杀软对抗 ---> Perfect Syscall??

好久没更了,今天想起来更新了😋😋😋😋

目录

1.AV && EDR

2.Perfect Syscall??

3.Truly Perfect ???


在开始之前先来展示一下这次的免杀效果

1.AV && EDR

360

天擎EDR

Windows Defender

赛门铁克EDR

卡巴斯基EDR(30Minutes内未被杀,后续未测)

Trelix EDR 

2.Perfect Syscall??

自从syscall出来到现在也算是有一段的时间了,但是还是公认的在三环比较好用来Bypassedr的一种手法(相比起patch NTDLL).

像地狱之门,天堂之门,TartarusGate这种直接系统调用,好是挺好,但是有个东西叫做栈回溯

当我们call完之后,RIP会直接返回到我们的主程序,这就是一个"特征",有一些国外的EDR存在栈回溯功能,当扫描到你的程序存在这样的特征的时候,可能会对你的程序记录,或者是直接把你杀掉!

  :那这咋办

于是我们的间接系统调用就出来了!!! 

通过Jmp去syscall的地址,我们的调用链会比较完整!!

于是我们的程序就是这样的

这种在github也是有很多项目的,像syswhisper等

但是其实还是有一个问题!! 我们间接系统调用不就是为了让我们的程序更像一个正常的api调用吗,但是正常上会有人直接去调用NT的函数吗????

好的,GPT告诉我们不会,那我们能不能让这个程序既是syscall(绕过三环API),又能调用链更加完整呢??? 

 : 答案是有,不然我怎么敢叫做 "Perfect Call"呢??? 

思路如下:

在间接系统调用的前提下,我们通过Inline-Hook挂钩一个三环的API,然后让他去进行Indirect-Syscall,这样我们的调用链看起来将会非常完整!!!!

这样就能达到一个这样的效果(算不算是Perfect Call呢???😋😋)

事实上也是可以,但是这里我就不放代码了,可以展示部分,核心就在那个GetSystemTime,其实你换一个api也可以,只要不是被hook的就行(或者说换一个非敏感API)

3.Truly Perfect ???

其实调用链这么完整了,他就无敌了吗??? 

:肯定不是啊!!!

  • 首先,就算你的调用链这么完整了,但是你调用的api和作用不符合啊(调用一个API完成了所有的事情)
  • 其次,你的行为,就算你上线了,遇到像赛门铁克这种,你shell whoami 一下,你的beacon就直接没掉了
  • 然后,也是最重要的!!! 你的线程调用栈有问题,或者说你的堆栈有问题!

正常的线程调用栈是这样的

但是你的cs呢???

你这个两个地址是什么鬼,我们直接定位去这块内存

很明显,就是反射dll和loader的产物,就算你内存进行加密,但是你的线程调用栈还是不完整,这时候就要用到一个比较强大的技术 "堆栈欺骗" !! Spoof Call 

Tips最后补充一下,为什么我一直都是用的EDR或者AV,因为我绕不过XDR啊!!

XDR是最强悍,最顶级,最强大的存在(比起EDR) 就拿 Cortex XDR来看

用CS根本存在对抗的可能,而且上面的卡巴也是(持久化基本上不太可能,还是换C2吧!)

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.xdnf.cn/news/1543465.html

如若内容造成侵权/违法违规/事实不符,请联系一条长河网进行投诉反馈,一经查实,立即删除!

相关文章

Redis事务总结

1.事务介绍 Redis 事务是一个用于将多个命令打包在一起执行的功能,它可以确保这些命令按照顺序执行,并且具有原子性。这意味着事务中的命令要么全部执行,要么全部不执行,这有助于保持数据的一致性。 Redis 事务本质:…

教你轻松搞定西门子PLC与三菱PLC之间无线Modbus通讯

自第一台PLC在GM公司汽车生产线上首次应用成功以来,PLC凭借其方便性、可靠性以及低廉的价格得到了广泛的应用。在现代化工厂中,除厂级PLC系统外,还存在很多独立的子系统。比如,各个生产车间的PLC系统、或同一生产车间的不同生产流…

JavaSE高级(3)——lombok、juint单元测试、断言

一、lombok的使用 默认jvm不解析第三方注解,需要手动开启 链式调用 二、juint单元测试 下载juint包 public class TestDemo {// 在每一个单元测试方法执行之前执行Beforepublic void before() {// 例如可以在before部分创建IO流System.out.println("befor…

【大模型实战篇】大模型GPU推理测试(以Qwen2.5-7B为例)

1. 背景介绍 今天到了两块新的3090卡,用nvidia-smi看下部署情况。我们使用Qwen2.5-7B简单做了下推理测试。 3090卡的基本配置信息如下图所示,使用两块卡做成GPU集群,显存有48G,内存带宽936.2 GB/s, 基本上可以应对…

【OpenCV】场景中人的识别与前端计数

1.OpenCV代码设计讲解 突发奇想,搞个摄像头,识别一下实验室里面有几个人,计数一下(最终代码是累加计数,没有优化),拿OpenCV来玩一玩 首先,还是优先启动电脑摄像头,本项…

实验十七:串口通信实验

串口通信实验硬件接口图 具体原理可以查看相应的资料和视频 现就代码分享如下; main.c #include<reg52.h>typedef unsigned int u16; typedef unsigned char u8;sbit LED1=P2^0;void delay_10us(u16 n) {while(n--); }int n=0;void delay_ms(u16 ms) {u16 i,j;for(i=…

在线思维导图怎么制作?只需要台这些组合分析法!

