ProcessHollowing

Craft.io空洞 1. SectionRemapLoader SectionRemapLoader使用NtUnmapViewOfSection ， NtCreateSection和NtMapViewOfSection来执行过程空心化。 这种方法要容易得多，但是需要磁盘上有一个有效的PE映像文件。 确保架构匹配。 SectionRemapLoader.exe以32位模式构建的SectionRemapLoader.exe启动32位进程，或以64位模式构建的SectionRemapLoader.exe启动64位进程。 Usage: SectionRemapLoader.exe <exe> <exe> [args...] 例子： $ .\SectionRemapLoader.exe C:\Windows\write.exe C:\Window