【学习笔记】红队视角下的windows应急响应

1. 上线的方法

  1. exe上线→开360晶核的情况比较困难

2）白加黑

接下来的讲解就是基于白加黑上线，看如何应对应急

2. 演示

360环境启动

在这里插入图片描述

shell whoami →死 -beacon

如何去查杀

看外联：

netstat -ano 提取IP

在这里插入图片描述

威胁情报api调用→查是否是恶意ip→根据恶意IP对应的pid去查找恶意文件

在这里插入图片描述

tcp view工具可以很好地用来定位外联→找恶意文件

该工具可以看远程地址端口等

通过看是否有远程外联来判断是否存在进程注入
在这里插入图片描述在这里插入图片描述有的时候找不到会断是因为心跳包的机制

双击打开会发现可疑的目录，找到真实的恶意软件

在这里插入图片描述蓝队的工具还能够解析对应的物理地址
在这里插入图片描述

任务管理器→不推荐，效果甚微，CPU占用并没有很多

360晶核 —ppid注入肯定不行 最好的方式是白加黑 →公开的白 未公开不拦截 →反向隧道 dumplsass白加黑去做

维持权限

在这里插入图片描述

维权：添加用户windowsapi 重写bof，这种方式火绒和360都不会告警
在这里插入图片描述

改注册表：360环境→必须是未公开的白，一般不会用这么高深

计划任务：PRC→不会被拦截 dll劫持 白加黑上线 白exe本身就有计划任务更好

启动项：Windowsapi去写，白加黑

用Autoruns64.exe 火绒来排查注册表和启动项

在这里插入图片描述

windows rootkit→驱动

explorer.exe →cmd.exe→whoami.exe

explorer.exe→cmd.exe→土豆。exe→cmd.exe→360会死

explorer.exe→白.exe

3. 内网环境中出现应急事件如何响应

  1. EDR存在大量内网告警 —防守方如何应急

定位扫描源头，dmz区还是个人PC钓鱼

DMZ区→web为主

webshell→隧道 有无横向

  1. 域控被打穿排查哪些

主要是存在后门

需要加固：使用krbtgt的账号hash， 钻石和蓝宝石 acl策略改写 域控伪造 ssp注入 高权限的域用户

委派

  1. web端192.168.1.2 →192.168.3.4主机CS上线，经过研判发现是真实的，怎么快速应急

内网多网卡机器 通 →web直接能访问 不通→多段跳板

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/458512.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【Qt】QListView 显示富文本，设置文本内容颜色

【Qt】QListView 显示富文本，设置文本内容颜色

【Qt】QListView 显示富文本，设置文本内容颜色 文章目录 I - 控件使用II - 显示富文本III - 注意事项 I - 控件使用 Qt 的 MVC 架构为 MV ，Controller 部分继承到了 View 里，View(视图) 设置 Model(模型)，Model 设置数据 这里使用…
阅读更多...
设备维修带来的无限价值——易点易动设备管理系统的优势

设备维修带来的无限价值——易点易动设备管理系统的优势

在化工工厂中，设备的正常运行是保障生产顺利进行的关键。然而，设备难免会出现故障和损坏，而及时有效的设备维修对于提高生产效率和降低成本至关重要。为了解决这一问题，易点易动设备管理系统应运而生，以其卓越的功能和…
阅读更多...
TEASEL: A transformer-based speech-prefixed language model

TEASEL: A transformer-based speech-prefixed language model

文章目录 TEASEL：一种基于Transformer的语音前缀语言模型文章信息研究目的研究内容研究方法1.总体框图2.BERT-style Language Models（基准模型）3.Speech Module3.1Speech Temporal Encoder3.2Lightweight Attentive Aggregation (LAA) 4.训练…
阅读更多...
前端实例：页面布局1（后端数据实现）

