ATT&CK 技术项编号为 T1036 的二进制重命名技术，正在被越来越多的恶意软件所采用，本文介绍如何使用多种方法对该技术进行监控与检测。
当我们在拿到内网某一台机器权限时，第一时间要做的就是信息收集，WMI中的各种类为我们在内网信息收集方面提供了十分有利的条件，作为红队的我们可以利用如下WMI中各种类的子集来对目标进行全方面信息收集。
WMI全称为Windows Management Instrumentation，即Windows管理规范，是Windows 2K/XP管理系统的核心。它属于管理数据和操作的基础模块，设计WMI的初衷是为了能达到一种通用性，通过WMI去操作系统、应用程序等去管理本地或者远程资源。它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件，同时也是测试人员在攻防实战中一个很完美的“无文件攻击”入口途径。
blpop/brpop：从列表的左侧/右侧弹出一个数据，若列表为空则进入阻塞状态。
Redis服务器是一个事件驱动程序，服务器需要处理两类事件：文件事件（file event）和时间事件（time event）
之前写了一系列文章，已经很深入的探讨了 Redis 的数据结构，数据库的实现，key的过期策略以及 Redis 是怎么处理事件的。所以距离 Redis 的单机实现只差最后一步了，就是 Redis 是怎么处理 client 发来的命令并返回结果的，所以我们就仔细讨论一下 Redis 是怎么执行命令的。
redis 核心就是 如果我的数据全都在内存里，我单线程的去操作 就是效率最高的，为什么呢，因为多线程的本质就是 CPU 模拟出来多个线程的情况，这种模拟出来的情况就有一个代价，就是上下文的切换，对于一个内存的系统来说，它没有上下文的切换就是效率最高的。
文件事件处理器使用I/O多路复用的程序来同时监听多个套接字，虽然redis的文件事件处理器以单线程方式运行，但通过io多路复用监听多个套接字，这样实现了高性能的网络通讯模型，又可以很好地让redis以单线程的方式运行，保持了单线程设计的简单性。（这是redis单线程还能那么快的原因之一）
这是 WMI 攻击手法研究系列文章第四篇，将更多地关注信息收集和枚举。WMI 提供了大量的类，可以从中列举出很多东西。因此，让我们来深入了解，不要再浪费时间了。
好的，今天我们要上黄金段位了，如果还没经历过青铜和白银阶段的，可以先去蹭蹭经验再回来：
Redis 组件的系统架构如图所示，主要包括事件处理、数据存储及管理、用于系统扩展的主从复制/集群管理，以及为插件化功能扩展的 Module System 模块。
通过上面redis官网的说明可以看出，redis是一个可以对内存数据结构进行存储的东西，它可以用作数据库、缓存和消息代理。它支持数据结构，如字符串，散列，列表，集合，带有范围查询的排序集，位图，超级日志，具有半径查询和流的地理空间索引。Redis具有内置复制，Lua脚本，LRU驱逐，事务和不同级别的磁盘持久性，并通过Redis Sentinel提供高可用性并使用Redis Cluster自动分区。 在项目中主要用来用作数据的缓存，将数据缓存在redis中，减轻对底层数据库的访问压力，获得更高的并发和更快的请求响应速度。
【1】Redis 是基于 Reactor 模式开发的网络事件处理器：这个处理器被称为文件事件处理器（file event handler），这个文件事件处理器是单线程的，所以 Redis 才叫做单线程的模型： ■ 文件事件处理器使用 I/O 多路复用（multiplexing）机制监听多个套接字 Socket，根据 Socket 上的事件来选择对应的事件处理器进行处理。 ■ 当被监听的套接字准备好执行连接应答（accept）、读取（read）、写入（write）、关闭（close）等操作时。与操作相对应的文件事件就会产生，这时文件事件处理器就会调用套接字之前关联好的事件处理器来处理这些事件。 【2】虽然文件事件处理器以单线程的方式运行，但其使用 I/O 多路复用程序来监听多个套接字，文件事件处理器既实现了高性能的网络通信模型，又可以很好地与 Redis 服务器中其他同样以单线程方式运行的模块进行对接，这保持了 Redis 内部单线程设计的简单性。
这个系列文章描述了一个单一的语义数据模型来支持物联网和建筑、企业和消费者的数据转换。 这种模型必须简单可扩展, 以便能够在各行业领域之间实现插件化和互操作性。 对于一个目前从事智能硬件的老码农，觉得这些文字具有积极的参考意义。这一部分讨论通用的数据格式和应用程序编程接口(API)，以及如何利用这些共同的本体。
顶部，是预处理声明；接着是输入变量和全局变量。最后是函数，类，以及定义的程序处理器。
本文是以WMI的重写版，本来这份笔记会更长，原版的笔记以Black Hat 2015的Abusing Windows Management Instrumentation (WMI) to Build a Persistent, Asyncronous, and Fileless Backdoor为主要学习资料，在笔记写到大概一万字的时候，Typora 中保存的内容部分丢失。于是重新整理，有了这份，我认为精简版的WMI笔记。
为了接下来一篇博客，能使读者更加完整地学习线程模型，所以本文对Redis的线程模型进行必要的讲解。
