C2手稿

先占个位置

COM组件相关的武器化开发技术

攻击demo的bof改造

Go项目反射改造

VulnBins的利用 (vuln driver)

NtQueryInformationProcess逆向

NetUserAdd逆向

WannaMine4.0专杀的一些技巧

ReflectiveDLLInjection变形应用

Execute-Assembly实现

ShadowMove复现与思考

载入第二个Ntdll绕Hook

编译时混淆字符串&函数调用

基于线程结束的EventLog绕过

动态获取系统调用(syscall)号

基于内存补丁的AMSI绕过

基于API Hook和DLL注入的AMSI绕过

基于内存补丁ETW的绕过

基于断链的DLL隐藏

基于HEX字符串执行的AV绕过

CobaltStrike Argue命令实现

简单的分离免杀

伪装PPID规避检测

伪装命令行规避检测

通过重写ring3 API函数实现免杀

动态调用无导入表编译

基于Registry的虚拟机检测

利用杀毒软件删除任意文件

反转字符串绕杀软

重新加载.text节拖钩

x64转换层&跨位数进程注入

Divide and Conquer

Clipboard Data Deliver

.NET Reflective Injection

APC Thread Hijack

CreateRemoteThread

APC Injection

Mapping Injection

Bypass Session 0 Injection

WhiteFile Offset Table Generate Shellcode

Early Bird

Early Bird & CreateRemoteThread

TLS Code Execute

SEH Code Execute

APC & NtTestAlert Code Execute

NtCreateSection & NtMapViewOfSection Code Execute

Process Hollowing

SetContext Hijack Thread

DLL Hollowing

基于注册表劫持BypassUAC

基于dll劫持BypassUac

通过com组件BypassUAC

通过复制Token提权到SYSTEM

通过code&dll注入提权到SYSTEM

通过伪装PPID提权到SYSTEM

通过系统服务提权到SYSTEM

主机特征绑定木马

寻找有价值的文件

获取机器安装的软件

通过API添加Windows用户

Detours InLine Hook

DLL劫持

RID劫持

自启动服务

编写简单远控

注册表自启动项