是否可以存在没有可执行文件支持的映像的进程？

Question

查看 OSR Online 和 NtInternals，看起来像 NtCreateProcess （和 ZwCreateProcess）指定为内存部分提供句柄是可选！

这是否意味着我们可以拥有不受可执行映像支持的进程？如果是这样，它们可能（或正在）用于什么用途？这是否意味着我们可以将可执行文件完全复制到内存中，然后甚至从磁盘中删除该文件，并使进程继续运行？这看起来是一个非常有用的功能。

Answer 1

如果节（win32 中的文件映射）为 NULL，则使用父进程的节。可能可以使用 NULL 并分配新内存并将 EIP 指向它（或使用页面文件映射），但使用 NtCreateProcess 是有问题的，它没有文档记录，并且不像 CreateProcess 那样向 win32 子系统注册。 （如果您只想使用 ntdll 的导出，这可能没问题）

在 Win9x、NT4 和 2000 上，您可以使用列出的肮脏技巧在运行时从磁盘中删除自己 此处。

其他选项：

• 使用驱动程序，它们可以在加载后删除（sysinternal 工具可以执行此操作）
• 使用主机进程；启动explorer.exe、cmd.exe或rundll32.exe挂起并使用CreateRemoteThread+注入代码（这当然意味着磁盘上有一个exe文件，但里面没有你的代码）

Answer 2

我只是尝试自己创建一个带有非图像支持的部分对象的进程。 :)

结果呢？

NtCreateProcess 返回：

STATUS_SECTION_NOT_IMAGE
// An attempt was made to query image information on a section which
// does not map an image.

所以显然每个进程都需要图像支持（假设你不破解内核来做其他事情）。