我的随笔

DLL劫持——DLL sideloading 检测，4个检测点：同名DLL的覆盖（关键点），rundll32进程（关键点），cmd的父进程是rulldll32，rundll32出来一个tcp外联（有C2才算）！

bonelee 2022-04-25 20:10 阅读:427 评论:0 推荐:0

针对高级持续威胁攻击的EDR评估——An Empirical Assessment of Endpoint Detection and Response Systems against Advanced Persistent Threats Attack Vectors，从攻击用例看，感觉这个评估叫APT攻击远远不够！！！内含crowdstrike内存扫描的做法，进程注入数据采集

bonelee 2022-04-24 14:59 阅读:1404 评论:0 推荐:0

DLL劫持——DLL sideloading 这玩意从EDR检测厂商看，就S1有防护能力

bonelee 2022-04-24 14:45 阅读:1227 评论:0 推荐:0

微软kql检测——识别编码后的empire脚本

bonelee 2022-04-24 11:05 阅读:242 评论:0 推荐:0

Persistence – COM Hijacking COM劫持和检测方法：反正检测注册表是必经之路【能动手实践】

bonelee 2022-04-22 14:51 阅读:448 评论:0 推荐:0

metasploit进程注入 sysmon事件采集示例

bonelee 2022-04-21 15:44 阅读:196 评论:0 推荐:0

VirtualBox配置kali 让宿主机可以SSH远程登录虚拟机 vb真难用啊粘贴板双向死活配置不好只能这样共享文件了

bonelee 2022-04-21 10:37 阅读:244 评论:0 推荐:0

恶意代码分析之Office宏代码分析——因为现在大部分的office CDE或者AV引擎都可以检测，EDR能做的比较有限了

bonelee 2022-04-20 18:55 阅读:1321 评论:0 推荐:1

进程注入数据采集，sysmon可以获得CreateRemoteThread信息，car中进程注入检测方式

bonelee 2022-04-19 20:22 阅读:502 评论:0 推荐:0

powercat 果然windows defender实时保护就不让我下载关闭以后才可以运行

bonelee 2022-04-19 15:54 阅读:47 评论:0 推荐:0