我的随笔

通过恶意chm文件getshell

bonelee 2022-04-27 15:47 阅读:160 评论:0 推荐:0

hh.exe 打开chm文件的sysmon数据采集

bonelee 2022-04-27 15:20 阅读:160 评论:0 推荐:0

windows下通过net user add和powershell添加用户，sysmon仅仅采集到进程，而在windows安全日志可以看到账户添加信息

bonelee 2022-04-27 14:35 阅读:469 评论:0 推荐:0

webshell后门中执行交互命令看到的sysmon数据采集和检测

bonelee 2022-04-26 16:25 阅读:211 评论:0 推荐:0

DLL劫持——DLL sideloading 检测，4个检测点：同名DLL的覆盖（关键点），rundll32进程（关键点），cmd的父进程是rulldll32，rundll32出来一个tcp外联（有C2才算）！

bonelee 2022-04-25 20:10 阅读:413 评论:0 推荐:0

针对高级持续威胁攻击的EDR评估——An Empirical Assessment of Endpoint Detection and Response Systems against Advanced Persistent Threats Attack Vectors，从攻击用例看，感觉这个评估叫APT攻击远远不够！！！内含crowdstrike内存扫描的做法，进程注入数据采集

bonelee 2022-04-24 14:59 阅读:1378 评论:0 推荐:0

DLL劫持——DLL sideloading 这玩意从EDR检测厂商看，就S1有防护能力

bonelee 2022-04-24 14:45 阅读:1207 评论:0 推荐:0

微软kql检测——识别编码后的empire脚本

bonelee 2022-04-24 11:05 阅读:239 评论:0 推荐:0

Persistence – COM Hijacking COM劫持和检测方法：反正检测注册表是必经之路【能动手实践】

bonelee 2022-04-22 14:51 阅读:419 评论:0 推荐:0

metasploit进程注入 sysmon事件采集示例

bonelee 2022-04-21 15:44 阅读:191 评论:0 推荐:0