemory` + `CreateRemoteThread`，变体 `NtCreateThreadEx` | 📋 计划中 |
| [`apc`](src/apc/) | T1055 | `QueueUserAPC`，early bird APC，`NtQueueApcThread` | 📋 计划中 |
| [`thread-hijack`](src/thread-hijack/) | T1055 | Suspend → `GetThreadContext` → `SetThreadContext` → Resume | 📋 计划中 |
| [`image-tampering`](src/image-tampering/) | T1055.012 | Process hollowing，module stomping，section mapping injection | 📋 计划中 |
## payload 约定
所有的 PoC 都执行**相同且无害的 payload**：一段最精简的 shellcode，用于显示 `MessageBoxA("process-injection-arsenal lab")`。这保证了各项技术之间的公平对比，并使该项目保持明确的教育意义。
## 实验室
请参阅 **[lab/setup.md](lab/setup.md)** — 隔离的 Windows VM、按安全加固阶段划分的快照以及每个实验的标准流程。
## 路线图
- [x] 仓库脚手架 + 免责声明
- [x] 4 大类技术的研究笔记
- [ ] PoC：remote thread（经典版 + `NtCreateThreadEx`）
- [ ] PoC：APC injection（标准版 + early bird）
- [ ] PoC：thread hijacking
- [ ] PoC：process hollowing
- [ ] PoC：module stomping / mapping injection
- [ ] 最终对比：技术 × 权限 × 稳定性 × 特征
## 参考
- [MITRE ATT&CK — Process Injection (T1055)](https://attack.mitre.org/techniques/T1055/)
- [Red Team Notes — ired.team](https://www.ired.team/offensive-security/code-injection-process-injection)
- [Elastic Security — Injection research](https://www.elastic.co/security-labs)
- [MalDev Academy](https://maldevacademy.com/)
- MS Learn — Win32 process/thread APIs，NT native API（非官方文档：[ntdoc.m417z.com](https://ntdoc.m417z.com/)）
## License
MIT — 请参阅 [LICENSE](LICENSE)。无论采用何种许可证，上述免责声明均保持有效。
标签：Linux, PoC, SSH蜜罐, UML, 暴力破解, 网络安全, 进程注入, 隐私保护