设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [6873] 2020-08-14_红队行动之高级进程监控技术 ...
返回列表 发新帖
查看: 4|回复: 0

[6873] 2020-08-14_红队行动之高级进程监控技术

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 6 天前 | 显示全部楼层 |阅读模式
2020-08-14_红队行动之高级进程监控技术 红 队 行 动 之 高 级 进 程 监 控 技 术 E 安 全   2 0 2 0 - 0 8 - 1 4 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 小 鸭 子 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 本 文 我 们 探 讨 著 名 进 程 监 控 实 用 程 序 的 使 用 实 例 ， 以 及 在 红 队 行 动 中 如 何 利 用 这 些 工 具 背 后 的 技 术 。 在 红 蓝 对 抗 期 间 ， 更 好 的 理 解 系 统 是 决 定 下 一 步 行 动 的 关 键 。 从 目 标 系 统 运 行 的 进 程 上 收 集 和 分 析 数 据 能 给 我 们 提 供 很 多 有 用 的 信 息 ， 帮 我 们 更 好 的 理 解 目 标 组 织 I T 环 境 。 此 外 ， 定 期 轮 询 进 程 数 据 使 我 们 能 够 快 速 地 对 环 境 中 的 变 化 作 出 反 应 ， 提 供 定 制 的 触 发 条 件 。 为 了 能 够 从 目 标 系 统 收 集 详 细 的 进 程 数 据 ， o u t f l a n k 编 写 了 一 套 进 程 工 具 ， 这 些 工 具 将 高 级 进 程 实 用 程 序 的 功 能 引 入 了 C 2 框 架 。 G i t 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / o u t f l a n k n l / P s - T o o l s N o . 2 N o . 2 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 W i n d o w s 内 部 系 统 实 用 程 序 内 部 系 统 实 用 程 序 首 先 我 们 会 探 讨 下 ， 哪 些 实 用 程 序 可 以 用 于 从 W i n d o w s 上 获 取 进 程 信 息 。 然 后 再 了 解 如 何 使 用 它 们 收 集 此 类 信 息 ， 以 便 在 后 续 的 红 队 行 动 中 利 用 这 些 技 术 。 W i n d o w s 操 作 系 统 自 带 了 许 多 现 成 的 实 用 程 序 来 管 理 系 统 ， 例 如 W i n d o w s 任 务 管 理 器 ， 但 它 无 法 进 行 更 高 级 别 的 故 障 排 除 和 进 程 监 控 。 我 们 可 能 需 要 更 详 细 的 信 息 ， 如 对 象 句 柄 、 网 络 连 接 、 或 已 加 载 的 模 块 信 息 等 等 。 要 收 集 系 统 详 细 信 息 ， 可 以 使 用 更 高 级 的 工 具 ， 如 微 软 的 S y s i n t e r n a l s 套 件 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
在 需 要 W i n d o w s 故 障 排 除 或 病 毒 查 杀 的 客 户 端 中 ， 大 多 数 时 候 我 会 使 用 P r o c e s s   E x p l o r e r 或 P r o c e s s   m o n i t o r 。 从 数 字 取 证 角 度 来 看 ， 这 些 工 具 对 于 恶 意 软 件 样 本 的 动 态 分 析 非 常 有 用 。 N o . 3 N o . 3 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s 使 用 使 用 P r o c e s s E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r E x p l o r e r 启 动 P r o c e s s   E x p l o r e r 以 后 ， 我 们 会 看 到 当 前 系 统 全 部 的 进 程 列 表 / 树 。 默 认 它 为 我 们 提 供 了 进 程 名 称 、 进 程 I D 、 以 及 用 户 上 下 文 和 进 程 版 本 信 息 等 。 如 果 需 要 展 示 更 多 信 息 ， 我 们 可 以 通 过 自 定 义 列 实 现 。 如 果 我 们 启 动 了 l o w e r   p a n e ， 我 们 可 以 看 到 特 定 进 程 的 模 块 加 载 信 息 ， 或 切 换 到 句 柄 试 图 ， 显 示 进 程 正 在 使 用 的 命 名 的 句 柄 对 象 。
