常见注入技术浅析（二） 本文分析了Process Mockingjay和Dirty-Vanity两种新型进程注入技术。Process Mockingjay利用合法DLL的RWX内存节执行恶意代码，绕过API钩子。Dirty-Vanity则滥用Windows Fork机制，将代码写入与执行分离，打破传统EDR的AWE检测链。...

常见注入技术浅析（一） 本文详细介绍了七种常见的Windows注入技术，包括早期APC注入、线程劫持、反射DLL注入、进程空洞、Atom Bombing、Heaven's Gate和事务空洞，并分析了它们如何规避EDR检测。此外，文章还探讨了驱动层免杀技术，如绕过PatchGuard、禁用回调函数、绕过驱动签名以及内核Sh...

免杀基础函数 本文章介绍了免杀技术中常用的Windows API函数及其应用，涵盖内存操作、动态加载、进程操作、文件操作等。文中详细阐述了如何利用这些函数进行代码注入、隐藏恶意行为、规避沙箱检测和实现无文件持久化。强调了内存执行、进程注入、沙箱规避和无文件恶意软件等关键策略，并指出需结合多种技术以应对不断更新的杀...

[划水][kaspersky]记一次注入svhost 还是老东西，原帖：https://bushsec.cn/archives/165/，同款加载器，换成卡巴，但严格意义并不是免杀，是由于注入svhost后卡巴才反应过来，就只能无能狂怒了(被打)提示：由于害怕云上传，卡巴斯基安全网络处于关闭状态，但提前已更新至最新病毒库

(补坑)记一次注入svhost 补坑上一个注入存在的缺陷是挂起svhost，重启后成功注入，这次稍加改良，可以直接注入，且上次由于初始权限为wanderer(用户名)，导致后续拉起的权限继承依旧为wanderer(用户名)，这次能够实现直接注入，且获得nt authority system权限，仅做为一个记录当前已知缺陷:这种注入可能会导致系统不稳定还是有小概率会触发CRITICAL PROCESS DIED蓝屏 window.oncontextmenu=function(e){ e.preventDefault(); } //$('#video1').bind('contextmenu',function() { return false; });

记一次创建svhost傀儡进程实现可持续化监听(仅作演示) 最近博主真是对注入格外执着呢doge,让我来拙劣的模仿APT(被打)，这次实现了自动提权，bypass UAC，静默添加开机自启动的功能、什么？你说cmd界面显眼?这是为了方便演示思路博主故意的（被打），什么？你说启动项名称怎么是2而不是test？视频中的启动项的那些都是一些博主失败品添加的,懒得清了，现在的成功版启动项是隐藏的(再次被打)，这次的版本仍有诸多不足，大佬别喷我（ window.oncontextmenu=function(e){ e.preventDefault(); } //$('#video1').bind('contextmenu',function() { return false; }); 初版注入一注入就蓝给我整麻了参考的注入思路:https://www.cnblogs.com/RainbowTechnology/p/17963529但博主并未用到DLL（，只是借鉴了挂起进程注入的思路，原先的直接暴力注入会导致svhost程序产生错误，而出现蓝屏代码CRITICAL PROCESS DIED，是因为shellcode执行时可能破坏了svchost的内存空间导致svhost终结已知缺陷：由于使用了挂起进程注入的方式，由视频可见，直接执行时无法直接注入svhost，shell目录为test，重启后重新获取shell才能进入system32

记注入explorer自删除(仅作演示) 博主熬了个夜，新弄出了一个全新版本的加载器，新增虚假报错自退，自删除，便于增加溯源难度doge window.oncontextmenu=function(e){ e.preventDefault(); } //$('#video1').bind('contextmenu',function() { return false; });

记注入explorer免杀(仅作演示) 记注入explorer免杀(仅作演示) window.oncontextmenu=function(e){ e.preventDefault(); } //$('#video1').bind('contextmenu',function() { return false; });

绕过 EDR ：滥用矢量异常处理程序（VEH）生成合法调用堆栈 绕过EDR：通过矢量异常处理程序（VEH）生成合法调用堆栈，实现系统调用绕过EDR检测。

Bypass Kaspersky动态上线(仅作演示) window.oncontextmenu=function(e){ e.preventDefault(); } // 如果使用jquery,如下代码也可以 //$('#video1').bind('contextmenu',function() { return false; }); 经测试,入侵防护只有IDS的解决方案全都挂了(基本涵盖了国内外的各种安全解决方案(除EDR这种外))