windows环境下的自保护探究

Drunkmars / 2022-05-18

我们要想在32位下实现进程保护很简单,通过SSDT hook重写函数即可实现,但是在64位系统下因为引入了PGDSE的原因,导致SSDT hook实现起来处处受限。但微软同样为了系统安全,增加了一个对象回调函数的接口,利用该回调可以实现对对象请求的过滤保护自身的进程,目前大部分64位下的安全软件保护机制都是基于该方法,我们深入进行探究

T

HOW DO YOU ACTUALLY FIND BUGS?(译文)

tang2019 / 2022-05-17

本文是根据具有12年从业经验的安全研究人员Mark Dowd在今年的OffensiveCon大会上面的主题演讲整理而成,主要讲解了他自己在挖掘软件漏洞方面的方法论。

S

A blueprint for evading industry leading endpoint protection in 2022(译文)

s0urce / 2022-05-12

大约两年前,我辞去了全职红队操作员的工作。然而,它仍然是一个心仪的专业领域。几周前,我重新拾起昨日的爱好:绕过/逃避端点保护解决方案。

在这篇文章中,我们将探讨一系列可用于绕过行业领先的企业端点保护解决方案的技术。由于这纯粹是为了(道德)红队队员等安全从业者教育之用,因此我决定不公开发布源代码。本文旨在让安全行业的广大读者能够全面了解相关技术,而不是深入研究每种技术的细节。相反,具体的技术细节,读者可以参阅参考资料部分列出的文章。

在模拟对抗过程中,“初始访问”阶段的一个关键挑战,就是绕过企业端点上的检测和响应能力 (EDR)。由于商业的c2框架向红队队员提供的是不可修改的shellcode和二进制文件,所以,安全解决方案供应商会提取这些代码的特征(或者成为签名),那么,为了植入这些代码,红队就必须对其特征(静态和行为特征)进行必要的混淆处理。

对抗无落地的shellcode注入

Drunkmars / 2022-05-11

一般的shellcode加载到内存都是通过LoadLibraryGetProcAddress来获取函数进行shellcode加载,亦或是通过VirtualAllocEx远程申请一块空间来放入shellcode的地址进行加载。为了隐蔽,攻击者通常会通过PEB找到InLoadOrderModuleList链表,自己去定位LoadLibrary函数从而规避杀软对导入表的监控。攻击者先把shellcode加密,在写入时解密存放到内存空间,使用基于文件检测的方法,是无能为力的,那么这种无落地的方式,最终都会在内存中一览无余。

Musl 程序分析和调试环境配置 && 部分源码分析

0xRGz / 2022-05-09

这里探索了很多方式,勘误之前的启动方式实际上存在一些问题,这里终于探索到了最完备的musl 调试环境,这里特别感谢我的学弟gxh为勘误做出的贡献。
算是musl 学习的正式终结。

通过嵌入x64汇编隐藏数据&反调试

Drunkmars / 2022-05-05

我们知道在x64里面,从3环进入0环会调用syscall,那么如果是32位的程序就需要首先转换为x64模式再通过syscall进入0环,这里就会涉及到一系列64位寄存器的操作,我们通过探究其实现原理来达到隐藏数据和反调试的效果。

浅谈hook攻防

Drunkmars / 2022-04-28

攻与防都是相对的,只有掌握细节才能更好的对抗。

W

滥用具备RWX-S权限且有签名的dll进行无感知的shellcode注入

wonderkun / 2022-04-26

常规的shellcode注入一般是通过VirtualAllocEx,WriteProcessMemoryCreateRemoteThread 来实现的,但是这种方式是被安全软件重点监控的,同时微软提供的ETW接口也是可以轻易检测出上述方式进行代码注入的痕迹。本文的核心是讲解怎么利用具备 RWX-S 权限且自身有签名的白DLL进行一种比较隐蔽的shellcode注入,
并讲解具体的代码实现以及在写代码实现的过程中遇到的坑。本方法是由文章提出的:https://billdemirkapi.me/sharing-is-caring-abusing-shared-sections-for-code-injection/ ,详情可以参考此文章。

PE文件结构从初识到简单shellcode注入

gcker / 2022-04-22

将自己学习的PE文件结构进行总结形成文章这件事情,一直躺在我的Notion TodoList里,但是一直是未完成的状态哈哈,拖了那么久也该让它状态变成已完成了。

构建API调用框架绕过杀软hook

Drunkmars / 2022-04-18

我们知道杀软在API函数的监控上一般有两种手段,一种是在3环直接通过挂钩到自己的函数判断是否调用了这个API,另外一种方式就是在0环去往SSDT表的路径上挂钩来判断进0环后的操作。那么我们如果不想杀软监控我们的行为,之前提过的内核重载是一种绕过的方式,但是内核重载的动静太大,这里我们就通过直接重写3环到0环的API,通过重写KiFastCallEntry来自己调用内核的函数,以达到规避杀软的效果。

syscall的前世今生

0r@nge / 2022-03-10

学免杀不可避免的学习syscall,虽然是几年前的技术,还是有必要学习。学习新技术之前先掌握旧技术。

投稿

随机分类

密码学 文章:13 篇
前端安全 文章:29 篇
渗透测试 文章:154 篇
IoT安全 文章:29 篇
后门 文章:39 篇

扫码关注公众号

WeChat Offical Account QRCode

最新评论

你又不是她

感谢大佬分享1294571772@qq.com,同时是否能够分享下木马免杀学习路

gxh191

zgr!!!yyds

wh0Nsq

好激动

L

leveryd

S

StampWang

感谢大佬分享867724113@qq.com

RSS订阅