查 看 模 块 对 于 当 前 进 程 已 加 载 的 恶 意 库 非 常 有 用 。 切 换 到 句 柄 视 图 可 以 帮 助 我 们 查 看 进 程 中 正 在 使 用 的 对 象 类 型 和 名 称 。 这 对 于 查 看 程 序 打 开 了 哪 些 文 件 对 象 和 注 册 表 项 ， 或 是 进 程 间 通 讯 的 命 名 管 道 很 有 用 。 如 果 我 们 双 击 进 程 名 称 ， 将 会 弹 出 一 个 包 含 更 多 详 细 信 息 的 窗 口 ：
镜 像 选 项 卡 向 我 们 展 示 了 程 序 路 径 、 工 作 目 录 、 命 令 行 参 数 的 信 息 ， 自 启 动 位 置 。 此 外 ， 还 有 用 户 上 下 文 、 父 进 程 、 镜 像 类 型 （ x 8 6 / x 6 4 ） 等 信 息 。 线 程 选 项 卡 提 供 了 进 程 中 运 行 的 线 程 信 息 。 选 择 一 个 线 程 ， 然 后 点 击 堆 栈 按 钮 ， 将 展 示 该 线 程 的 调 用 栈 。
从 D F I R 的 角 度 来 看 ， 线 程 信 息 对 于 发 现 恶 意 软 件 无 文 件 内 存 注 入 技 术 有 时 候 会 很 有 用 。 如 果 你 想 对 线 程 和 内 存 有 更 多 的 了 解 ， 建 议 看 看 P r o c e s s   H a c k e r 这 个 工 具 。 T C P / I P 选 项 卡 向 我 们 展 示 与 该 进 程 相 关 的 所 有 网 络 连 接 。 N o . 4 N o . 4 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 使 用 使 用 P s - T o o l s 利 用 这 些 技 术 利 用 这 些 技 术 这 款 红 队 工 具 使 用 C 语 言 编 写 为 D L L ， 以 反 射 D L L 的 方 式 在 进 程 中 加 载 ， 我 们 可 以 在 各 类 支 持 反 射 D L L 注 入 的 C 2 框 架 中 使 用 。 对 于 C o b a l t S t r i k e ， O u t f l a n k 还 编 写 了 一 个 a g g r e s s o r 脚 本 ， 该 脚 本 可 用 于 在 C o b a l t S t r i k e 脚 本 管 理 器 加 载 。 P S X 该 工 具 可 以 展 示 系 统 上 正 在 运 行 的 进 程 的 详 细 信 息 ， 我 们 可 以 将 输 出 与 P r o c e s s   E x p l o r e r 的 输 出 进 行 比 较 。 它 的 输 出 信 息 有 进 程 名 称 、 进 程 I D 、 父 I D ， 创 建 时 间 ， 以 及 和 二 进 制 文 件 相 关 的 信 息 （ 架 构 、 公 司 名 称 和 版 本 等 ） 。
如 果 我 们 有 足 够 的 权 限 打 开 该 进 程 句 柄 ， 则 可 以 从 其 令 牌 中 读 取 更 多 信 息 ， 例 如 用 户 上 下 文 和 完 整 性 级 别 。 枚 举 P E B 及 其 相 关 结 构 可 以 使 我 们 获 取 镜 像 路 径 和 命 令 行 参 数 信 息 。
我 们 从 二 进 制 镜 像 中 读 取 和 显 示 版 本 信 息 ， 例 如 公 司 名 称 和 说 明 。 使 用 公 司 名 称 可 以 很 容 易 枚 举 系 统 中 的 安 全 产 品 。 此 工 具 将 所 有 活 动 进 程 的 公 司 名 称 与 知 名 安 全 产 品 供 应 商 的 列 表 进 行 比 较 并 显 示 结 果 摘 要 ： P S K 该 工 具 展 示 正 在 运 行 的 内 核 详 细 信 息 ， 包 括 所 有 已 加 载 的 驱 动 程 序 模 块 。 和 p s x 工 具 一 样 ， 它 也 提 供 了 来 自 知 名 安 全 厂 商 的 已 加 载 内 核 模 块 的 摘 要 ：

P S C 该 工 具 使 用 相 同 的 技 术 来 枚 举 P S X 之 类 的 活 动 进 程 ， 它 仅 展 示 具 有 活 动 网 络 连 接 的 进 程 ： P S M
该 工 具 用 于 列 出 特 定 进 程 相 关 的 信 息 。 它 可 以 展 示 进 程 网 络 通 讯 中 正 在 使 用 的 d l l 列 表 ： P S H 和 p s m 相 同 ， 但 不 显 示 加 载 模 块 ， 而 是 进 程 正 在 使 用 的 句 柄 列 表 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:09 , Processed in 0.818978 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表