前言 由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。（本文仅用于交流学习） 系统服务提权 低权限用户可以检查"Authenticated Users"组和"INTERACTIVE"组对系统服务的权限。 "Authenticated Users"组：经过身份验证的用户，但不包括来宾账户 组：包含所有直接登录到计算机进行操作的用户。 不安全的服务权限 如果低权限用户可以对一些高权限服务启动时的文件有写权限，那么就可以将其替换
https://github.com/FULLSHADE/Auto-Elevate
有这样一种场景，拿到了一台主机权限，是本地管理员，同时在这台主机上登录的是域管成员，这时我们可以通过dump lsass或通过 Kerberos TGT ，但是这是非常容易被edr命中的。
本文是我搜集整理的DLL注入方法，有一些自己实现了，在文末的链接里有源码，其余没有实现的也有git链接或别的源码链接。
病毒木马植入模块成功植入用户计算机之后，便会启动攻击模块来对用户计算机数据实施窃取和回传等操作。通常植入和攻击是分开在不同模块之中的，这里的模块指的是DLL、exe或其他加密的PE文件等。只有当前植入模块成功执行后，方可继续执行攻击模块，同时会删除植入模块的数据和文件。模块化开发的好处不单单是便于开发管理，同时也可以减小因某一模块的失败而导致整个程序暴露的可能性。
通过常用的api来创建进程是常规启动进程的方式，最常用的几个api有WinExec、ShellExecute、CreateProcess，我们一个一个来看一下
这篇文章的起因，是笔者之前在做样本分析的时候，经常会遇到需要调试傀儡进程的情况，而其中有一种情景是将启动的白进程PE文件整个掏空并用黑进程进行替换。
Access Token是描述进程或线程的安全上下文的对象。其中包括进程或线程关联的用户账户的身份和权限。
学习WindowsAPI. 之前.我们必须理解什么是进程. 在windows环境下.进程就是一个运行起来的exe程序
今天操作系统课老师讲到进程，提出了一个有趣的小实验：能否以系统调用的方式利用 Windows 创建进程的系统调用函数来打开一个软件。闲着蛋疼的我立马来了兴趣，姑且写一个玩玩（
创建新的进程是Windows程序开发的重要部分，它可以用于实现许多功能，例如进程间通信、并行处理等。其中，常用的三种创建进程的方式分别是WinExec()、ShellExecute()和CreateProcessA()，这三种创建进程的方式各有特点。如果需要创建简单进程或从其他程序启动新进程，可以使用WinExec()或ShellExecute()函数。如果需要对新进程进行更精细的配置，例如控制进程参数、指定安全级别、传递特定的命令和参数等，可以使用CreateProcessA()函数。
必须使用与flProtect参数指定的保护标志兼容的访问权限打开该文件。它不是必需的，但建议打开要映射的文件以进行独占访问。有关更多信息，请参阅文件安全性和访问权限。
一.前言 我们可能会遇到需要在程序中执行一些系统命令，来获取一些信息；或者调用shell脚本。.NET Core 目前已经可以跨平台执行，那么它如何跨平台执行命令呢，请看下面的讲解。 二.ProcessStartInfo、Process 类介绍 我们主要用到的两个类就是 ProcessStartInfo 和 Process ，他们的用法和.NET Framework下是一样的。 1. ProcessStartInfo 类 ProcessStartInfo主要设置一些我们需要创建的进程的参数。比如需要启动的应
http://book.douban.com/annotation/28879242/
1.获取你想要遍历的进程ID (可以通过遍历进程,也可以通过通过句柄获得进程ID)
nodejs的main event loop是单线程的，nodejs本身也维护着Worker Pool用来处理一些耗时的操作，我们还可以通过使用nodejs提供的worker_threads来手动创建新的线程来执行自己的任务。
找出当前系统是否已经存在指定进程的实例。如果没有则创建一个互斥体。CreateMutex（）函数可用来创建一个有名或无名的互斥量对象。
在这篇文章中，我们将给大家演示如何通过SeImpersonatePrivilege权限来获取SYSTEM权限，并通过提权来判断自己系统内的SYSTEM权限安全。但需要注意的地方在于：
AppInfo是一个本地RPC服务，其接口ID为201ef99a-7fa0-444c-9399-19ba84f12a1a，AppInfo 是 UAC 提升的关键。ShellExecuteEx()通过 RPC 调用将所有提升请求转发到 AppInfo NT 服务。AppInfo 在系统上下文中调用一个名为“approve.exe”的可执行文件，这是启动用户同意的对话框的可执行文件.