众所周知，Redis 服务器是一个事件驱动程序。那么事件驱动对于 Redis 而言有什么含义？源码中又是如何实现事件驱动的呢？今天，我们一起来认识下 Redis 服务器的事件驱动。
1、首先redis是单线程的，为什么redis会是单线程的呢？ 从redis的性能上进行考虑，单线程避免了上下文频繁切换问题，效率高； 从redis的内部结构设计原理进行考虑，redis是基于Reactor模式开发了自己的网络事件处理器： 这个处理器被称为文件事件处理器（file event handler）。而这个文件事件处理器是单线程的，所以才叫redis的单线程模型，这也决定了redis是单线程的。 2、聊一聊redis的单线程模型构造部分？ redis单线程模型中最为核心的就是文件事件处理器 而文件事件处理器结构包含5个部分，其实真正包含为4个部分（不包含socket队列，加上主要方便后面理解）：多个socket、IO多路复用程序、socket队列、文件事件分派器、以及事件处理器。而事件处理器又分为3个部分为：连接应答处理器、命令请求处理器、命令回复处理器。如图：
在《WMI技术介绍和应用——WMI概述》中，我们使用了下图介绍WMI构架（转载请指明出于breaksoftware的csdn博客）
◆ 主流 I/O 模型 阻塞IO、非阻塞IO、异步 IO 。 ◆ BIO 模型 同步阻塞 模型，一个客户单对应一个链接的处理线程 缺点： 1、IO 中如果进行 read 是阻塞操作，如果请求的链接操作不做任何操作，也会导致线程阻塞，浪费线程资源 2、如果线程很多，会导致服务器压力增加，比如 C10K问题 引用场景： BIO 方式运用数目比较小且固定的架构，这种方式对服务器资源要求比较高，但是程序简单容易理解。 ◆ NIO 模型 同步非阻塞，是服务器实现的模式是一个线程可以处理多个请求（链接），客户端发送的
Redis基于IO多路复用模式开发了自己的网络事件处理器,这个处理器被称为文件事件处理器，该处理器核心运作流程如下:
文档头之后通常是文档类型定义（Document Type Definition，DTD），文档类型定义时确保文档正确的一个重要机制，但是它不是必须的。
首先，Redis 是跑在单线程中的，所有的操作都是按照顺序线性执行的，但是由于读写操作等待用户输入或输出都是阻塞的，所以 I/O 操作在一般情况下往往不能直接返回，这会导致某一文件的 I/O 阻塞导致整个进程无法对其它客户提供服务，而 I/O 多路复用就是为了解决这个问题而出现的。
Reactor模式是一种设计模式，它是基于事件驱动的，可以并发的处理多个服务请求，当请求抵达后，依据多路复用策略，同步的派发这些请求至相关的请求处理程序。
委托和事件是高级面向对象编程中的重要概念，用于实现程序的灵活性、可扩展性和可维护性。它们在实现回调、事件处理和异步编程等方面发挥着关键作用。 委托允许我们将方法视为一种对象，可以将方法作为参数传递、存储在变量中，并在需要时进行调用。这种能力使得委托非常适合用于实现回调函数，将一个方法传递给另一个方法，使得后者在适当的时候调用前者。委托还支持委托链和多播委托的概念，可以将多个方法链接在一起形成一个委托链，依次执行它们。 事件是委托的一种特殊形式，用于实现观察者模式和事件驱动编程。事件提供了一种简洁和可靠的方式来处理和响应特定的程序事件，如用户交互、消息通知等。通过事件，我们可以定义事件的发布者和订阅者，发布者触发事件时，订阅者会收到通知并执行相应的操作。这种松耦合的设计模式使得程序更具可扩展性和可维护性。 委托和事件在异步编程中也起到重要的作用。它们可以帮助我们处理异步操作的回调和通知，提高程序的响应性和效率。通过将异步操作封装在委托或事件中，我们可以在异步操作完成后执行相应的处理逻辑，而不需要阻塞主线程或进行复杂的线程管理。
单线程指的是Redis的网络请求模块使用了一个线程（所以不需考虑并发安全性），即一个线程处理所有网络请求，网络请求模块之外的其他模块仍用了多个线程。
高度模块化的设计是 Nginx 的架构基础。Nginx 服务器被分解为多个模块，每个模块就是一个功能模块，只负责自身的功能，模块之间严格遵循“高内聚，低耦合”的原则。
Mysql数据一般存放在磁盘,效率比较低.虽然在数据库层也做了对应的缓存,但是这种缓存一般针对的是查询的内容而且粒度也比较小,一般只有表中数据没有发生变化时候,缓存才能起作用.这并不能减少业务系统对数据库产生的增、删、查、改的庞大IO压力。 这些需求使得缓存数据库应运而生
Redis服务端是一个事件驱动程序，本文将对服务端需要处理的文件事件和时间事件进行简单介绍。
Grab 是一家总部位于新加坡的东南亚网约车和送餐平台公司，业务遍及东南亚大部分地区，为 8 个国家的 350 多座城市的 1.87 亿多用户提供服务。Grab 当前提供包括网约车、送餐、酒店预订、网上银行、移动支付和保险服务。是东南亚的“美团”。Grab Engineering 分享了他们对搜索索引进行优化的方法与心得，InfoQ 中文站翻译并分享。
我是架构精进之路，点击上方“关注”，坚持每天为你分享技术干货，私信我回复“01”，送你一份程序员成长进阶大礼包。