前端实例：页面布局1（后端数据实现）

效果图 注&#xff1a;这里用到后端语言php&#xff08;页面是.php文件&#xff09;,提取纯html也可以用 inemployee_index.php <?php include(includes/session.inc); $Title _(内部员工首页); $ViewTopic 内部员工首页; $BookMark 内部员工首页; include(includes/…
阅读更多...
vue3动态组件未渲染问题

vue3动态组件未渲染问题

渲染问题 component动态组件写法与vue2写法一致&#xff0c;代码如下&#xff1a; <component :is"componentName"/><script setup>import { ref } from vueimport account from ./user/account.vue// 组件名称const componentName ref(account)// 点击…
阅读更多...
Linux arrch64系统架构 py文件运行时的编码问题解决

Linux arrch64系统架构 py文件运行时的编码问题解决

问题&#xff1a; 因为要测试一些东西&#xff0c;所以必须有中文数据来做支撑&#xff0c;之前用的架构是x86&#xff0c;现在一个服务器的架构为arrch64&#xff0c;下列编码都挨个都进行声明&#xff0c;但是无法解决问题&#xff0c;总是报错 # -*- coding: gbk -*- # -*…
阅读更多...
数组的大小与元素的个数

数组的大小与元素的个数

一、数组的大小 数组一旦声明&#xff0c;大小就确定了&#xff0c;无论元素是否填充 以大括号声明的数组&#xff0c;数组大小和大括号中元素的数量是一致的 以双引号字符串声明的字符数组&#xff0c;数组大小比字符的个数多一个 sizeof(数组名)得到的是元素类型所占字节…
阅读更多...
一行代码极速部署：打造面向开发者的流计算平台

一行代码极速部署：打造面向开发者的流计算平台

作者&#xff1a;Yingjun Wu TL;DR. curl https://risingwave.com/sh | sh在2021年初&#xff0c;我创立了RisingWave&#xff0c;目标是推广流计算技术的普及。在过去的三年中&#xff0c;我不断的向市场布道RisingWave&#xff0c;希望RisingWave能够在流计算这一市场中占…
阅读更多...
精简版 Obsidian 图床配置 PicGo+ gitee

精简版 Obsidian 图床配置 PicGo+ gitee

精简版 Obsidian 图床配置 PicGo gitee 图床的作用 图床&#xff08;Image Hosting Service&#xff09;是一种在线服务&#xff0c;用于存储和托管用户上传的图片文件。用户可以将图片上传到图床服务器&#xff0c;并获得一个可访问的图片链接&#xff0c;然后可以在网页、博…
阅读更多...
【Stable Diffusion】入门-01：原理简介+应用安装（Windows）+生成步骤

【Stable Diffusion】入门-01：原理简介+应用安装（Windows）+生成步骤

【Stable Diffusion】入门&#xff1a;原理简介应用安装&#xff08;Windows&#xff09;生成步骤 原理简介应用安装 原理简介 稳定扩散生成模型(Stable Diffusion)是一种潜在的文本到图像扩散模型&#xff0c;能够在给定任何文本输入的情况下生成照片般逼真的图像。 应用安…
阅读更多...
谷歌的后量子密码学威胁模型

谷歌的后量子密码学威胁模型

1. 引言 若现在不使用量子安全算法来加密数据&#xff0c;能够存储当前通信的攻击者最快十年内就能对其解密。这种先存储后解密的攻击是当前采用后量子密码学 (post-quantum cryptography&#xff0c;PQC) 背后的主要动机&#xff0c;但其他未来的量子计算威胁也需要一个深思熟…
阅读更多...
macOS - 获取硬件设备信息

macOS - 获取硬件设备信息

文章目录 1、CPU获取方式 一&#xff1a; system_profiler获取方式二&#xff1a;sysctl&#xff0c; machdepmachdep 2、内存3、硬盘4、显卡5、声卡6、光驱7、系统序列号8、型号标识符9、UUID 等信息 10. 计算机名称 1、CPU 获取方式 一&#xff1a; system_profiler % syst…
阅读更多...
CKA认证之Etcd备份与恢复