Certutil是Windows自带的命令行工具，用于管理Windows证书并作为证书服务的一部分安装。Certutil提供了从网络中下载文件的功能，测试人员可以在远程主机上执行Certutil命令，控制其下载预先部署在可控服务器上的恶意文件，如攻击载荷等。
前几天，读者群里有小伙伴提问：从进程创建后，到底是怎么进入我写的main函数的？
（1）学会使用 VC 编写基本的 Win32 Consol Application（控制台应用程序)。 （2）通过创建进程、观察正在运行的进程和终止进程的程序设计和调试操作，进一步熟悉操作系统的进程概念，理解 Windows 进程的“一生”。 （3）通过阅读和分析实验程序，学习创建进程、观察进程、终止进程以及父子进程同步的基本程序设计方法。
我记得微软Azure在国内刚落地的时候，当时的宣传语是Cloud OS，Azure就是云操作系统。
一、什么是进程 进程：正在进行的一个过程或者说一个任务。而负责执行任务则是cpu。 二、进程与程序的区别 程序：仅仅是一堆代 进程：是指打开程序运行的过程 三、并发与并行 并发与并行是指cpu运行多个程序的方式 不管是并行与并发，在用户看起来都是‘同时’运行的，他们都只是一个任务而已，正在干活的是cpu，而一个cpu只能执行一个任务。 并行就相当于有好多台设备，可以同时供好多人使用。 而并发就相当于只有一台设备，供几个人轮流用，每个人用一会就换另一个人。 所以只有多个cpu才能实现并行，而一个cpu只能实现
操作系统中最核心的概念就是进程。进程是对正在运行的程序的抽象。 没有进程的抽象，现代计算将不复存在。操作系统的其他所有内容都是围绕着进程的概念展开的。所以，透彻的理解进程是非常必要的。 进程是操作系统提供的最古老的、最重要的抽象概念之一。即使可以使用的CPU只有一个，但他们也具有支持（伪）并发操作的能力，他们将一个单独的CPU变换成多个虚拟的CPU。
假设是a进程创建了b进程，那么a进程就是b进程的父进程。反之，假设是b创建了a,那么b进程就是a的父进程，这是在windows出现以来一直是程序员们都证实的，可是在在win Vista后面有了一个新安全消息机制。UAC(user account control)，这里科普下UAC的功能，事实上UAC就是大家常见的安装软件或者启动程序的时候的出现的全屏变暗的一个提示框，这里顺便提醒下大家不要把它的提醒级别减少。这里大家不要蓄意把他的提示级别较低。这样会带来非常大的安全隐患。由于正常的UAC级别下，会检測程序是否有数字签名(可识别程序)，以及他的数字签名是否合法。这对于一部分低端的木马具有提醒作用(注意这里说的是能够提示一般的 灰鸽子等变种，高端的木马会绕过这里,具体思路见后面)，好了这里再回头说进程关系，这里先说一句关键的话：进程在创建进程时。他的父进程能够被指定。这个是在《深入解析Windows操作系统》(第六版)中有具体的说明，里面的意思是这样解释UAC提权的，当用户同意一次UAC提权时。AIS服务(AppInfo Service)调用的CreateProcessAsUser() 函数创建进程而且赋予恰当的管理员权限，在理论上说AIS服务(所在的进程)是提权后进程的父进程。当我们用进程树查看工具(顺便推荐几款用过的Process moniter。IceSworld，Process Explorer等) 查看时，会发现提权的进程的父进程是创建它的进程，这是由于AIS利用了CreateProcessAsUser() API中的一个新的功能，这里的新功能就是将提权进程的父进程设置成创建该进程的进程，假设我们利用一下该API，我们就能够将自己的进程的的父进程设置为随意进程(要提权绕过UAC的鸽子注意了)，假设把木马进程的父进程设置为 杀软 的ID或者csrss.exe ，notepad.exe 等可信进程，那么对于根据父进程可疑(进程链)来查杀的杀软就轻易绕过了，这里顺便提示下还有一个绕过反调试的小技巧，假设你发现一个该死的小程序检查父进程是不是explorer.exe来推断是否是合法环境。那你会咋办？这里通常是逆向一些小游戏的时候常见滴，好吧，不卖关子了。根据上面的介绍，我调试的时候把他的父进程从 ollydbg直接改成他要求的explorer.exe 就Ok了。
#include <windows.h> #include <stdio.h> #include <iostream> DWORD CreateChildProcess(LPSTR szChildProcessCmd); int main() { CreateChildProcess("Child.exe"); } DWORD CreateChildProcess(LPSTR szChildProcessCmd) { //启动信息结构变量 STARTUPINFO si; //被创建进程的信息
域内横向移动技术是红队作战在域内最基本技术之一，红队人员会利用该技术，以被攻陷的系统为跳板，通过已经收集的凭据和密码，来访问域内其他主机，扩大战果，最终目的是获取到dc的访问控制权限。
本文介绍了一种从攻防两个维度研究分析网络安全对抗技术的方法。该方法基于Sysmon日志、ATT&CK标签日志、操作系统日志的分析实践，通过几种典型攻防对抗技术示例，着重介绍和分析攻击在主机层面特征，为蓝队人员“看得见”“看得清”网络威胁，提供了一种简单易学的技术修炼方法。也借此抛砖引玉，希望在安全规则优化或威胁狩猎的专家能有更多此方面技术分享。 “左右互搏术” 这里的“左右互搏术”，喻意为安全人员一边模拟红队或入侵者或企业内恶意人员的攻击，一边作为防守方从网络、主机等多层面检测和分析攻击，有助于安全人员
