Windows进程可以检查它是否已被另一个进程注入吗？

#1 楼

注入的代码可以由但不限于：

可以通过多种技术检测远程创建的线程：使用NtQueryProcessInformation进行处理。

对于每个线程，检查其是否从原始可执行文件的地址空间而不是从某些孤立的内存页面运行： br />将第二个参数设置为NtQueryInformationThread


ThreadQuerySetWin32StartAddress-检查线程起始地址是否在每个已加载模块的范围内，并且那些模块是否合法（按已知列表/按路径） ）。
也请在此处进行检查。内存保护API（GetModuleInformation），以检测是否有人试图修改您的代码，然后检查“某人”是否属于合法进程地址空间。
通过保留合法loa列表嵌入式模块，还可以从列表中检查进程中的每个线程是否都属于合法模块的地址空间。 >没有线程的已注入代码


检查过程的完整性-根据过程查找各种API的热补丁。注入的代码可能由当前进程内部的某个补丁触发。
如果目标代码属于当前进程，则监视APC创建API（NtQueryProcessInformation）。操作系统的APC也可以被过滤掉。

甚至在合法进程开始运行并放置其保护之前，还有其他方法可以注入代码-使用CreateToolhelp32Snapshot / VirtualProtect / LoadLibrary的组合，理论上可以绕过所有已实现的保护。当您的代码和注入的代码仅在同一环（用户模式）下运行时，一切都取决于谁先获得控制权。寻找代码洞穴方法，并考虑例如将恶意代码注入explorer.exe并启动程序时：-)。对过程中的代码注入进行更可靠的控制并获得良好的保护，但是原因取决于技巧和要保护的内容。

#2 楼

进程可以检测是否存在注入的线程的一种方法是使用线程本地存储。当注入线程时，除非注入器小心地将其禁用，否则将调用主机的线程本地存储回调。如果调用了回调，则主机可以查询新线程的起始地址，并确定它是否在主机的已定义代码区域内（只有主机会知道），请参见“终极”例如，Debugging Tricks论文（http://pferrie.host22.com/papers/antidebug.pdf）。部分以进行注入），它肯定会抓住一些东西。

但是，对您的问题的简短回答实际上是“否”。在所有情况下，流程都无法“知道”已注入了某些东西。在大多数情况下都是“是”，但并非全部。