文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

基于社交信任链劫持的Konni组织多阶段攻击机制研究

静默执行：使用windowstyle属性设置为“隐藏”（Hidden），确保命令执行窗口不会弹出，避免引起用户注意。...通过展示合法的诱饵，攻击者不仅消除了用户的疑虑，还延长了恶意代码在系统中运行而不被发现的时间窗口。2.3 混淆技术与反检测策略为了逃避安全软件的静态扫描，LNK文件中的命令通常经过多层混淆。...反网络钓鱼技术专家芦笛强调，面对如此精细的混淆和诱饵机制，单纯依赖文件哈希或静态字符串匹配的防御手段已完全失效，必须引入基于行为序列和上下文的动态检测技术。...持久化机制：EndRAT通过创建计划任务（Scheduled Tasks）、修改注册表启动项（Run Keys）或利用Windows服务等方式实现开机自启。...在此次案例中，Genians报告明确指出攻击者利用了计划任务来确保持久化。

7910
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    实战 | BypassUAC的研究和思路

    使用UAC，应用程序和任务总是在非管理员帐户的安全上下文中运行，但管理员专门给系统授予管理员级别的访问权限时除外。UAC会阻止未经授权应用程序的自动安装，防止无意中对系统设置进行更改。...然后我们在左侧窗口找到“计算机配置–Windows设置–安全设置–本地策略–安全选项”，再在右侧窗口找到“用户帐户控制：管理员批准模式中管理员的提升权限提示的行为”，双击该条目，打开设置窗口，如下图：...挖掘白名单的uac程序 有一些系统程序是会直接获取管理员权限同时不弹出UAC弹窗，这类程序被称为白名单程序。这些程序拥有autoElevate属性的值为True，会在启动时就静默提升权限。...，如果exe程序运行的时候找到该键值对，就会运行该键值对的程序，而因为exe运行的时候是静默提升了权限，所以运行的该键值对的程序就已经过了uac。...当我运行c:\windows\system32\ComputerDefaults.exe的时候，发现不再弹出的是默认进程的界面，而是打开了我自己的程序 那么这里就可以大胆的猜测一下，首先运行ComputerDefaults.exe

    1.8K20

    如何使用Defeat-Defender禁用Windows系统安全策略

    Defeat-Defender Defeat-Defender是一款功能强大的Batch批处理脚本，该脚本可以帮助广大研究人员在渗透测试的过程中，完全禁用Windows Defender、防火墙和Smartscreen...如果授予脚本管理员权限的话，该脚本将会在后台静默运行，不会弹出任何命令行窗口。...这个功能可以防止禁用实时保护以及使用PowerShell或CMD修改Defender注册表项的行为。如果需要禁用实时保护，则需要用户手动执行。...但我们这里使用了NSudo来禁用实时保护功能，这样可以避免触发Windows Defender的警报。 运行Defeat-Defender脚本 运行机制 批处理文件执行之后，它将会要求获取管理员权限。...在拿到管理员权限之后，它将会开始禁用Windows Defender实时保护功能、Windows防火墙和SmartScreen，并从远程服务器下载我们的后门程序，然后将后门存储至系统的启动目录之中。

    1.9K30

    Win10设置Python定时任务

    文章目录 Win10 设置Python定时任务 Win10 中设置定时任务 使用特定 Python 环境指定定时任务 ?...Win10 设置Python定时任务 Win10 中设置定时任务 在 Windows 系统下可以通过【任务计划程序】设置定时任务，在【计算机管理】–> 【系统工具】–> 【任务计划程序】中的【创建任务】...创建任务的窗口如下所示： ? ? ? ? ? 在【常规】中的【安全选项】选择【不管用户是否登录都要运行】时，可以使定时任务在锁屏时也能运行。...这里使用 pythonw.exe 程序在执行 python 代码时不会弹出IDE窗口。...将主程序代码文件命名为 main.py ，所以资源和脚本保存在 D:\test_dir\ 文件夹下。此时定时脚本 test_job.py 用于却换 conda 环境，并执行 main.py 脚本。

    5K30

    权限维持总翻车？2026年实操指南建议收藏反复看

    # /d "Data" ： 需要自启动的程序路径，多为木马程序# %APPDATA% ： 环境变量，一般指的是C:\Users\用户名>\AppData目录# /f ： 静默覆盖已存在的键值，适用于自动化脚本...我们可以将其理解为计算机里的一个智能闹钟或管家，可以按照预先设定的时间或条件，自动执行特定的操作，比如自动运行程序、定期执行脚本、定时发送提醒等。...Windows计划任务通过Windows操作系统原生的任务计划程序（Task Scheduler）实现，能够将帮助红队将后门程序在系统启动、用户登录、特定时间点或系统空闲时自动执行，并深度融入正常的系统调度流程...只有创建在系统（SYSTEM）权限下运行或对所有用户生效的计划任务，才需要管理员权限。...红队将恶意任务放置在看似合法的系统任务路径下，企图在任务计划程序列表中被误认为是正常的“时间同步”相关任务。# /TR：任务运行的程序路径。