思维导图经历了漫长的进化&#xff0c;现已成为信息组织、记忆和头脑风暴的重要工具。其制作方式主要有手绘和软件两种&#xff0c;随着互联网的发展&#xff0c;软件制作因其便捷性和易于保存逐渐占据主导。如今&#xff0c;在线工具使得用户能够免费创建思维导图。本文将以即…

实验十八:IIC-EEPROM实验

这个实验比较复杂,是目前第一个多文件项目 KEY1-4:P3^0-P3^3 IIC_SCL=P2^1; IIC_SDA=P2^0; //定义数码管位选信号控制脚 LSA=P2^2; LSB=P2^3; LSC=P2^4; 代码 main.c #include "public.h" #in

写作文的AI,不妨试试这些工具

写作文的AI&#xff0c;随着人工智能技术的迅猛发展&#xff0c;AI写作软件已经成为许多作家、学生和内容创作者的得力助手。这些软件不仅能帮助用户生成高质量的文章&#xff0c;还能提供创意灵感、语法校正和内容优化等多重功能。下面&#xff0c;本文将介绍五款各具特色的AI…

真正能抵抗裁员的,从不是专业能力,早知道这些都财务自由了

‍‍‍‍前几天跟一位朋友聊起来。 说她在大厂工作接近5年&#xff0c;业绩也不错&#xff0c;本想着再熬几年就回老家发展。没想到&#xff0c;今年公司大幅裁员&#xff0c;项目组直接被连锅端。 本以为不会轮到她了&#xff0c;上午被叫去办公室谈话&#xff0c;签字&…

高温情况下电容器失效的解决措施

在高温环境下&#xff0c;电容器容易出现失效问题&#xff0c;这不仅会影响设备的正常运行&#xff0c;还可能引发安全隐患。为有效应对高温条件下电容器的失效&#xff0c;需从预防、监测、选择合适的电容器以及维护保养等多个方面入手。以下是详细的解决措施&#xff1a; 一…

男生找女搭子一起旅游的目的,并没有你想象中的那么复杂!

在繁华都市的写字楼里&#xff0c;有一个名叫林宇的男生。最近&#xff0c;他在工作上遭遇了一系列的挫折&#xff0c;项目进展不顺&#xff0c;还被领导批评&#xff0c;心情郁闷到了极点。 为了排解心中的烦闷&#xff0c;林宇决定出去旅游。但他不想一个人孤单地踏上旅程&am…

彻底掌握Android中的ViewModel

彻底掌握Android中的ViewModel ViewModel 属于Android Jetpack库的一部分&#xff0c;是一种业务逻辑或屏幕状态容器。它提供了在配置更改&#xff08;如屏幕旋转&#xff09;后依旧保留相应状态的特性&#xff0c;帮助开发者以更加清晰和可维护的方式处理UI相关的数据&#x…

【中级通信工程师】终端与业务(二):终端产品

【零基础3天通关中级通信工程师】 终端与业务(二)&#xff1a;终端产品 本文是中级通信工程师考试《终端与业务》科目第二章《终端产品》的复习资料和真题汇总。终端与业务是通信考试里最简单的科目&#xff0c;有效复习通过率可达90%以上&#xff0c;本文结合了高频考点和近几…

产教专家共议数字时代下的数据思维人才培养

8 月 25 日至 26 日&#xff0c;"数据思维人才培养论坛"在大湾区大学松山湖校区圆满落幕。此次论坛作为对两个月前新时代计算机本科教育论坛上相关议题的深化&#xff0c;由中国人民大学杜小勇教授与大湾区大学李晓明教授携手发起。和鲸科技创始人、CEO 范向伟先生受…

【常见框架漏洞】ThinkPHP、struts2、Spring、Shiro

一、ThinkPHP 1.环境配置 靶场:vulhub/thinkphp/5-rcedocker-compose up -d #启动环境 访问靶场:http://ip:8080/index.php2.远程命令执行 执行whoami命令 poc: http://47.121.211.205:8080/index.php?sindex/think\app/invokefunction&functioncall_user_func_array&…

算法【Java】—— 位运算

位运算总结 位运算的运算符&#xff1a;按位与&#xff08;&&#xff09;&#xff0c;按位或&#xff08;|&#xff09;&#xff0c;按位异或&#xff08;^&#xff09;&#xff0c;按位取反&#xff08;~&#xff09;&#xff0c;还有移位操作符 <<&#xff0c;>…

加密与解密-PEiD查壳工具的下载及详细安装过程(附有下载文件)

下载链接在文末 下载压缩包后解压 &#xff01;&#xff01;安装路径不要有中文 解压后得到PEiD文件 双击任意一个即可运行使用 夸克网盘打开&#xff1a; 链接&#xff1a;https://pan.quark.cn/s/1216d81f1af5 提取码&#xff1a;pJ1W 动态分析工具 加密与解密-x32dbg…

人工智能时代:程序员的核心竞争力提升指南

在人工智能时代&#xff0c;程序员的核心竞争力不仅体现在编码技能上&#xff0c;更在于如何利用AI技术提升工作效率和创新能力。以下是一些关键点&#xff0c;可以帮助程序员在AI时代保持并提升自身的核心竞争力。 AI辅助编程正在逐渐改变程序员的工作方式&#xff0c;带来了一…

【人工智能】Transformers之Pipeline(十九):文生文(text2text-generation)

目录 一、引言 二、文生文&#xff08;text2text-generation&#xff09; 2.1 概述 2.2 Flan-T5: One Model for ALL Tasks 2.3 pipeline参数 2.3.1 pipeline对象实例化参数 2.3.2 pipeline对象使用参数 ​​​​​​​ 2.3.3 pipeline返回参数 ​​​​​​​​​​​…