摘要:
EDR 通过CreateService创建服务分析——底层rpc调用系统接口操作注册表,还是要进行OS API的采集,性价比最高 先说下注册表HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services的作用是什么? 注册表HKEY_LOCAL_MACHI 阅读全文
摘要:
下载LiveKd和windbg,其中livekd运行时候,设置下symbols目录: LiveKd v5.63 - Execute kd/windbg on a live system Sysinternals - www.sysinternals.com Copyright (C) 2000-20 阅读全文
摘要:
下载deb包: https://github.com/Sysinternals/SysinternalsEBPF/releases https://github.com/Sysinternals/SysmonForLinux/releases/tag/1.2.0.0 安装: 10 sudo dpkg 阅读全文
摘要:
CS的进程注入: Mitre的进程注入检测: Cobalt Strike’s Process Injection: The Details Posted on August 21, 2019 by Raphael Mudge Cobalt Strike 3.14 finally delivered 阅读全文
摘要:
Cobalt Strike进程注入——CreateRemoteThread案例复现和检测 内网两台机器,操作如下: 我使用的是powershell 反弹shell执行: 看到的sysmon数据采集 Network connection detected: RuleName: Alert,Metasp 阅读全文
摘要:
写在前面: CS反弹shell,如何检测?shell ipconfig。 ipconfig、whoami等父进程的父进程是powershell,如下是sysmon的数据采集: + System - Provider [ Name] Microsoft-Windows-Sysmon [ Guid] { 阅读全文
摘要:
进程注入检测 DLL注入检测的几种方式: 1、命令行,包含某些特定注入工具的关键字 2、排除白名单的可疑注入 3、可疑的DLL加载 4、特定工具注入的startaddress异常 以下内容来自CAR和splunk等开源检测渠道: title: CobaltStrike Process Injecti 阅读全文
摘要:
注入到记事本进程:codeinject.exe 8812 (管理员运行) codeinject代码: // CodeInjection.cpp // reversecore@gmail.com // http://www.reversecore.com #include "windows.h" #i 阅读全文
摘要:
准备: pip install frida pip install frida-tools 开始: 1、创建child-gating1.py import os import threading from frida_tools.application import Reactor import f 阅读全文
摘要:
C语言编程测试sqlite3 编程环境搭建 运行C程序,需要先下载SQLite的源码:https://www.sqlite.org/download.html 我下载的是sqlite-amalgamation-3370000.zip 解压后是两个c文件和两个h文件: 注意,sqlite的源码全部被合 阅读全文