父进程欺骗

3.1.简介

父进程欺骗技术是说，把一个恶意进程的 PID指定为一个合法的进程（lsass.exe）的 PID。

安全软件会通过对父子进程间关系的检测来判断该进程是否异常，攻击者以此技术规避启发式检测等防御手段。

3.2.原理

父进程欺骗用的最多的方法就是通过 C r e a t e P r o c e s s textcolor{cornflowerblue}{CreateProcess} CreateProcess函数实现，其原型如下：

要执行的模块的名称。 该模块可以是基于 Windows 的应用程序。 如果适当的子系统在本地计算机上可用，它可以是某种其他类型的模块。

该字符串可以指定要执行的模块的完整路径和文件名，也可以指定部分名称。 在部分名称的情况下，该函数使用当前驱动器和当前目录来完成规范。 该函数不会使用搜索路径。 该参数必须包含文件扩展名； 假定没有默认扩展名。

lpApplicationName 参数可以是 NULL 。 在这种情况下，模块名称必须是 lpCommandLine字符串中第一个以空格分隔的标记。 如果您使用包含空格的长文件名，请使用带引号的字符串来指示文件名的结束位置和参数的开始位置； 否则，文件名不明确。 例如，考虑字符串 “c:programfilessubdirprogramname”。 这个字符串可以用多种方式解释。 系统尝试按以下顺序解释可能性：

1. c:程序.exe
2. c:程序文件sub.exe
3. c:程序文件子目录program.exe
4. c:程序文件子目录程序名称.exe

如果可执行模块是 16 位应用程序， lpApplicationName 应该是 NULL 指向的字符串 lpCommandLine 应该指定可执行模块以及它的参数。

要执行的命令行。

此字符串的最大长度为 32,767 个字符，包括 Unicode 终止空字符。 如果 lpApplicationName 为 NULL 的模块名称部分 lpCommandLine 仅限于 MAX_PATH 字符。

此函数的 Unicode 版本 CreateProcessW 可以修改此字符串的内容。 因此，此参数不能是指向只读内存的指针（例如 const 变量或文字字符串）。 如果此参数是一个常量字符串，该函数可能会导致访问冲突。

lpCommandLine 。 参数可以为 NULL 在这种情况下，函数使用 lpApplicationName 作为命令行。

一个指针 结构，确定返回的新进程对象的句柄是否可以被子进程继承。 如果 lpProcessAttributes 为 NULL ，则不能继承句柄。

该 lpSecurityDescriptor 成员指定新进程的安全描述符。 如果 lpProcessAttributes 为 NULL 或 lpSecurityDescriptor 为 NULL ，则进程获取默认安全描述符。 进程的默认安全描述符中的 ACL 来自创建者的主令牌。 Windows XP： 进程的默认安全描述符中的 ACL 来自创建者的主令牌或模拟令牌。 这种行为在带有 SP2 的 Windows XP 和 Windows Server 2003 中发生了变化。

一个指针 结构，确定返回的新线程对象的句柄是否可以被子进程继承。 如果 lpThreadAttributes 为 NULL，则不能继承句柄。

该 lpSecurityDescriptor 成员指定主线程的安全描述符。 如果 lpThreadAttributes为 NULL 或 lpSecurityDescriptor 为 NULL，则线程获取默认安全描述符。 线程的默认安全描述符中的 ACL 来自进程令牌。 Windows XP： 线程的默认安全描述符中的 ACL 来自创建者的主令牌或模拟令牌。 这种行为在带有 SP2 的 Windows XP 和 Windows Server 2003 中发生了变化。

如果此参数为 TRUE，则调用进程中的每个可继承句柄都由新进程继承。 如果参数为 FALSE，则不继承句柄。

控制优先级和进程创建的标志。参见下表

C r e a t e P r o c e s s textcolor{cornflowerblue}{CreateProcess} CreateProcess用于创建一个新进程，默认情况下由父进程创建。该函数的 lpStartupInfo参数允许调用者设定父进程，所以这就是用来实现父进程欺骗的关键点。 顺 便 说 一 句 ， 该 功 能 最 初 用 于 W i n d o w s V i s t a 中 设 置 U A C 的 。 textcolor{green}{顺便说一句，该功能最初用于 Windows Vista中设置UAC的。} 顺便说一句，该功能最初用于WindowsVista中设置UAC的。

lpStartupInfo参数中有个 lpAttributeList属性，该属性可通过调用函数 I n i t i a l i z e P r o c T h r e a d A t t r i b u t e L i s t textcolor{cornflowerblue}{InitializeProcThreadAttributeList} InitializeProcThreadAttributeList进行初始化，并调用 U p d a t e P r o c T h r e a d A t t r i b u t e textcolor{cornflowerblue}{UpdateProcThreadAttribute} UpdateProcThreadAttribute函数给lpAttributeList属性添加 PROC_THREAD_ATTRIBUTE_PARENT_PROCESS标志即可实现父进程欺骗。

3.3.代码

3.4.演示

3.5.最后

最后想说说进程树。通过这种修改父进程的方式，可以以 notepad.exe为根节点，cmd.exe或者其他进程为子节点，

最后可以形成如下的树形结构：

• notepad.exe是整棵树的根节点，也是 cmd.exe和 calc.exe的父进程；同理，cmd.exe是 calc.exe和 cmd.exe的父进程，calc.exe是 cmd.exe和 cmd.exe的父进程。

• 如果以结束进程树的方式结束 notepad.exe进程，则整棵树下的所有子节点和叶子节点的进程都会被结束，如果一普通结束进程的方式结束 notepad.exe进程，则下面的进程不会被结束。

• 如果以普通结束进程的方式结束树中某个节点的进程，进程树的连接性就会被破坏，例如这种情形：

  • 对应的树形结构：

来源：飞鸿踏雪（蓝屏选手）