安全支持提供程序(SSP)是Windows API,用于扩展Windows身份验证机制.LSASS进程正在Windows启动期间加载安全支持提供程序DLL.这种行为使红队的攻击者可以删除一个任意的SSP DLL以便与LSASS进程进行交互并记录该进程中存储的所有密码,或者直接用恶意的SSP对该进程进行修补而无需接触磁盘.该技术可用于收集一个系统或多个系统中的凭据,并将这些凭据与另一个协议(例如RDP,WMI等)结合使用,以免干扰检测,从而在网络中保持持久性.向主机注入恶意安全支持提供程序需要管理…

from : http://blog.csdn.net/zipper9527/article/details/6256459 http://www.lihuasoft.net/article/show.php?id=755 http://www.360doc.com/content/07/0404/15/21275_430071.shtml 以程序的方式操纵NTFS 的文件权限 Windows NT/2K/XP版本的操作系统都支持 NTFS 格式的文件系统,这是一个有安全性质的文件系统,你可以通…

在网页程序中,有时我们会希望使用者按下按钮后开启一个保持在原窗口前方的子窗口,而在IE中,我们可以使用showModalDialog来达成,语法如下 : vReturnValue = window.showModalDialog(sURL [, vArguments] [, sFeatures]) 范例: window.showModalDialog("openwin.html","Arguments","dialogHeight: 200px; dial…

Netsh是Windows实用程序,管理员可以使用它来执行与系统的网络配置有关的任务,并在基于主机的Windows防火墙上进行修改.可以通过使用DLL文件来扩展Netsh功能.此功能使红队可以使用此工具来加载任意DLL,以实现代码执行并因此实现持久性.但是,此技术的实现需要本地管理员级别的特权. 可以通过Metasploit Framework 的“ msfvenom ”实用程序生成任意DLL文件. msfvenom -p windows/x64/meterpreter/reverse_tcp…

如果未正确配置Windows环境中的服务或这些服务可以用作持久性方法,则这些服务可能导致权限提升.创建一个新的服务需要管理员级别的特权,它已经不是隐蔽的持久性技术.然而,在红队的行动中,针对那些在威胁检测方面还不成熟的公司,可以用来制造进一步的干扰,企业应建立SOC能力,以识别在其恶意软件中使用基本技术的威胁. 命令行实现 如果帐户具有本地管理员特权,则可以从命令提示符创建服务.参数“ binpath ”用于执行任意有效负载,而参数“ auto ”用于确保恶意服务将自动启动. sc create…

Windows操作系统提供了一个实用程序(schtasks.exe),使系统管理员能够在特定的日期和时间执行程序或脚本.这种行为可作为一种持久性机制被red team利用.通过计划任务执行持久性不需要管理员权限,但如果已获得提升的权限,则允许进一步操作,例如在用户登录期间或在空闲状态期间执行任务.计划任务的持久化技术可以手动实现,也可以自动实现.有效负载可以从磁盘或远程位置执行,它们可以是可执行文件.powershell脚本或scriptlet的形式.这被认为是一种旧的持久性技术,但是它仍然可以…

在红队行动中在网络中获得最初的立足点是一项耗时的任务.因此,持久性是红队成功运作的关键,这将使团队能够专注于目标,而不会失去与指挥和控制服务器的通信.在Windows登录期间创建将执行任意负载的注册表项是红队游戏手册中最古老的技巧之一.这种持久性技术需要创建注册表运行键各种威胁因素和已知工具,如Metasploit.Empire和SharPersist,都提供了这种能力,因此,成熟的SOC团队将能够检测到这种恶意活动. 命令行 注册表项可以从终端添加到运行键以实现持久性.这些键将包含对用户登录时…

使用postman测试APi的时候,因为系统需要在header部带上登录用户的信息,所以 如下: 然后测试报错如下:TypeError: Failed to execute 'fetch' on 'Window': Invalid value 原因:是因为在postman测试过程中,在头部使用中文没有办法解析,所以报错了 解决方法:可以将上面测试中的中文替换掉成英文,即可解决问题 ========================================== 待解决问题: 如果header…

Windows操作系统正在利用时间提供者体系结构,以便从网络中的其他网络设备或客户端获取准确的时间戳.时间提供者以DLL文件的形式实现,该文件位于System32文件夹中.Windows启动期间将启动服务W32Time并加载w32time.dll.DLL加载是一种已知的技术,通常使红队攻击者有机会执行任意代码. 由于关联的服务会在Windows启动期间自动启动,因此可以将其用作持久性机制.但是,此方法需要管理员级别的特权,因为指向时间提供者DLL文件的注册表项存储在HKEY_LOCAL_MACH…

Windows操作系统包含各种实用程序,系统管理员可以使用它们来执行各种任务.这些实用程序之一是后台智能传输服务(BITS),它可以促进文件到Web服务器(HTTP)和共享文件夹(SMB)的传输能力.Microsoft提供了一个名为“ bitsadmin ” 的二进制文件和PowerShell cmdlet,用于创建和管理文件传输.从攻击的角度来看,可以滥用此功能,以便在受感染的主机上下载有效负载(可执行文件,PowerShell脚本,Scriptlet等)并在给定时间执行这些文件,以在红队操作…