Process Injection

Réserve, valide ou les deux une région de mémoire virtuelle dans un processus cible.

Réserve ou valide de la mémoire virtuelle avec paramètres étendus (nœud NUMA préféré, CFG, contraintes d'adresse).

Modifie la protection d'une région de mémoire virtuelle validée dans un processus cible.

Écrit un tampon de l'appelant dans l'espace d'adressage virtuel d'un processus cible.

Décommit ou libère une région de mémoire virtuelle dans un processus cible.

Applique une classe d'information à une liste de plages mémoire virtuelle : préchargement, priorité de page ou opt-in CFG.

Alloue des pages de mémoire physique pour Address Windowing Extensions (AWE).

Mappe des pages physiques allouées via AWE dans une fenêtre d'adresse virtuelle préalablement réservée.

Ouvre un handle vers un processus existant avec un masque d'accès demandé.

Crée un objet section adossé à un fichier ou au pagefile système pour le mappage mémoire partagée.

Crée un objet section avec des paramètres étendus (nœud NUMA, contraintes d'adresse, pages physiques utilisateur).

Mappe une vue d'un objet section dans l'espace d'adressage virtuel d'un processus cible.

Démappe une vue de section précédemment mappée de l'espace d'adressage d'un processus.

Syscall historique de création de thread nécessitant une INITIAL_TEB construite à la main ; remplacé par NtCreateThreadEx.

Crée un nouveau thread dans un processus cible, éventuellement suspendu, avec support des listes d'attributs.

Place un appel de procédure asynchrone (APC) en mode utilisateur dans la file d'un thread cible.

Place un APC utilisateur dans la file d'un thread avec un objet réserve optionnel ou un flag special-user-APC pour livraison forcée.

Vérifie si le thread appelant a une alerte en attente et délivre, le cas échéant, les APC user-mode en file.

Pré-alloue un reserve object noyau (APC ou completion) afin que les opérations futures ne puissent échouer sous pression mémoire.

Création de processus NT historique à partir d'un objet section préconstruit — prédécesseur de NtCreateProcessEx et NtCreateUserProcess.

Crée un nouveau processus en mode utilisateur et son thread initial à partir d'une image exécutable.

Suspend tous les threads d'un processus cible en incrémentant le compteur de suspension de chacun.

Décrémente le compteur de suspension de chaque thread d'un processus cible et relance ceux qui atteignent zéro.

Décrémente le compteur de suspension d'un thread, reprenant l'exécution lorsque le compteur atteint zéro.

Reprend un thread suspendu et l'alerte simultanément pour délivrer toute APC en attente.

Crée un objet timer moderne haute résolution prenant en charge manual-reset et no-wake en un seul appel.

Crée un port de complétion d'E/S — la file noyau qui sous-tend la livraison de travail du threadpool, la notification d'E/S asynchrone et (dans PoolParty) les items de travail injectés.

Poste un paquet de complétion sur un port de complétion d'E/S — le côté noyau de PostQueuedCompletionStatus et le vecteur de livraison des items forgés de PoolParty.

Annule un wait-completion packet précédemment associé, supprimant la liaison à l'objet dispatcher.

Lie un wait-completion packet à un dispatcher object pour que son signal poste une entrée dans un IOCP.

Crée un objet worker factory noyau — la primitive de threadpool que l'injection PoolParty détourne pour exécuter du shellcode sans NtCreateThreadEx.

Signale à une worker factory d'arrêter la création de threads et indique combien de workers sont encore en attente.

Définit une classe de configuration sur une worker factory — y compris, dans certaines variantes PoolParty, la StartRoutine exécutée par les threads de travail.

Interroge la configuration et l'état d'exécution d'une worker factory, y compris la StartRoutine actuelle et le nombre de workers.

Demande au noyau de rendre au moins un worker disponible dans la factory — utilisé par le threadpool utilisateur pour réveiller le pool à la soumission de travail.

Bloque un worker de threadpool jusqu'à ce qu'un item soit disponible sur la file de complétion de la factory — la boucle chaude détournée par PoolParty.

Ajoute (ou incrémente le refcount) d'une chaîne dans la table d'atomes globale du noyau et renvoie son ID 16 bits.

Recherche un atome global existant par son nom et renvoie son ID 16 bits sans incrémenter le refcount.

Décrémente le compteur de références d'un atome global et le supprime quand le compteur atteint zéro.

Renvoie des métadonnées sur un atome unique ou sur toute la table d'atomes globale — nom, refcount, pin count, compteurs d'usage.