在python中有一个multiprocessing的模块，该模块提供了一个Process类创建进程对象。因此，需要使用多进程的时候，需要导入这个包。如下：
ShellExecute ShellExecute 在不使用管理员权限运行 VS2019 的情况下仍然可以正常打开任何程序，不报 740 错误。
本文主要介绍进程的基本属性，基本属性包含:进程ID、父进程ID、进程组ID、会话和控制终端
单进程单线程：一个人在一个桌子上吃菜。 单进程多线程：多个人在同一个桌子上一起吃菜。 多进程单线程：多个人每个人在自己的桌子上吃菜。
前段时间一直在学习内核监控进程创建的知识，虽然成功监视，但一直在内核输出到 DebugView 中，不能通知我们的应用程序来显示指定内容，无论如何也不方便，所以赶在周末参考了 Windows 内核安全与驱动开发 中第五章 “应用与内核通讯” 制作了以下程序。程序主要使用了内核事件 KEVENT 实现同步，更多请参考 Windows 内核安全与驱动开发，程序运行后的效果如下：
1 前置概念 关于Windows Access Token Windows Access Token(访问令牌)，它是一个描述进程或者线程安全上下文的一个对象。每个用户登录计算机都会产生一个AcessToken以用于创建进程和线程，用户注销以后会将主令牌切换成模拟令牌，也就是授权令牌和模拟令牌，不会清除令牌，只有重启才会。 两种类型的Token Delegation token(授权令牌):用于交互会话登录(例如本地直接登录、rdp login 、psexec ) Impersonation token
Windows编程之进程遍历 PS: 主要扣代码使用,直接滑动到最下面使用. 遍历进程需要几个API,和一个结构体 1.创建进程快照 2.遍历首次进程 3.继续下次遍历 4.进程信息结构体 API 分别是: 1.创建进程快照 HANDLE WINAPI CreateToolhelp32Snapshot( 进程快照API DWORD dwFlags, 遍历的标志,表示你要遍历什么(进程,模块,堆...) DWORD t
进程是操作系统最重要的一个概念。对大多数操作系统内的进程能并发执行，他们可以动态创建和删除，因此操作系统必须提供某种机制以创建和终止进程。
在python中可以通过os.fork()创建子进程，但是这种方式只能在linux，unix，mac下面使用，不能跨平台，所以一般不推荐使用这种方式。Python提供了一个multiprocessing模块来创建多进程，这种方式写起来更简单，且支持跨平台，一般推荐使用multiprocessing模块来创建多线程。
Java并发编程：如何创建线程？ 在前面一篇文章中已经讲述了在进程和线程的由来，今天就来讲一下在Java中如何创建线程，让线程去执行一个子任务。下面先讲述一下Java中的应用程序和进程相关的概念知识，然后再阐述如何创建线程以及如何创建进程。下面是本文的目录大纲： 一.Java中关于应用程序和进程相关的概念 二.Java中如何创建线程 三.Java中如何创建进程 若有不正之处，请多多谅解并欢迎批评指正。 请尊重作者劳动成果，转载请标明原文链接： http://www.cnblog
Node.js 的单线程模型给了它无数的赞美，也带给它无数的诟病。单线程模型，让开发者远离了线程调度的复杂性，使用事件驱动也能开发出一个高并发的服务器；同样也是因为单线程，让CPU密集型计算应用完全不适用。
Linux Daemon（守护进程）是运行在后台的一种特殊进程。它独立于控制终端并且周期性地执行某种任务或等待处理某些发生的事件。它不需要用户输入就能运行而且提供某种服务，不是对整个系统就是对某个用户程序提供服务。
前言 上周，360发布了海莲花的报告，数据收集，分析，解释，加工方面很能让人折服，但是看了其对所谓OceanLotus Encryptor样本的分析，和我自己观查到的，我觉得有些地方描述的不正确，而且其对病毒攻击流程的分析语焉不详——一个APT攻击报告不能详细说明其攻击流程，其他数据分析的再好我觉得都是没有说服力。 很多地方看似是语法错误导致的，其实是其并没有完全分析清楚攻击流程所导致的，比如 : 另外关于64位强密匙绕过杀软，其实质就是OceanLotus Encryptor 在创建进程时候的用到
CreateProcess在3环最终会调用ntdll!NtCreateUserProcess通过syscall进入0环，我们可以通过调用NtCreateUserProcess来规避AV/EDR对CreateProcess的监控
进程，是计算机中的程序关于某数据集合上的一次运行活动，是系统进行资源分配和调度的基本单位，是操作系统结构的基础。它的执行需要系统分配资源创建实体之后，才能进行。举个例子：我们所写的程序，在运行的时候它也是一个进程。
multiprocessing 是一个支持使用与 threading 模块类似的 API 来产生进程的包。 multiprocessing 包同时提供了本地和远程并发操作，通过使用子进程而非线程有效地绕过了 全局解释器锁。 因此，multiprocessing 模块允许程序员充分利用给定机器上的多个处理器。 它在 Unix 和 Windows 上均可运行。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
