前言:
如果我们双击cmd程序那么他的父进程就是explorer.exe
有时候运维人员会去看可疑的父进程,那么这个时候通过一些手法改变父进程名字
思路:
主要是利用操作系统API UpdateProcThreadAttribute的第三个参数PROC_THREAD_ATTRIBUTE_PARENT_PROCESS,当函数调用成功之后,当前调用函数的进程再创建进程的话,创建出来的子进程的父进程就会变成第4个进程句柄的进程
这个程序会打开一个cmd程序
这里填我们欺骗的父进程
如果我这里双击打开那么他的父进程就是explorer.exe,现在的父进程是winlogon.exe,欺骗成功
原文始发于微信公众号(红队攻防):父进程隐藏
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论