C++ 怎么通过劫持线程上下文修改 RIP 寄存器执行 Shellcode 注入-C++-PHP中文网

不能安全、可靠、跨版本地通过劫持线程上下文修改 RIP 注入 shellcode——因内存不可执行、CET 防护、EDR 监控及栈状态不稳定，SetThreadContext 改 Rip 几乎必然失败；可行方案是 VirtualProtectEx + CreateRemoteThread 构造可执行内存入口。

c++ 怎么通过劫持线程上下文修改 rip 寄存器执行 shellcode 注入

不能安全、可靠、跨版本地通过劫持线程上下文修改 RIP 注入 shellcode —— 这是 Windows 内核机制与用户态隔离共同封死的路径，强行操作大概率触发 STATUS_ACCESS_VIOLATION 或被 EDR 拦截。

为什么 SetThreadContext + 修改 `Rip` 几乎必然失败

Windows 用户态线程上下文（CONTEXT）中修改 Rip 字段，仅在目标线程处于 Suspended 状态且下一条指令可被合法重定向时才可能“短暂生效”。但实际中：

Rip 指向的地址必须具备 PAGE_EXECUTE_READWRITE（或至少 PAGE_EXECUTE_READ）权限，而普通堆/栈内存默认不可执行；直接写入 shellcode 到未标记为可执行的页会触发硬件异常
现代 Windows（1809+）启用 CET（Control-flow Enforcement Technology），对间接跳转/调用强制验证 ENDBR64 指令，非对齐或无防护的 Rip 跳转会被 CPU 直接终止
主流 EDR（如 CrowdStrike、Microsoft Defender ATP）监控 SetThreadContext 对 Rip 的篡改，将其列为高可疑行为，几乎 100% 拦截或上报
若目标线程刚从系统调用返回（如 NtDelayExecution 后），其栈帧和寄存器状态不稳定，强行改 Rip 会导致栈失衡、SEH 链损坏，进程崩溃

真正可行的替代路径：用 `VirtualProtectEx` + `CreateRemoteThread`

绕过 Rip 劫持，转而控制线程执行流进入你可控的内存区域。核心不是“改寄存器”，而是“造入口”：

先用 VirtualAllocEx 在目标进程申请一块 PAGE_READWRITE 内存
用 WriteProcessMemory 把 shellcode 写入该内存
再用 VirtualProtectEx 将该内存改为 PAGE_EXECUTE_READ（注意：不能一步申请 EXECUTE，多数 AV/EDR 会拦截 MEM_COMMIT | PAGE_EXECUTE_READWRITE）
最后调用 CreateRemoteThread，起始地址设为该内存首地址 —— 此时新线程自然从你的 shellcode 开始执行，无需碰 Rip

示例关键片段（省略错误检查）：

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

HANDLE hProc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid);
LPVOID addr = VirtualAllocEx(hProc, NULL, len, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
WriteProcessMemory(hProc, addr, shellcode, len, NULL);
DWORD old;
VirtualProtectEx(hProc, addr, len, PAGE_EXECUTE_READ, &old);
CreateRemoteThread(hProc, NULL, 0, (LPTHREAD_START_ROUTINE)addr, NULL, 0, NULL);

如果非要改 `Rip`，唯一勉强能试的场景

仅限于：你已完全控制目标线程（比如它是你自己的调试器创建的挂起线程），且该线程当前 Rip 指向的是你可控的一小段 stub（例如几字节的 jmp [rip + offset]），你再配合修改其指向的数据区 —— 这本质是“间接跳转”，而非直接飞到任意地址。

直接赋值 context.Rip = (DWORD64)shellcode_addr 是自毁式操作，除非 shellcode 所在页已由 VirtualProtectEx 显式设为可执行，且目标线程栈顶足够干净（无 pending SEH、无未完成的 FPO 帧）
某些旧版驱动或内核漏洞利用中会用 Rip 劫持，但那是 Ring 0 上绕过 KASLR+SMAP 的组合技，用户态程序没权限做等价事
所有成功案例（如部分 PoC）都依赖特定 Windows 版本 / 编译器生成的函数序言结构，换一个编译选项或补丁就失效

真正卡住的点从来不是“怎么改 Rip”，而是“改完之后 CPU 让不让你执行、OS 让不让你分配、EDR 让不让你落地”。把精力放在内存权限管理、执行策略绕过（如反射式 DLL 注入）、或更底层的 APC 注入上，比硬啃 Rip 劫持现实得多。