项目地址

https://github.com/daem0nc0re/TangledWinExec

Tangled WinExec

此存储库用于研究 Windows 进程执行技术。大多数 PoC 都有一个与该技术相对应的名称。

项目

• BlockingDLL：此工具集用于测试阻塞 DLL 进程。请参阅README.md。

• CommandLineSpoofing：这个 PoC 执行命令行欺骗。

• GhostlyHollowing：这个 PoC 执行 Ghostly Hollowing。

• PPIDSpoofing：此 PoC 执行 PPID 欺骗。

• ProcessDoppelgaenging：这个 PoC 执行 Process Doppelgänging。由于内核保护改进，此技术不适用于最近的 Windows 操作系统（据我测试，> Windows 10 版本 1809）。请参阅hasherezade的存储库的问题。

• ProcessGhosting：此 PoC 执行 Process Ghosting。

• ProcessHerpaderping：此 PoC 执行 Process Herpaderping。由于文件锁定问题，如果您选择的假图像文件比您要执行的要小，文件大小缩小将失败并损坏 Herpaderping 过程的文件签名。要充分利用此技术，假图像文件的大小应大于您想要执行的大小。

• ProcessHollowing：这个 PoC 执行 Process Hollowing。与原来不同的是，PE 图像被解析到一个新的内存区域，而不是使用ZwUnmapViewOfSection/NtUnmapViewOfSection。

• ProcMemScan：这是一个用于调查远程进程的诊断工具。请参阅README.md。

• TransactedHollowing：这个 PoC 执行 Transacted Hollowing。

• WmiSpawn：此 PoC 尝试使用 WMI 生成进程。这些进程将作为WmiPrvSE.exe. 支持本地机器进程执行和远程机器进程执行。用法可以看README.md。

注意：目前ProcessHollowing代码不适用于 Debug 构建。要对其进行测试，请使用 Release build。看到这个问题。

参考

阻塞 DLL

• https://www.ired.team/offensive-security/defense-evasion/preventing-3rd-party-dlls-from-injecting-into-your-processes

• https://crypt0ace.github.io/posts/Staying-under-the-Radar/

• https://offensivedefence.co.uk/posts/ntcreateuserprocess/

命令行欺骗

• https://attack.mitre.org/techniques/T1564/010/

• https://blog.nviso.eu/2020/02/04/the-return-of-the-spoof-part-2-command-line-spoofing/

PPID 欺骗

• https://attack.mitre.org/techniques/T1134/004/

• https://www.hackingarticles.in/parent-pid-spoofing-mitret1134/

• https://www.picussecurity.com/resource/blog/how-to-detect-parent-pid-ppid-spoofing-attacks

• https://www.ired.team/offensive-security/defense-evasion/parent-process-id-ppid-spoofing

• https://blog.nviso.eu/2020/01/31/the-return-of-the-spoof-part-1-parent-process-id-spoofing/

过程分身

• https://www.blackhat.com/docs/eu-17/materials/eu-17-Liberman-Lost-In-Transaction-Process-Doppelganging.pdf

• https://attack.mitre.org/techniques/T1055/013/

• https://hshrzd.wordpress.com/2017/12/18/process-doppelganging-a-new-way-to-impersonate-a-process/

进程重影

• https://www.elastic.co/blog/process-ghosting-a-new-executable-image-tampering-attack

• https://www.hackingarticles.in/process-ghosting-attack/

进程 Herpaderping

• https://github.com/jxy-s/herpaderping

• https://jxy-s.github.io/herpaderping/

• https://www.hackingarticles.in/process-herpaderping-mitret1055/

过程空心化

• https://attack.mitre.org/techniques/T1055/012/

• https://www.ired.team/offensive-security/code-injection-process-injection/process-hollowing-and-pe-image-relocations

幽灵镂空和交易镂空

• https://github.com/hasherezade/transacted_hollowing

标签：工具分享, 主机安全