搜索

[16431] 2021-02-12_如何使用EvtMute对Windows事件日志进行筛选过滤

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-02-12_如何使用EvtMute对Windows事件日志进行筛选过滤 如 何 使 用 E v t M u t e 对 W i n d o w s 事 件 日 志 进 行 筛 选 过 滤 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 2 - 1 2 写 在 前 面 的 话 写 在 前 面 的 话 在 这 篇 文 章 中 ， 我 们 将 告 诉 大 家 如 何 使 用 E v t M u t e 来 对 W i n d o w s 事 件 日 志 进 行 筛 选 过 滤 。 E v t M u t e 这 款 工 具 允 许 我 们 使 用 Y A R A 来 进 行 攻 击 性 操 作 ， 并 对 已 经 报 告 给 W i n d o w s 事 件 日 志 的 事 件 进 行 过 滤 和 筛 选 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 克 隆 至 本 地 ： 或 者 ， 大 家 也 可 以 直 接 点 击 底 部 【 阅 读 原 文 】 访 问 该 项 目 的 R e l e a s e s 也 买 你 来 下 载 最 新 的 E v t M u t e 已 编 译 版 本 。 工 具 使 用 工 具 使 用 E v t M u t e H o o k . d l l 中 包 含 的 是 该 工 具 的 核 心 功 能 ， 成 功 注 入 之 后 ， 它 将 会 应 用 一 个 临 时 过 滤 器 ， 允 许 报 告 所 有 事 件 ， 这 个 过 滤 器 可 以 动 态 更 新 ， 而 不 必 重 新 注 入 。 而 S h a r p E v t M u t e . e x e 则 是 一 个 C # 程 序 集 ， 它 可 以 通 过 在 s h a d 0 w 中 执 行 或 在 C o b a l t   S t r i k e 中 轻 松 运 行 程 序 集 。 为 了 更 好 地 与 s h a d 0 w 集 成 ， 我 还 打 算 用 C 编 写 原 生 版 本 。 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / b a t s 3 c / E v t M u t e
禁 用 日 志 记 录 禁 用 日 志 记 录 最 常 见 的 E v t M u t e 使 用 场 景 就 是 禁 用 系 统 范 围 内 的 事 件 日 志 记 录 了 ， 此 时 我 们 可 以 应 用 下 列 Y a r a 规 则 ： 此 时 ， 我 们 首 先 需 要 通 过 向 事 件 （ e v e n t ） 服 务 中 注 入 钩 子 ： 钩 子 设 置 好 之 后 ， 我 们 就 可 以 开 始 添 加 过 滤 器 了 ： 现 在 ， e v e n t 服 务 将 会 忽 略 所 有 的 事 件 。 复 杂 型 过 滤 器 复 杂 型 过 滤 器 E v t M u t e 的 过 滤 器 是 可 以 动 态 变 更 的 ， 而 且 无 需 重 新 注 入 钩 子 ， 这 样 可 以 方 便 广 大 研 究 人 员 随 时 轻 松 更 新 原 有 的 过 滤 器 以 及 过 滤 规 则 。 更 加 复 杂 的 过 滤 器 示 例 如 下 ， 它 能 够 它 能 够 阻 止 s y s m o n 报 告 与 l s a s s 内 存 转 储 相 关 的 事 件 ： r u l e   d i s a b l e   {   c o n d i t i o n :   t r u e   } . S h a r p E v t M u t e . e x e   - - I n j e c t . S h a r p E v t M u t e . e x e   - - F i l t e r   " r u l e   d i s a b l e   {   c o n d i t i o n :   t r u e   } " r u l e   b l o c k _ l s a s s _ d u m p   {         m e t a :                 a u t h o r   =   " @ _ b a t s e c _ "                 d e s c r i p t i o n   =   " P r e v e n t   l s a s s   d u m p i n g   b e i n g   r e p o r t e d   b y   s y s m o n "         s t r i n g s :                 $ p r o v i d e r   =   " M i c r o s o f t - W i n d o w s - S y s m o n "                 $ i m a g e   =   " l s a s s . e x e "   n o c a s e                 $ a c c e s s   =   " G r a n t e d A c c e s s "                 $ t y p e   =   " 0 x 1 f f f f f "         c o n d i t i o n :
像 这 样 复 杂 的 Y a r a 规 则 ， 我 们 很 难 去 将 其 浓 缩 成 一 行 “ 代 码 ” ， 这 也 就 是 为 什 么 我 在 E v t M u t e 中 添 加 了 B a s e 6 4 编 码 功 能 。 这 个 规 则 可 以 使 用 L i n u x 命 令 行 终 端 轻 松 转 换 为 B a s e 6 4 编 码 规 则 ： 接 下 来 ， 可 以 使 用 — E n c o d e d 选 项 将 其 传 递 给 过 滤 器 ： 操 作 安 全 注 意 事 项 操 作 安 全 注 意 事 项 注 入 钩 子 时 ， S h a r p E v t M u t e . e x e 将 会 调 用 C r e a t e R e m o t e T h r e a d ， 而 且 这 个 调 用 是 在 钩 子 设 置 之 前 进 行 的 ， 因 此 它 会 被 S y s m o n 捕 捉 并 报 告 ， 这 是 因 为 S h a r p E v t M u t e . e x e 文 件 只 能 用 作 P o C 。 因 此 ， 我 建 议 大 家 手 动 将 E v t M u t e H o o k . d l l 注 入 到 事 件 日 志 服 务 之 中 。 它 的 进 程 P I D 可 以 通 过 运 行 下 列 命 令 来 查 看 ， 你 还 可 以 通 过 C 2 框 架 来 将 钩 子 手 动 注 入 至 s h e l l c o d e 中 。 值 得 一 提 的 是 ， 钩 子 将 使 用 命 名 管 道 来 更 新 过 滤 器 ， 命 名 的 管 道 名 为 E v t M u t e H o o k _ R u l e _ P i p e 。 项 目 地 址 项 目 地 址 E v t M u t e ： 点 击 底 部 【 阅 读 原 文 】 获 取 精 彩 推 荐 精 彩 推 荐         c o n d i t i o n :                 a l l   o f   t h e m } b a s e 6 4   - w   0   Y a r a F i l t e r s / l s a s s d u m p . y a r   |   e c h o   $ ( < / d e v / s t d i n )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理