引言：众所周知，Nginx 服务器是一个高性能的 Web 和反向代理服务器。Nginx 在激烈的 Web 服务器竞争中依旧保持良好的发展势头，一度成为 Web 服务器市场的后期之秀，这一切跟 Ngin
rocketmq的producer 和 Consumer的特性比较了解。 源码：https://github.com/limingios/netFuture/tree/master/jms 中的roc
EventFilter（事件过滤器）存储在一个ROOT\subscription:__EventFilter对象的实例里，其主要作用是使用WMI的查询语言来过滤审核特定的事件，一个事件过滤器接受一个WMI事件查询参数，同时EventFilter事件过滤器可以对Intrinsic Events (内部事件)和Extrinsic Events (外部事件）进行事件查询。
1.可以通过运维工具（上次说过的rocketmq-console）查询这个组下有多少Producer实例。2.可通过运维工具查询这个组下的消费进度,多少个Consumer实例。3.事务消息，如果Producer意外宕机，Broker会主动回调Producer Group中的任意一台机器确认事务状态。4.集群模式，一个Consumer Group下的多个Consumer均摊消费消息；广播模式，group无意义。
上面文章中，我们提到不同的操作系统实现的io策略可能不一样，即使是同一个操作系统也可能存在多重io策略，常见如linux上的select，poll，epoll，面对这么多不同类型的io接口，这里需要一层抽象api来完成，所以就演变出来两种高性能的io的设计模式，分别是Reactor（同步IO）和Proactor（异步IO）。
这篇文章是有关 WMI 的多篇系列文章中的第一篇，如果读者对 PowerShell 有个基本的了解，那么对阅读本篇文章会有所帮助，但这不是必需的。
Redis 采用事件驱动机制来处理大量的网络IO。它并没有使用 libevent 或者 libev 这样的成熟开源方案，而是自己实现一个非常简洁的事件驱动库 ae_event。
reactor是关心就绪事件，比如可读了，就通知你，就像epoll_wait 。proactor关心的是完成比如读完了，就通知你。
.NET 框架中与 WMI 规范有关的命名空间有两个 , 分别是 System.Management 和 System.Management.Instrumentation 两个命名空间。其中 System.Managemen 命名空间提供的类对象为访问各种管理对象提供了面向对象的编程接口，而 System.Management.Instrumentation 命名空间提供的类用来设置用户自定义的应用程序，使得这些应用程序对象能够符合 WMI 的规范，从而通过 WMI 向使用该应用程序的管理者公开其提供的管理信息和事件，这些使用者有可能是 Microsoft Application Center 或 Microsoft Operations Manager 这样的，也有可能是自定义编写的高端管理应用程序（您可以通过 System.Management 命名空间提供的类对象来编写自己的管理应用程序）。因此，如果您想使自己的产品的管理可以在这些管理工具，您就得使您自己的应用程序符合 WMI 的规范，而针对 .NET 平台上的应用程序 WMI 规范编写来说，使用的是 System.Management.Instrumentation 命名空间提供的类。
原文链接：https://my.oschina.net/u/3770281/blog/1802493
引言：众所周知，Nginx 服务器是一个高性能的 Web 和反向代理服务器。Nginx 在激烈的 Web 服务器竞争中依旧保持良好的发展势头，一度成为 Web 服务器市场的后期之秀，这一切跟 Nginx 的架构设计是分不开的。
目前已知在杀毒厂商以及游戏厂商的安全对抗过程中，常常需要准确的监控收集并进行检测用户创建打开的EXE应用程序是否是安全的。同时也可以将此技术应用于其他应用的安全对抗方案中。那么如何去准确的监控和收集用户每次点击打开的EXE应用程序信息呢？接下来我就进行还原实现下如何准确的监控并收集用户每次点击打开EXE应用程序技术。
说起当前主流NoSql数据库非 Redis 莫属。因为它读写速度极快，一般用于缓存热点数据加快查询速度，大家在工作里面也肯定和 Redis 打过交道，但是对于Redis 为什么快，除了对八股文的背诵，好像都还没特别深入的了解。
WMI是一项windows管理技术，其全称是Windows Management Instrumentation，即Windows管理规范。大多数基于Windows的软件依赖于此服务。因此有些黑客会针对WMI进行攻击。本文介绍了 WMI 的攻击和安全防御方法，以供大家交流讨论。
派大星：因为Redis基于reactor模式开发了网络事件处理器，这个事件处理器叫做：文件事件处理器(File Event Handler)，这个文件事件处理器是单线程的，从而Redis才叫做单线程的模型。采用IO多路复用机制同时监听多个socket，根据socket上的事件来选择对应的事件处理器来处理这个事件。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
