图7.XOR加密的有效载荷 最终，有效载荷将以无文件的形式注入“C:\Windows\system32\svchost.exe”进程。...图8.将后门注入svchost.exe 由于Windows任务管理中时刻都运行着大量的svchost.exe进程，因此大多数用户都不太可能会注意到什么时候多出了一个这样的进程，进而也就不会注意到后门的存在...此外，加载程序还被配置为在用户登录Windows时启动，这将允许后门的新版本被下载以及注入svchost.exe进程。 ?
引言 进程是大多数系统的工作单元，可以将进程看作执行的程序。虽然在传统操作系统中进程包括线程，但其实在一些RTOS中，线程、任务和进程的概念都很模糊，可以说进程≈线程＝任务。...一个程序可对应一个或多个进程 一个进程可对应一个或多个程序 程序是进程的代码部分 进程是活动实体，程序静止（被动）实体 进程在内存，程序在外存 程序是静态的，就是个存放在磁盘里的可执行文件，就是一系列的指令集合...进程是动态的，是程序的一次执行过程（同一程序多次执行会对应多个进程） 当一个可执行文件被加载到内存时，这个程序就成为进程。 虽然两个进程可以与同一程序相关联，但是当作两个单独的执行序列。...进程状态 进程在执行时会改变状态，进程状态，部分取决于进程的当前活动，每个进程可能处于以下状态： 新建：在创建进程 运行：指令在执行 等待：进程等待某些事件发生 就绪：进程等待分配处理器 终止：进程执行完毕...进程控制块 操作系统内的每个进程表示，采用进程控制块（PCB），也称为任务控制块。
什么是守护进程? 守护进程(Daemon) 是一种在后台运行的特殊进程， 它独立于控制终端并且周期性地执行某种任务或等待处理某些发生的事件。守护进程常常在系统启动时开始运行， 在系统关闭时才结束。...守护进程的创建步骤 创建一个守护进程通常需要以下步骤： 创建子进程， 父进程退出 在子进程中创建新会话 改变当前工作目录 重设文件权限掩码 关闭打开的文件描述符 1....创建子进程， 父进程退出 这一步通过 fork() 系统调用来实现。父进程退出后， 子进程成为孤儿进程， 被 init 进程(PID 为 1 的进程) 收养。...在子进程中创建新会话 使用 setsid() 函数创建新的会话， 使子进程成为新会话的首进程。这样可以确保进程不再与原来的控制终端相关联。...Service 守护进程的调试 调试守护进程可能比调试普通进程更具挑战性，因为它们在后台运行且没有控制终端。
PS: 这篇博客里提到的两个小软件（ Unlocker RegisterCrawler ) 都是非常有用又小巧的工具，前者可以判断任何一个进程的关联文件，结束进程后删除文件。
多个服务共享一个Svchost.exe进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务...windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。...既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？...ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。...，需要重起计算机或者该组的svchost进程。
步骤3：pid 888 是什么？...由于网络连接到ip 192.168.1.2 是pid 888发起的，我们需要确定pid 888相关的进程是什么，“psscan”显示pid 888属于svchost.exe。...步骤4：YARA扫描 通过YARA对导出的内存进行扫描，发现连接到这个域名的的进程属于svchost.exe（pid 888）.这确定svchost.exe 向域名“web3inst.com”发起连接。...步骤5：svchost.exe中可疑的互斥量 现在我们知道svchost.exe进程（pid 888）向域名“web3inst.com”发起连接。...步骤7：svchost.exe 的文件句柄 Svchost.exe的文件句柄跟两个可疑的文件有关（DLL和驱动文件）。如下图所示下面的截图显示这两个都是“TDSS”启动的文件。
做个简单的比喻：进程=火车，线程=车厢 线程在进程下行进（单纯的车厢无法运行） 一个进程可以包含多个线程（一辆火车可以有多个车厢） 不同进程间数据很难共享（一辆火车上的乘客很难换到另外一辆火车，比如站点换乘...） 同一进程下不同线程间数据很易共享（A车厢换到B车厢很容易） 进程要比线程消耗更多的计算机资源（采用多列火车相比多个车厢更耗资源） 进程间不会相互影响，一个线程挂掉将导致整个进程挂掉（一列火车不会影响到另外一列火车...，但是如果一列火车上中间的一节车厢着火了，将影响到所有车厢） 进程可以拓展到多机，进程最多适合多核（不同火车可以开在多个轨道上，同一火车的车厢不能在行进的不同的轨道上） 进程使用的内存地址可以上锁，即一个线程使用某些共享内存时...（比如火车上的洗手间）－"互斥锁" 进程使用的内存地址可以限定使用量（比如火车上的餐厅，最多只允许多少人进入，如果满了需要在门口等，等有人出来了才能进去）－“信号量”
