程序逆向

句柄降权绕过CallBacks检查

一 什么是句柄  当一个进程利用名称来创建或打开一个对象时,将获得一个句柄,该句柄指向所创建或打开的对象。以后,该进程无须使用名称来引用该对象,使用此句柄即可访问。这样做可以显著地提高引用对象的效率。...
阅读全文

ATT&CK -

PPID欺骗 对手可能会欺骗新进程的父进程标识符(PPID),以逃避进程监视防御或提升特权。除非明确指定,否则通常直接从其父进程或调用进程中产生新进程。显式分配新进程的PPID的一种方法是通过Crea...
阅读全文

ATT&CK - 禁用安全工具

禁用安全工具 攻击者禁用安全工具,以避免他们的工具和活动被检测到。可以采取以下形式:终止安全软件或事件日志记录流程、删除注册表项以便工具不会在运行时启动,或者使用其他方法干扰安全扫描或事件报告。 缓解...
阅读全文

ATT&CK -

DLL 侧载 程序可以指定在运行时加载的 DLL。 不正确或模糊地指定所需 DLL 的程序可能会导致漏洞,从而加载非预期 DLL。 当 Windows Side-by-Side (WinSxS) 的 ...
阅读全文