    14810

    关于bypassuac的探究

    使用UAC，应用程序和任务总是在非管理员帐户的安全上下文中运行，但管理员专门给系统授予管理员级别的访问权限时除外。UAC会阻止未经授权应用程序的自动安装，防止无意中对系统设置进行更改。...然后我们在左侧窗口找到“计算机配置–Windows设置–安全设置–本地策略–安全选项”，再在右侧窗口找到“用户帐户控制：管理员批准模式中管理员的提升权限提示的行为”，双击该条目，打开设置窗口，如下图：...挖掘白名单的uac程序 有一些系统程序是会直接获取管理员权限同时不弹出UAC弹窗，这类程序被称为白名单程序。这些程序拥有autoElevate属性的值为True，会在启动时就静默提升权限。...uac程序特性探究 通常以shell\open\command命名的键值对存储的是可执行文件的路径，如果exe程序运行的时候找到该键值对，就会运行该键值对的程序，而因为exe运行的时候是静默提升了权限...image-20211017091924459 当我运行c:\windows\system32\ComputerDefaults.exe的时候，发现不再弹出的是默认进程的界面，而是打开了我自己的程序

    1.3K10

    关于bypassuac的探究

    使用UAC，应用程序和任务总是在非管理员帐户的安全上下文中运行，但管理员专门给系统授予管理员级别的访问权限时除外。UAC会阻止未经授权应用程序的自动安装，防止无意中对系统设置进行更改。...然后我们在左侧窗口找到“计算机配置–Windows设置–安全设置–本地策略–安全选项”，再在右侧窗口找到“用户帐户控制： 管理员批准模式中管理员的提升权限提示的行为”，双击该条目，打开设置窗口，如下图：...挖掘白名单的uac程序 有一些系统程序是会直接获取管理员权限同时不弹出UAC弹窗，这类程序被称为白名单程序。 这些程序拥有autoElevate属性的值为True，会在启动时就静默提升权限。....png uac程序特性探究 通常以shell\open\command命名的键值对存储的是可执行文件的路径，如果exe程序运行的时候找到该键值对，就会运行该键值对的程序，而因为exe运行的时候是静默提升了权限...image-20211017091924459.png 当我运行c:\windows\system32\ComputerDefaults.exe的时候，发现不再弹出的是默认进程的界面，而是打开了我自己的程序

    1.9K20

    四大主流报表工具对比之打印导出

    打印方面所有的报表都可以使用浏览器的打印功能，而且和报表工具本身无关，就不做对比了。这里主要对比其它打印技术：Applet 打印、Flash 打印、PDF 打印、本地打印和特殊打印需求。...、套打、批量导出静默打印、套打、批量打印静默打印、套打无功能解读1.Applet 打印：要求客户端必须有 Java 环境且浏览器支持运行 java 插件。...打印时客户端无需下载 Java JDK 或 JRE 控件，步骤少，启动速度快，可以直接在浏览器端进行打印。3.PDF 打印：客户端使用 IE 浏览器，需要安装 pdf 阅读器，其他浏览器不需要。...5.特殊打印需求：静默打印点击打印时，不弹出选项窗口和打印机设置窗口，直接进行打印；套打通过设置报表背景图为票据扫描图片方式实现；批量打印可以一次性将多个报表批量输出到打印机。...SmartBI、永洪 BI 对于三种打印技术和特殊需求有些欠缺，永洪 BI 支持 Flash 打印，SmartBI 支持静默打印和套打。

    60710

    UpdateHub RAT深度分析：一款针对加密货币钱包和企业网络的新型HTA木马

    该恶意软件采用了高级混淆技术，通过Windows任务计划程序建立持久化，并使用自定义加密的HTTP流量与其命令与控制（C2）基础设施进行通信。...3.1 主解码器 (_dgaily)解码用于隐藏执行窗口的HTA应用程序配置：算法： 使用滚动密钥进行XOR运算：(index * 137 + 140) & 0xFF输出： 任务计划程序建立持久化，伪装成合法的Google更新任务。...它会遍历所有11个C2域名变体，如果没有任何一个响应‘success’，则静默退出。这有效地阻止了在隔离环境中的动态分析。...14.2 端点检测监控 mshta.exe 衍生 cmd.exe、powershell.exe 或与网络相关的进程。对创建名称包含“Google”但可执行路径非Google的计划任务发出警报。

