注册    登录
今天看啥  ›  专栏  ›  FreeBuf

安全研究 | 使用ScareCrow框架实现EDR绕过

FreeBuf  · 公众号  · 互联网安全  · 2021-03-09 17:51
ScareCrowScareCrow是一款功能强大的Payload创建框架，可以帮助广大研究人员生成用于向合法Windows金册灰姑娘中注入内容的加载器，以绕过应用程序白名单控制。当DLL加载器加载进内存中之后，将会使用一种技术来将EDR钩子从正在进程内存中运行的系统DLL中清理掉，这是因为我们知道EDR的钩子是在这些进程被生成时设置的。ScareCrow可以通过使用API函数VirtualProtect来在内存中对这些DLL进行操作，该函数可以将进程的内存权限的一部分更改为不同的值，特别是将Execute-Read修改为Read-Write-Execute。在执行过程中，ScareCrow将会复制存储在C:\Windows\System32\磁盘上的系统DLL的字节数据。这些DLL存储在EDR挂钩的“干净”磁盘上，因为系统使用它们在生成新进程时会将未更改的副本加载到新进程 ………………………………

原文地址：访问原文地址
快照地址： 访问文章快照
推荐文章
sunwear  ·  取消计划生育放开二胎三胎了，并没有提高生育率，阻挡继续下降的趋势-20240428193532
18 小时前
计算机与网络安全  ·  Gartner：The IT Roadmap for Digital Business Transformation
4 天前
计算机与网络安全  ·  2024年太空威胁评估报告
5 天前
计算机与网络安全  ·  技术雷达：针对当今科技领域发展的前沿指南（2024）
5 天前
计算机与网络安全  ·  大语言模型（LLM）安全漏洞：多轮越狱攻击
6 天前
猪猪2019  ·  2-14策略
1 年前
冯站长之家  ·  一日一诗：“叶子，争先恐后地黄了/ 青丝，也争先恐后地变白了”||刘冬梅：变了（读诗版）
3 年前
彬彬有理  ·  刘敏涛“痛哭”的背后，是千千万万个家庭的缩影
3 年前
AIGC新智界  ·  区块链对金融领域的“冲击”没有想象中大！
4 年前
新智元  ·  GitHub趋势榜首：李航《统计学习方法》Python代码实现
4 年前
关于   移动版   ·   Py中国   ·   RSS之家   ·   codingpro   ·   Code   ·   link之家   ·   卧龙AI搜索   ·   藏经阁   ·   小百科
今天看啥 - 微信公众号rss订阅, 微信rss, 稳定的RSS源
© 2024 ~ 沪ICP备11025650号