不能安全、可靠、跨版本地通过劫持线程上下文修改 RIP 注入 shellcode——因内存不可执行、CET 防护、EDR 监控及栈状态不稳定，SetThreadContext 改 Rip 几乎必然失败；可行方案是 VirtualProtectEx + CreateRemoteThread 构造可执行内存入口。
不能安全、可靠、跨版本地通过劫持线程上下文修改 RIP 注入 shellcode —— 这是 Windows 内核机制与用户态隔离共同封死的路径，强行操作大概率触发 STATUS_ACCESS_VIOLATION 或被 EDR 拦截。
为什么 SetThreadContext + 修改 Rip 几乎必然失败
Windows 用户态线程上下文（CONTEXT）中修改 Rip 字段，仅在目标线程处于 Suspended 状态且下一条指令可被合法重定向时才可能“短暂生效”。但实际中：
-
Rip指向的地址必须具备PAGE_EXECUTE_READWRITE（或至少PAGE_EXECUTE_READ）权限，而普通堆/栈内存默认不可执行；直接写入 shellcode 到未标记为可执行的页会触发硬件异常 - 现代 Windows（1809+）启用 CET（Control-flow Enforcement Technology），对间接跳转/调用强制验证
ENDBR64指令，非对齐或无防护的Rip跳转会被 CPU 直接终止 - 主流 EDR（如 CrowdStrike、Microsoft Defender ATP）监控
SetThreadContext对Rip的篡改，将其列为高可疑行为，几乎 100% 拦截或上报 - 若目标线程刚从系统调用返回（如
NtDelayExecution后），其栈帧和寄存器状态不稳定，强行改Rip会导致栈失衡、SEH 链损坏，进程崩溃
真正可行的替代路径：用 VirtualProtectEx + CreateRemoteThread
绕过 Rip 劫持，转而控制线程执行流进入你可控的内存区域。核心不是“改寄存器”，而是“造入口”：
- 先用
VirtualAllocEx在目标进程申请一块PAGE_READWRITE内存 - 用
WriteProcessMemory把 shellcode 写入该内存 - 再用
VirtualProtectEx将该内存改为PAGE_EXECUTE_READ（注意：不能一步申请EXECUTE，多数 AV/EDR 会拦截MEM_COMMIT | PAGE_EXECUTE_READWRITE） - 最后调用
CreateRemoteThread，起始地址设为该内存首地址 —— 此时新线程自然从你的 shellcode 开始执行，无需碰Rip
示例关键片段（省略错误检查）：
立即学习“C++免费学习笔记（深入）”；
HANDLE hProc = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pid); LPVOID addr = VirtualAllocEx(hProc, NULL, len, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE); WriteProcessMemory(hProc, addr, shellcode, len, NULL); DWORD old; VirtualProtectEx(hProc, addr, len, PAGE_EXECUTE_READ, &old); CreateRemoteThread(hProc, NULL, 0, (LPTHREAD_START_ROUTINE)addr, NULL, 0, NULL);
如果非要改 Rip，唯一勉强能试的场景
仅限于：你已完全控制目标线程（比如它是你自己的调试器创建的挂起线程），且该线程当前 Rip 指向的是你可控的一小段 stub（例如几字节的 jmp [rip + offset]），你再配合修改其指向的数据区 —— 这本质是“间接跳转”，而非直接飞到任意地址。
- 直接赋值
context.Rip = (DWORD64)shellcode_addr是自毁式操作，除非 shellcode 所在页已由VirtualProtectEx显式设为可执行，且目标线程栈顶足够干净（无 pending SEH、无未完成的 FPO 帧） - 某些旧版驱动或内核漏洞利用中会用
Rip劫持，但那是 Ring 0 上绕过 KASLR+SMAP 的组合技，用户态程序没权限做等价事 - 所有成功案例（如部分 PoC）都依赖特定 Windows 版本 / 编译器生成的函数序言结构，换一个编译选项或补丁就失效
真正卡住的点从来不是“怎么改 Rip”，而是“改完之后 CPU 让不让你执行、OS 让不让你分配、EDR 让不让你落地”。把精力放在内存权限管理、执行策略绕过（如反射式 DLL 注入）、或更底层的 APC 注入上，比硬啃 Rip 劫持现实得多。
