点击上方蓝字关注我们声明: 本文涉及的代码只用于技术研究, 不可用于非法用途, 如将本文中的代码用于非法用途造成的一切后果和损失,均由使用者自行承担法律责任。摘要几乎所有的安全产品在安装后, 会安装自...
利用EDR预加载机制绕过EDR
1.摘要在之前的一篇文章中, 详细介绍了如何利用系统调用来绕过用户模式的EDR挂钩, 这里将介绍另一种EDR预加载的替代技术, 该技术涉及在EDR的DLL加载到进程之前运行恶意代码, 使我们能够完全阻...
dll加载链逆向与实现完美dll劫持
DLL 劫持是一种技术,它通过欺骗第三方代码加载错误的库 (DLL) 来将第三方代码注入到合法进程 (EXE) 中。发生这种情况的最常见方式是将相似的 DLL 放在搜索顺序中高于预期 DLL 的位置,...
完美的DLL劫持 | 翻译
点击蓝字 原文始发于微信公众号(SecHub网络安全社区):完美的DLL劫持 | 翻译
通过重新映射ntdll.dll解除EDR hook
在这篇博客中,我们将深入探讨另一种可用于解开ntdll.dll的技术。在您的 DLL 被 EDR 挂钩的那一刻。我们将通过从磁盘加载 ntdll 来研究重新映射。我们还将验证 EDR 和您自己如何注意...
绕过EDR探索系列一 | 用户模式HOOK
前言山石网科情报中心在分析狩猎样本时,对一些EDR对抗技术做了技术沉淀。该系列将由浅入深介绍EDR相关安全对抗技术。什么是 syscallWindows下有两种处理器访问模式:用户模式(user mo...
免杀对抗-映射Ntdll.dll来取消挂钩EDR
EDR会在特定的Windows API函数上挂钩,例如NtWriteVirtualMemory函数,NTAllocateVirtualMemory函数等等。我们可以从磁盘加载Ntdll.dll文件来绕...
映射Ntdll.dll来取消挂钩EDR
EDR会在特定的Windows API函数上挂钩,例如NtWriteVirtualMemory函数,NTAllocateVirtualMemory函数等等。我们可以从磁盘加载Ntdll.dll文件来绕...
多种基础Shellcode加载器
关注本公众号,长期推送漏洞文章免责声明:请勿利用文章内的相关技术从事非法测试,由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失,均由使用者本人负责,所产生的一切不良后果与文章...
分析 - Microsoft Excel 远程代码执行漏洞 CVE-2023-36041
最近,思科的 Talos 情报小组揭露了Microsoft Excel(一种普遍存在的数据管理和分析工具)中的一个严重漏洞。该漏洞编号为 CVE-2023-36041,CVSS 评分为 7.8,存在于...
恶意软件攻击技术大揭秘——直接系统调用
近年来,我们发现恶意使用直接系统调用来逃避安全产品挂钩的情况有所增加。这些挂钩用于监视可能存在恶意活动的 API 调用。什么是API hookAPI 挂钩是防病毒和 EDR 解决方案使用的一种技术,旨...
系统调用-3环进0环
系统调用-3环进0环前篇前面我们简单的介绍了一下,当我们在3环调用WindowsAPI时,系统是如何从3环调用0环的函数,那么本篇就来详细介绍一下,到底是怎么进入的,有哪几种方式。1_KUSER_SH...