ppid欺骗与排查 PPID欺骗 CreateProcess创建的进程 通过在STARTUPINFO中添加PROC_THREAD_ATTRIBUTE_PARENT_PROCESS来指定父进程句柄 遍历...
02月27日12 views评论ssid
进程
免杀基础-ppid伪造
02月27日12 views评论ssid
进程
02月27日12 views评论ssid
进程
使用 Windows API 查找 PID 和 PPID
这篇文章将介绍如何使用 Windows API 查找带有进程名称的进程 ID。这种方法可以用于几个目的。您可以确定您正在攻击的系统是沙箱环境还是普通系统。或者你只是想将你的 shellcode 注入到...
09月27日22 views评论snapshot
ssid
ATT&CK -
PPID欺骗 对手可能会欺骗新进程的父进程标识符（PPID），以逃避进程监视防御或提升特权。除非明确指定，否则通常直接从其父进程或调用进程中产生新进程。显式分配新进程的PPID的一种方法是通过Crea...
04月15日ATTACK10 views评论parent
进程
红蓝对抗必备的基础技能：PEB&PPID欺骗（二）
一、前言前文链接：红蓝对抗必备的基础技能：PEB&PPID欺骗（一） 在上一篇文章中，我们介绍了一些在C#中需要了解的基本概念，其中触及了一些比较...
11月01日41 views评论unsigned
红蓝对抗
红蓝对抗必备的基础技能：PEB&PPID欺骗（一）
一、前言 PEB欺骗和父进程欺骗常在一些渗透的场景中应用，这系列的文章主要是让大家了解如何进行 PPID spoofing（父进程欺骗）和 PEB欺骗，并...
10月29日203 views评论红蓝对抗
结构体
红队技术-父进程欺骗（T1134）
概述父进程欺骗是一种访问令牌操作技术，通过将恶意文件的PPID指定为explorer.exe等合法进程的PPID，可帮助攻击者规避启发式检测等防御技术。该欺骗可通过使用本地API调用来执行，该调用可帮...
04月23日49 views评论windows
进程
检测父PID欺骗?
用来检测异常活动的最有用的技术之一是对父子进程关系的分析，然而，技术更高明更强大的攻击者可以使用父PID（PPID）欺骗来绕过此操作，从而允许从任意父进程执行恶意进程。尽管这项技术本身并不新鲜，虽然C...
11月16日202 views评论攻击者
检测