patriot

Patriot 用于检测各种内存隐身技术的小型研究项目。 下载最新版本 此处。 当前版本支持以下检测： 指向 VirtualProtect 函数的可疑 CONTEXT 结构。（针对 Austin Hudson Foliage 和 Cracked5pider 的 Ekko 的研究）。 验证内存中的 MZ/PE 头，以检测进程空洞化变种。 在高完整性级别运行的无后盾可执行区域。 用于模块践踏/覆盖的已修改代码。 其他各种异常。...

Registry-Recon

Registry-Recon 执行系统/AV/EDR 侦察的 Cobalt Strike Aggressor 脚本。 作者：Jess Hires 描述 作为红队实践者，我们经常使用工具来尝试识别受感染系统的详细信息，并且尽可能以最隐蔽的方式进行。由于使用了 Windows CLI 命令，我们常用的一些工具开始被 EDR 产品标记。本 aggressor 脚本旨在通过仅使用原生注册表查询（不使用 CLI 命令）来探测系统，从而解决该问题。 设置 只需通过脚本管理器将 reg.cna 加载到 Cobalt Strike 中。然后右键单击要执行注册表侦察的 beacon，选择...