EDRs

EDRs 该仓库包含在红队演练中可能有用的 EDR 相关信息。 patchsyscalldynamically64.c 这个概念验证程序会动态解析系统调用 ID，无需检查远程主机上运行的版本。为了获取磁盘上（未被篡改的）信息，会调用 CreateFileMapping 和 MapViewOfFile Windows API。然后解析 DLL 以获取数据，并用其修补正在运行的代码。 patchsyscall64.c 这个概念验证程序会修补代码中指定的系统调用 ID。随后使用硬编码的系统调用 ID 修补 DLL 的运行版本，并恢复到原始未修补状态。 getsyscall64.c 该工具用于获...

MagicSigner

MagicSigner 用于 signtool 的补丁 DLL，允许使用过期证书进行签名 用法 只需将 XmlLite.dll 放在 signtool.exe 旁边即可 演示 使用 MagicSigner 之前 使用 MagicSigner 之后 替代方案 你也可以直接将计算机的时钟调回去。但这需要管理员权限，并且往往会破坏其他应用程序，因为它会使 TLS 连接（如 HTTPS）当时使用的所有证书失效。 如何防范 只需应用 Microsoft 易受攻击的驱动程序阻止列表，其中包含所有已知的泄露证书。 许可证 BSD 零条款许可证 版权所有 c 2023 namazso...