自动恢复指令，就是当系统发现进程被kill后，会自动执行此处指令自动恢复指令一般是用于恢复启动进程的命令，也可以是其它的处理逻辑自动恢复指令，v3.4.6开始，支持进程下线后，自动触发恢复指令或脚本，agent...会在检测到进程下线后自动执行用户输入的指令指令输入可以输入多条指令，多条指令换行输入就可以图片图片
有的时候博客内容会有变动，首发博客是最新的，其他博客地址可能会未同步,认准https://blog.zysicyj.top 资源分配：每个进程都有独立的内存空间，而线程共享所属进程的内存空间。...调度：操作系统需要对多个进程进行调度，决定哪个进程可以执行，哪个进程需要等待；而线程的调度也是由操作系统进行管理，决定哪个线程可以执行，哪个线程需要等待。...通信：不同进程之间需要进行通信，操作系统提供了多种进程间通信的机制；线程之间可以方便地进行通信，共享数据，但也需要注意线程安全的问题。 本文由 mdnice 多平台发布
linux中进程和线程到底是什么？进程是一个实体。每一个进程都有他自己的内存地址段(heap,stack等等)进程是执行中的程序。...单线程的进程可以简单的认为只有一个线程的进程。一个进程在同一时间只做一件事，有了多线程后一个进程同一时间可以做多件事。每个线程可以处理不同的事务。...进程内所有的信息对于线程都是共享的，包括执行代码，全局变量，和堆内存，栈以及文件描述符。线程标识–就像每个进程有个进程ID一样，线程也有自己的ID。...–线程可以通过pthread_self()函数获得自身的线程ID线程创建–在进程中只有一个控制线程–程序开始运行的时候每个进程只有一个线程，它是以单线程方式启动的，在创建多个线程以前，进程的行为与传统的进程没有区别...–如果信号默认动作是终止进程，那么信号发送到该进程，整个进程也会被终止。单个线程通过以下三种方式退出–线程只是从启动函数中返回，返回值是线程的退出码–线程可以被同一进程中的其他线程取消。
，我们可以先看一下，因为别的基本是系统进程。...中找到的flag是什么 6 某公司内网网络被黑客渗透，请分析流量，黑客找到的数据库密码是多少 7 某公司内网网络被黑客渗透，请分析流量，黑客在数据库中找到的hash_code是什么 8 某公司内网网络被黑客渗透...，请分析流量，黑客破解了账号ijnu@test.com得到的密码是什么 9 某公司内网网络被黑客渗透，请分析流量，被黑客攻击的web服务器，网卡配置是是什么，提交网卡内网ip 10 某公司内网网络被黑客渗透...ip.src==10.3.3.101 and tcp contains "hash_code" 追踪tcp流， （8）黑客破解了账号ijnu@test.com得到的密码是什么 在webtwo.pcap...，但它不能检测到隐藏或者解链的进程，psscan可以 pstree：以树的形式查看进程列表，和pslist一样，也无法检测隐藏或解链的进程 psscan：可以找到先前已终止(不活动)的进程以及被rootkit
通过一个 FSO 创建了一个名为 svchost.exe 的文件，然后将 WriteData 中的内容写入了 svchost.exe 文件内。...用过 Windows 应该都知道 svchost.exe 是一个系统文件，而且开机以后进程管理器中有很多，一般人都不敢轻易结束这个进程。...然后注意观察，写入的数据开头前 4 个字符是 4D5A，其实了解些软件安全的应该都知道这是什么。在 Windows 下的可执行文件开头前两个字节的十六进制就是 4D5A，即 MZ 头。...svchost.exe 虽然不能运行，但是我猜测应该是一个下载器，也就是它本身不具备什么破坏的功能，但是它会从网上下载一堆病毒回来祸祸你的系统。...遇到这种无法执行的病毒也还算运气好，如果能运行，且没有被杀软查杀，让那个所谓的 svchost.exe 执行了，就麻烦了。开发人员还是注意点吧，如果真的给客户带来麻烦，那么这个锅估计也不好甩出去吧！
· 读取进程也可能工作得比写进程快。当所有当前进程数据已被读取时，管道变空。...如果同时满足上述条件，写入函数首先锁定内存，然后从写进程的地址空间中复制数据到内存。否则，写入进程就休眠在 VFS 索 引节点的等待队列中，接下来，内核将调用调度程序，而调度程序会选择其他进程运行。...写入进程实际处于可中断的等待状态，当内存中有足够的空间可以容纳写入 数据，或内存被解锁时，读取进程会唤醒写入进程，这时，写入进程将接收到信号。...但是，进程可以在没有数据或内存被锁定时立即返回错误信息，而不是阻塞该进程，这依赖于文件或管道的打开模式。反之，进程可 以休眠在索引节点的等待队列中等待写入进程写入数据。...当所有的进程完成了管道操作之后，管道的索引节点被丢弃，而共享数据页也被释放。
