我会在本文中列出一系列可用于绕过行业领先的企业终端保护解决方案的技术。出于安全的考虑,所以我决定不公开发布源代码。在模拟攻击中,“初始访问”阶段的一个关键挑战是绕过企业终端上的检测和响应能力 (EDR...
x64 返回地址欺骗
【翻译】x64 Return Address Spoofing 引言杀毒软件或 EDR 解决方案基于行为阈值来判断活动是否恶意。如果进程的活动超过这个阈值,它就会被归类为可疑或直接判定为恶意,并可能被...
[Shellcode x64] 使用 Assembly 查找并执行 WinAPI 函数
你将学到什么: WinAPI函数手册位置及汇编代码 PEB 结构和 PEB_LDR_DATA PE文件结构 相对虚拟地址计算 导出地址表 (EAT) Windows x64 调用约定实践...
Python写一键启动工具
一键快速启动常用程序:如果您经常使用一组特定的程序,可以将它们添加到配置文件中,并保存配置。这样,每次打开程序启动器时,只需加载配置即可快速启动常用的程序 代码: import os import t...
每日安全动态推送(11-1)
Tencent Security Xuanwu Lab Daily News• Remplacer la WIN32API pour l'injection de processus - Y...
第五枪:修身七年——C++与API调用
关于内存模型与进程已经写了大半,但是自己在读的时候,发现使用了很多代码来举实例,于是觉得把这里先梳理一下C++和Windows API方面的知识可能会新...
Rust免杀 | Shellcode加载与混淆
由于微信公众号推送机制改变了,快来星标不再迷路,谢谢大家! 前言 这是半年前我学习Rust和免杀时的一些记录,最近打开知识库看到了这篇半年前的笔记,并且发现我常逛的安全社区都比较少有人分享Rust以及...
Rust免杀 - Shellcode加载与混淆
前言 这是半年前我学习Rust和免杀时的一些记录,最近打开知识库看到了这篇半年前的笔记,并且发现我常逛的安全社区都比较少有人分享Rust以及Rust免杀的帖子,于是想着将这篇笔记分享出来供大家参考和指...
【翻译】免杀技巧--使MSF变得再次可行
本文为翻译文章,有兴趣的师傅可点击阅读原文查看。 使用大堆栈方式,让msf的payload成功绕过wind...
CobaltStrike WinAPI屏幕截图插件
CobaltStrike使用了一种名为fork & run的技术来实现许多post-ex功能,包括screenshot命令。虽然这种行为提供了稳定性,但它现在已广为人知并受到严格监控。此BOF...
反射式DLL注入实现
本文为看雪论坛优秀文章看雪论坛作者ID:_DriverEntry一般而言要注入DLL到一个目标进程最简单的方法 就是先获取DLL文件路径,然后在目标进程分配内存空间将路径写入到目标进程,写入到目标进程...
A blueprint for evading industry leading endpoint protection
本文原标题为:A blueprint for evading industry leading endpoint protection in 2022(译文),由于微信标题长度限制在此简记为 A bl...