CKA认证之Etcd备份与恢复

题目介绍&#xff1a; 资料参考&#xff1a; https://kubernetes.io/zh-cn/docs/tasks/administer-cluster/configure-upgrade-etcd 解题&#xff1a; 1、备份 #参考模板列出 etcdctl 可用的各种选项。 #例如&#xff0c;你可以通过指定端点、证书和密钥来制作快照&#xff0…
阅读更多...
计算机视觉——目标检测（R-CNN、Fast R-CNN、Faster R-CNN ）

计算机视觉——目标检测（R-CNN、Fast R-CNN、Faster R-CNN ）

前言、相关知识 1.闭集和开集 开集&#xff1a;识别训练集不存在的样本类别。闭集&#xff1a;识别训练集已知的样本类别。 2.多模态信息融合 文本和图像&#xff0c;文本的语义信息映射成词向量&#xff0c;形成词典&#xff0c;嵌入到n维空间。 图片内容信息提取特征&…
阅读更多...
大语言模型提示词技巧

大语言模型提示词技巧

LLM&#xff08;Large Language Model&#xff09;大语言模型时代&#xff0c;提示词&#xff08;Prompt&#xff09;很重要&#xff0c;而改进提示词显然有助于在不同任务上获得更好的结果。这就是提示工程背后的整个理念。 下面我们将介绍更高级的提示工程技术&#xff0c;使…
阅读更多...
【办公类-40-01】20240311 用Python将MP4转MP3提取音频 （家长会系列一）

【办公类-40-01】20240311 用Python将MP4转MP3提取音频 （家长会系列一）

作品展示&#xff1a; 背景需求&#xff1a; 马上就要家长会&#xff0c;我负责做会议前的照片滚动PPT&#xff0c;除了大量照片视频&#xff0c;还需要一个时间很长的背景音乐MP3 一、下载“歌曲串烧” 装一个IDM 下载三个“串烧音乐MP4”。 代码展示 家长会背景音乐: 歌曲串…
阅读更多...
科普|大数据信用高风险形成原因，怎么查询?

科普|大数据信用高风险形成原因，怎么查询?

在大数据时代&#xff0c;基于大数据技术的大数据信用风险在很多时候是很多机构比较重视的问题&#xff0c;大数据信用风险主要包括多头借贷风险、履约行为风险、联系人风险、司法风险等。本文将详细为大家讲讲大数据信用高风险是怎么形成的?怎么查询?一起去了解一下吧。 大数…
阅读更多...
leetCode刷题 13. 罗马数字转整数

leetCode刷题 13. 罗马数字转整数

目录 题目&#xff1a; 1. 思路 2. 解题方法 3. 复杂度 4. Code 题目&#xff1a; 罗马数字包含以下七种字符: I&#xff0c; V&#xff0c; X&#xff0c; L&#xff0c;C&#xff0c;D 和 M。 字符 数值 I 1 V 5 X 10 L …
阅读更多...
Python 多种字符串处理函数介绍

Python 多种字符串处理函数介绍

Python 提供了丰富的字符串处理函数&#xff0c;用于执行各种字符串操作&#xff0c;如查找、替换、截取、转换等。以下是一些常用的 Python 字符串处理函数及其用法&#xff1a; 字符串长度和大小写转换 1. **len()**&#xff1a;返回字符串的长度。 2. **upper()**&#xff1…
阅读更多...
如何区分工业以太网交换机和常规以太网交换机

如何区分工业以太网交换机和常规以太网交换机

工业以太网交换机和常规以太网交换机乍一看似乎很相似&#xff0c;但两者之间存在着一些关键区别。在本文中&#xff0c;我们将阐明这些差异&#xff0c;并为您提供一些快速区分两者的提示。 工业以太网交换机与常规以太网交换机的比较 工业以太网交换机和常规以太网交换机都…
阅读更多...
最新文章

Copyright @ 2022~2023