HWSyscalls

HWSyscalls 主要贡献者 描述 HWSyscalls 是一种使用 3 个主要组件来执行间接系统调用（indirect syscalls）的新方法： 使用硬件断点（Hardware breakpoints）和向量化异常处理程序（Vectored Exception Handler）来控制执行流程。 使用 HalosGate 来查找系统调用编号和地址。 在 kernel32 上利用硬件断点创建合成蹦床（synthetic trampoline）。 HWSyscalls 作为一个易于集成的库提供，可添加到任何想要使用间接系统调用、且不会触发基于现有间接系统调用检测方式的 EDR 或 A...

ExecIT

ExecIT 描述 基于 HWSyscalls 的 DLL Shellcode 自注入器/运行器，最适合通过 rundll32 执行。如果受害端点能够访问攻击者控制的 SMB 共享，则可能实现无文件执行。 用法 rundll32.exe ExecIT.dll, HelperFunc, 检测 截至目前此提交，它在所有已测试的 EDR 中完全未被检测到（取决于 shellcode）。 例如，针对 Defender for Endpoint EDR： 免责声明...

DllNotificationInjection - A POC Of A New "Threadless" Process Injection Technique That Works By Utilizing The Concept Of DLL Notification Callbacks In Local And Remote Processes

DllNotificationInection is a POC of a new “threadless” process injection technique that works by utilizing the concept of DLL Notification Callbacks in local and remote processes. An accompanying blog post with more details is available here: https://shorsec.io/blog/dll-notification-injection/ Ho...