    22810

    基于合法RMM工具的隐蔽远程访问攻击机制与防御策略研究

    2 攻击技术分析2.1 诱饵类型与传播路径根据Red Canary的观测数据，当前攻击主要采用四类社会工程诱饵：伪造浏览器更新：用户访问被植入恶意脚本的网站后，页面弹出“Chrome需要立即更新”提示，...虚假会议软件安装器：通过邮件发送伪造的Microsoft Teams或Zoom会议邀请，附件为Teams_Installer.exe，运行后解包并静默安装Atera或PDQ Connect。...类似地，Atera代理注册为AteraAgent服务，PDQ Connect则创建计划任务实现持久化。关键在于，这些行为在合法运维场景中完全正常。...行为正常性混淆：RMM代理的网络通信（TLS至官方域）、服务注册、计划任务创建均为预期行为，难以通过静态规则区分。...用户主动授权：安装过程由用户交互触发（点击“运行”或“是”），绕过UAC提权检测（若用户具管理员权限）。日志噪声高：企业环境中合法RMM活动频繁，导致告警疲劳，真实威胁易被淹没。

    31110

    浏览器之性能指标-TTI

    而在底部，事件处理程序「有机会更早地执行」。由于事件处理程序有机会在较小的任务之间运行，它比等待长任务完成时运行要更快。 由于长任务的出现，它们可能会延迟FCP和TTI。...「主要内容可见：」 网页的主要内容已经在浏览器窗口中可见，用户可以看到页面的核心信息而不需要进行滚动或等待。...「响应时间短：」 当用户执行交互操作时，网页的响应时间非常短，用户几乎感觉不到延迟。例如，点击按钮立即有响应，页面切换或动画流畅运行。 ---- 2....最后，页面「完全可交互」，意味着用户可以顺畅地进行交互，没有中断。 我们可以将TTI视为一种检查网站提供用户满意的体验所需时间的方式，其满意体验主要表现在「感知速度」方面。...❝TTI是FCP和「静默窗口」之间的一个时间点，它恰好位于「静默窗口之前」的最后一个「长任务完成」时。 ❞ ---- TTI 起始点 计算TTI分数的第一步是找到我们网站的FCP。

    4.4K30

    【玩转Lighthouse】手把手教你轻量服务器Windows系统IIS下自动申请、续签SSL证书

    现在无论是网站建设还是小程序开发等都需要HTTPS，SSL证书有都过期的限制，商业证书一般一年，免费证书一般是90天，如果没有及时续期ssl证书，那么将会影响线上程序正常运行。...这里我们使用一个脚本来做定时任务，这样有个好处，就是可以测试能不能正常的运行3.1、创建一个renew_cert.bat文件，内如如下，程序路径，请根据实际情况填写。...3.2、测试脚本是否正常然后我们先用cmd运行一下：可以看到自动运行成功，那就说明这个脚本文件可以用。...3.3、添加定时任务自动执行按Win+R键打开“运行”对话框，然后输入taskschd.msc并按回车键，这将打开“任务计划程序”窗口。...点击创建任务，添加一个任务，名称输入，勾选不管用户是否登录都要运行，使用最高权限运行。切换到触发器，新建触发器：这里我选择每天都执行，选择一个系统比较空闲的时间，半夜三更最适合干这种事。

    95732

    Windows主机入侵痕迹排查办法

    如果攻击者企图维持主机控制权限的话，则可能会通过添加后门账号、修改自启动项，或者添加计划任务等方式来维持权限，对应的我们可以通过排查账号、自启动项、计划任务来发现相应的入侵痕迹。...若在排查网络连接中，任务管理器只能看到有命令行工具（如powershell、cmd）powershell进程与外联IP建立会话，无法看到进程对应的运行参数。...2、%APPDATA%，在文件夹窗口地址栏输入%APPDATA%，回车即可打开当前用户的appdata目录。 ?...2.1.5自启动项 排查步骤： 使用Autoruns工具查看自启动项 查看组策略中的脚本 查看注册表中的脚本、程序等 查看各账号自启目录下的脚本、程序等 查看Windows服务中的可执行文件路径 分析方法...，被关联的程序会静默运行）。

    4K20

    Arduino+Avr libc制作Badusb原理及示例讲解 | 长文含视频

    脚本知识、cmd命令之类的，不是这篇文章的目的。...在executable编辑框中输入badusb需要执行的按键序列"&500&$rcmd"，再选择要烧录到FLASH的固件（只需要烧录一次固件，以后都不需要了），点击upload后两次弹出命令窗口进行烧录...（第一次烧录固件，第二次向EEPROM中写入数据），发现开发板重启后弹出了运行对话框并输入了"cmd"。...修改executable编辑框的内容为"&500&$rcmd;"（多了一个分号，也就是多按了一个回车键），再次点击upload(因为没有选择固件，所以不会进行固件的烧录，只会修改EEPROM的数据)，发现开发板重启后弹出运行对话框紧接着迅速弹出了命令窗口...③固件程序可以从eeprom或flash中读取数据，而intelhex格式文件可以控制将数据写入特定存储器的特定地址，利用这一点可以极大的扩展badusb的功能，而且将要执行的指令放在flash或者eeprom

