Process Ghosting开发指南：编译环境搭建与代码调试全流程

Process Ghosting开发指南：编译环境搭建与代码调试全流程

【免费下载链接】process_ghostingProcess Ghosting - a PE injection technique, similar to Process Doppelgänging, but using a delete-pending file instead of a transacted file项目地址: https://gitcode.com/gh_mirrors/pr/process_ghosting

Process Ghosting是一种PE注入技术，类似于Process Doppelgänging，但使用待删除文件而非事务文件。本文将为新手开发者提供Process Ghosting项目的编译环境搭建与代码调试全流程，帮助你快速上手这一强大的技术实现。

一、项目概述：了解Process Ghosting核心功能

Process Ghosting项目由hasherezade开发，实现了Gabriel Landau提出的进程注入技术。其核心特点包括：

• 内存 artifacts 与 Process Doppelgänging 类似
• 有效载荷映射为MEM_IMAGE（未命名：不链接到任何文件）
• 节区使用原始访问权限映射（无RWX）
• 有效载荷作为主模块连接到PEB
• 支持远程注入（但仅注入到新创建的进程中）
• 进程由未命名模块创建（GetProcessImageFileName返回空字符串）

二、环境准备：编译Process Ghosting的必要条件

2.1 硬件与系统要求

• Windows操作系统（32位版本仅适用于32位系统）
• 至少2GB内存和10GB可用磁盘空间

2.2 开发工具安装

1. 安装CMake：确保版本不低于3.0，可从CMake官方网站下载
2. 安装Visual Studio：推荐使用VS2019或更高版本，需安装C++开发组件
3. 获取源码：

git clone https://gitcode.com/gh_mirrors/pr/process_ghosting

三、编译步骤：从源码到可执行文件

3.1 生成项目文件

1. 进入项目目录：

cd process_ghosting

2. 创建构建目录并进入：

mkdir build && cd build

3. 运行CMake生成Visual Studio项目：

cmake ..

3.2 使用Visual Studio编译

1. 打开生成的proc_ghost.sln解决方案
2. 选择编译配置（Debug或Release）
3. 右键点击解决方案，选择"生成"

项目主要源代码文件包括：

• main.cpp：程序入口点
• util.cpp：通用工具函数
• ntdll_undoc.cpp：未文档化的NTAPI函数实现
• pe_hdrs_helper.cpp：PE头解析辅助函数
• process_env.cpp：进程环境相关功能

四、代码调试：解决常见问题

4.1 调试环境配置

1. 在Visual Studio中设置断点
2. 配置调试命令参数（如有需要）
3. 选择"开始调试"（F5）

4.2 常见编译错误及解决方法

• 缺少头文件：确保所有头文件如ntddk.h、ntdll_undoc.h等都在项目目录中
• 链接错误：检查CMakeLists.txt中的源文件列表是否完整
• 32位系统问题：32位版本仅能在32位Windows系统上运行，64位系统需编译64位版本

五、技术原理简析：Process Ghosting工作流程

Process Ghosting技术通过创建待删除文件来实现PE注入，主要步骤包括：

1. 创建临时文件并写入恶意PE内容
2. 将文件标记为删除（但保持打开状态）
3. 使用NtCreateProcessEx从该文件创建进程
4. 在进程初始化前修改内存中的PE内容
5. 完成注入后文件会被自动删除，减少痕迹

六、总结：快速掌握Process Ghosting开发

通过本文的指南，你已经了解了Process Ghosting项目的编译环境搭建和基本调试方法。关键要点包括：

• 正确安装CMake和Visual Studio开发环境
• 使用CMake生成项目并进行编译
• 熟悉项目结构和主要源代码文件
• 掌握基本的调试技巧和问题解决方法

现在你可以开始探索Process Ghosting的源代码，深入理解这一注入技术的实现细节，并根据自己的需求进行修改和扩展。

注意：本项目仅用于教育和研究目的，请勿用于非法用途。使用时请遵守当地法律法规。

【免费下载链接】process_ghostingProcess Ghosting - a PE injection technique, similar to Process Doppelgänging, but using a delete-pending file instead of a transacted file项目地址: https://gitcode.com/gh_mirrors/pr/process_ghosting