搜索

[17148] 2021-08-14_使用Backstab终止受保护的进程

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-14_使用Backstab终止受保护的进程 使 用 B a c k s t a b 终 止 受 保 护 的 进 程 A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 8 - 1 4 关 于 关 于 B a c k s t a b B a c k s t a b 是 一 款 功 能 强 大 的 安 全 研 究 工 具 ， 在 该 工 具 的 帮 助 下 ， 广 大 研 究 人 员 可 以 轻 松 终 止 那 些 受 反 恶 意 软 件 产 品 保 护 的 进 程 。 当 你 拿 到 了 目 标 设 备 的 本 地 管 理 员 凭 证 之 后 ， 你 发 现 E D R 仍 然 “ 在 线 ” ， 该 怎 么 办 呢 ？ 卸 载 钩 子 或 者 直 接 系 统 调 用 针 对 E D R 也 无 法 起 作 用 ， 又 该 怎 么 办 呢 ？ 没 错 ， 我 们 为 何 不 直 接 终 止 相 关 进 程 呢 ？ B a c k s t a b 这 款 工 具 能 够 通 过 利 用 s y s i n t e r n a l s 的 进 程 管 理 驱 动 器 （ P r o c E x p ） 终 止 受 反 恶 意 软 件 产 品 保 护 的 进 程 ， 而 这 个 驱 动 器 是 由 微 软 签 名 的 。 工 具 运 行 机 制 工 具 运 行 机 制 P r o c E x p 有 一 个 在 启 动 时 加 载 的 带 签 名 的 内 核 驱 动 器 ， 而 这 个 驱 动 器 将 允 许 P r o c E x p 终 止 那 些 即 使 作 为 管 理 员 也 无 法 终 止 的 句 柄 。 当 我 们 查 看 到 U I 时 ， 你 可 能 无 法 终 止 受 保 护 的 进 程 ， 但 可 以 终 止 它 的 句 柄 ， 因 为 P r o c E x p   U I 会 指 示 内 核 驱 动 程 序 终 止 这 些 句 柄 。 而 B a c k s t a b 能 做 到 同 样 的 事 情 ， 只 不 过 没 有 提 供 U I 。 B a c k s t a b 会 做 哪 些 事 情 ？ 会 做 哪 些 事 情 ？ 将 嵌 入 式 驱 动 器 存 储 至 磁 盘 上 ； 创 建 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s ； 由 于 需 要 加 载 驱 动 器 ， 因 此 获 取 S E _ P R I V I L E G E _ E N A B L E D 权 限 ； 使 用 N t L o a d D r i v e r 加 载 驱 动 器 以 避 免 创 建 服 务 ； 创 建 的 注 册 表 项 被 删 除 （ 执 行 期 间 服 务 不 可 见 ） ； 通 过 D e v i c e I o C o n t r o l 与 驱 动 器 通 信 ； 调 用 N t Q u e r y S y s t e m I n f o r m a t i o n 实 现 进 程 句 柄 枚 举 ； 工 具 下 载 工 具 下 载
广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 该 项 目 源 码 克 隆 至 本 地 ： 工 具 使 用 帮 助 工 具 使 用 帮 助 项 目 地 址 项 目 地 址 B a c k s t a b ： ： 【 点 击 文 末 阅 读 原 文 】 精 彩 推 荐 精 彩 推 荐 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / Y a x s e r / B a c k s t a b U s a g e :   b a c k s t a b . e x e   < - n   n a m e   | |   - p   P I D >   [ o p t i o n s ] - n ,   通 过 名 称 选 择 进 程 ， 需 包 含 . e x e 后 缀 - p ,   通 过 P I D 选 择 进 程 - l ,   列 举 所 有 受 保 护 进 程 的 句 柄 - k ,   选 择 要 终 止 的 受 保 护 进 程 的 句 柄 - x ,   选 择 一 个 指 定 的 句 柄 - d ,   指 定 P r o c E x p 提 取 路 径 - s ,   指 定 服 务 名 称 注 册 表 键 - u ,   卸 载 P r o c E x p 驱 动 器 - a ,   添 加 S e D e b u g P r i v i l e g e - h ,   显 示 该 帮 助 菜 单 E x a m p l e s : b a c k s t a b . e x e   - n   c y s e r v e r . e x e   - k   [ k i l l   c y s e r v e r ] b a c k s t a b . e x e   - n   c y s e r v e r . e x e   - x   E 4 C   [ C l o s e   h a n d l e   E 4 C   o f   c y s e r v e r ] b a c k s t a b . e x e   - n   c y s e r v e r . e x e   - l   [ l i s t   a l l   h a n d l e s   o f   c y s e r v e r ] b a c k s t a b . e x e   - p   4 3 2 6   - k   - d   c : d r i v e r . s y s   [ k i l l   p r o t e c t e d   p r o c e s s   w i t h   P I D   4 3 2 6 ,   e x t r a c t   P r o c E x p   d r i v e r   t o   C :   d r i v e ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理