印尼安全研究员Maland发布了一篇硬核实战文章,详细记录从零手工编写x86 Windows Shellcode的全过程,包括PEB遍历、动态API解析(ROR13哈希)、避免NULL字节与坏字符处理...
利用调用小工具规避 Elastic EDR 的调用堆栈签名
利用调用小工具在模块加载期间插入任意模块以规避ElasticEDR检测。威胁简报恶意软件漏洞攻击TL;DR:使用调用小工具在模块加载期间将任意模块插入调用堆栈,从而破坏检测规则中使用的签名。代码可在此...
样本分析 | 伪咪咕视频的银狐样本分析
分析伪咪咕视频银狐样本,发现其通过加载本地图片执行恶意代码,收集系统信息并连接C2服务器。前言这里简单记录一下某银狐样本分析过程,如有写的不正确的地方欢迎各位师傅指正。样本是2025年11月26日应急...
dll注入入门
DLL注入是将代码通过动态链接库形式注入到目标进程的技术,常用于调试、功能扩展或安全监控。通过远程线程调用,实现自动执行。1.lib和dllliblib(Static library 静态链接库),一...
免杀 | dump lssas进程
提升权限 DumpLsass需要SeDebugPrivilege权限,管理员Powershell默认是有的,流程是首先提升进程权限,看网络上的前辈视频和文章第一种方法用底层函数RtlAdjustPri...
利用自定义堆栈进行 Shellcode 开发
1. 概述 最近学习了下 BRC4 作者1月发表的博客 Hiding In PlainSight - Indirect Syscall is Dead! Long Live Custom Call S...
【翻译】Hiding In PlainSight - 使用Proxying DLL规避ETWTI堆栈追踪
本文为翻译文章,需要阅读原文的师傅可以直接点击阅读原文。什么是堆栈?在计算机中,描述 "堆栈 "的最简单方法是一个临时的内存空间,局部变量和函数参数以不可执行的权限存储在这里。这个堆栈可以包含关于一个...
CobaltStrike ShellCode详解
本文为看雪论坛优秀文章看雪论坛作者ID:mb_wiyiprvz一前言CobaltStrike大家应该知道,最近刚好遇上了一个CS的分段的Beacon样本,详细分析了下ShellCode,看它Shell...
使用免费工具进行逆向和利用:第19部分
原作者:Ricardo Narvaja 翻译作者:梦幻的彼岸 更新日期:2022年1月21日 我们将开始研究静态逆向中的一个重要课题,即对结构的处理。 事实上,我已经用IDA PRO工作了多年,我知道...