    2K50

    PC 下自动化任务，教你 5 步快速实现！

    【打开任务计划程序】 进入后可以看到当前系统默认的计划执行程序，有谷歌程序更新的触发器、微软更新的触发器、显卡、输入法、甚至数据库的一些默认触发器。 ?...【默认计划任务】 另外，我们最后设置好的触发器也将会在这里显示。 依次选择【计划任务程序库】，点击右键【创建基本任务】，进入任务创建界面。...【设置相应参数】 其中，【程序或脚本】栏需要选择对应的 Python 可执行 exe 程序，也就是在安装 Python 的时候设置的路径 【添加参数】栏首先需要输入 Python py 文件的绝对路径...如果参数中包含空格可以将这个参数用双引号包住，如下例所示 【起始于】栏需要将【程序或脚本】中的内容复制下来，并保存其上一级目录。...添加好的定时任务如下图所示： ? 【任务创建完成】 一切都 ok 之后，不妨点右键试运行一下 Python 的运行会弹出一个黑窗口，当然你也可以设置不弹出 cmd 窗口 ?

    2.4K20

    Win11 已近乎“残废”？微软承认多个核心功能崩盘，锅要甩给 AI 编程吗？

    我们清楚在用户体验方面还有很多工作要做，包括日常使用的便捷性，例如不一致的对话框，以及高级用户的体验。每次团队开会，我们都会详细讨论这些痛点以及其他问题，因为我们希望开发者选择 Windows。...以下场景会触发该问题： 安装累积更新后的首次用户登录； 非持久性操作系统安装（如虚拟桌面基础架构（VDI）或同类环境）的所有用户登录——此类场景下，每次登录都必须安装应用程序包。”...谈及已观察到的问题，微软指出，以下依赖的外壳组件及相关服务可能会失效，或弹出屏幕报错，或静默执行失败，例如： Explorer.exe crash（文件资源管理器崩溃） shelhost.exe crash...补充一句：我加这步命令提示符操作，只是为了保持窗口打开方便启动其他程序。作为“启动入口”的开始菜单，表现实在太差了，太多实用功能被隐藏，而大量杂乱的垃圾软件又掩盖了用户真正需要的东西。...有用户就此感叹，“Windows 11 已经发布 4 年了，但感觉就像今年才推出的一样，不仅有超多明显的问题，升级后也没有任何实际好处。” “就像 AI 写的代码还没优化就硬塞进去了一样。

    71910

    合法软件武器化：新型钓鱼攻击链分析与动态防御重构

    一旦用户运行这些工具，攻击者便通过预设的配置或后续指令，将其转化为远程控制的后门，从而完全接管受害者的系统。...当攻击者诱导用户运行这些软件时，安全系统会将其识别为“可信进程”，从而放行其所有操作。攻击者随后通过命令行参数、配置文件或脚本，将这些工具配置为恶意用途。...此外，攻击者还会利用计划任务、注册表启动项等合法系统机制实现持久化，确保即使重启系统，控制权依然掌握在手中。...然而，在合法软件武器化攻击中，被执行的二进制文件本身是完全干净、合法的，没有任何恶意特征码。攻击者只是改变了软件的使用方式（参数、配置、调用链），而文件本身的哈希值并未改变。...4.5 用户交互验证与最小权限原则在检测到高风险行为时，系统不应直接静默阻断，而应弹出强交互警告，要求用户确认操作意图。

    18010

    openclaw v2026.3.8 全面更新解析：从备份机制、浏览器联动到跨平台优化的重大版本革新

    对于异常配置行（如错误的计划任务定义），现在系统能容错处理，不会导致启动失败。...在 TUI（终端用户界面） 部分，系统会自动从当前工作区推断活跃代理，无需显式指定目标代理，同时保障显式目标保持优先级。这样的智能推断逻辑让开发者在嵌入代理工作区时能够直接使用上下文感知的交互体验。...Podman 支持方面，系统修复了用户切换时目录权限错误的问题，通过在 subshell 中使用 /tmp 路径避免权限拒绝。...此外，当模型切换时系统自动清理缓存的上下文令牌，确保运行时重新根据当前模型窗口计算状态。...• Cron 系统在启动后分批重新调度未执行任务，防止重启造成任务堆积或遗漏。 • Browser SSRF 安全策略强化，对私网重定向中间跳转采取阻断，防止潜在泄露。

    16810
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券