这个win7的svchost.exe很占内存的，如图： 解决方法： 1 调出任务管理器，找到服务这一栏，点击右下角服务： 2 找到windows update项，右键 - 属性 - 设为禁用：
所以判断应该是什么进程被防火墙阻止了。...windows2008的解决办法：需要在防火墙中开启相应的连接许可，进入“控制面板 》系统和安全 》Windows 防火墙 》允许的程序”，在“允许另一个程序”中添加 “C:WindowsSystem32svchost.exe...这个程序，添加完成即可 2、在windows2008服务器端设置： 控制面板 》系统和安全 》Windows 防火墙 》允许的程序”，在“允许另一个程序”中添加 “C:WindowsSystem32svchost.exe
但是，如果系统中有多个同名的进程（如svchost.exe），我们可以用以类似图1所示的命令进行查找： ?...而我们修改过的taskmods.py模块为其添加了一个新的选项，即通过进程名来添加一个进程或进程列表，如图3： ?...现在我们只需要简单地给出svchost.exe进程名，就可以得到由该进程加载的DLL文件列表。...如果系统中运行着非标准svchost.exe进程，该命令同样会将其显示出来，命令如下： vol.py -f 7re-912d4ad7.vmem --profileWin7SP1x64 dlllist...-n svchost.exe 得到如下输出： ?
固定用法：.process /p /r 进程物理地址; !...process 进程物理地址 7 参考https://cloud.tencent.com/developer/article/1927567，用!...exe ============== ================ =========================== PID Address Name 进程信息毕竟有限...，实在没思路的话，按开头那个固定用法把可疑的进程遍历一遍也无妨 0x1344 0n4932 ffffed8bd2a9e200 pskill64.exe .process /p /r ffffed8bd2a9e200...继而不断查看父进程，最终看到调用路径是这样的： process-controller.exe → hython.exe → cmd.exe → pskill64.exe 其实，这个case从一开始能看到
攻击检测 WMI攻击检测 谢公子学安全 讲在前面 作者：pingpig@深蓝攻防实验室 在前面的文章中我们讲了：WMI讲解(是什么，做什么，为什么) WMI利用(横向移动)...做好进程监控，监测”wmic.exe“的命令行参数及其执行的命令。...Windows EventLog Windows中对于WMIC的检测有两个关键日志： - EventCode 4648 — 尝试使用显式凭据登录 - EventCode 4688 / SysmonID 1 — 进程创建...(wmic.exe) wmic执行命令 在域内客户机上执行wmic远程命令 wmic创建事件 当创建wmi事件时出现了4648和4688日志 4648日志出现，调用程序svchost.exe...当wmic执行时，以上述例子为例，可以看到命令执行成功前后出现了3个日志，这也和wmic的执行流程有关，我们可以参考下图： 上图咱们可以结合WMI讲解篇进行理解，WMIC操作时会先由svchost.exe
威胁参与者如何利用计划任务存储在注册表中的缺陷来隐藏它们的存在，这清楚地表明所呈现的漏洞很可能不是影响计划任务组件的唯一缺陷，我们开始研究如何滥用计划任务的注册表结构来实现各种目标，例如:横向移动和持久性 具体来说我们调查了创建任务的最低条件是什么...此外还添加了一个定期扫描新线程的逻辑，因为调度程序服务新创建的线程不会受到这种绕过 修改后的PoC被编译为Windows DLL并注入到托管调度程序服务的 svchost.exe进程中，以下视频显示了攻击的结果...： 可以看出在攻击之前，在执行或修改任务之后会按预期生成各种事件，但是在将恶意DLL注入目标svchost进程后，没有更多事件发送到事件日志 尽管视频显示了使用进程黑客执行DLL注入，但在现实生活场景中...，因为任务计划程序启动的所有进程都将具有特定的 svchost 作为父进程 从狩猎和检测的角度来看，寻找影响本文中提到的并非源自 svchost 进程的密钥的注册表操作可能是发现执行此攻击的攻击者的好方法...下面的第一张图片显示了从 svchost 生成的良性事件： 此图显示了类似的注册表操作，但由reg.exe进程而不是svchost 执行： 不言而喻，攻击者可以轻松生成 svchost 进程或注入现有进程来执行此攻击
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
