shellcode持久化工具 -- SharpEventPersist

shellcode持久化工具 -- SharpEventPersist
2023-5-11 08:10:7 Author: 系统安全运维(查看原文) 阅读量:30 收藏

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。

0x01 工具介绍

通过从事件日志中写入/读取 shellcode 来实现持久化。

0x02 安装与使用

harpEventPersist 工具采用 4 个区分大小写的参数：

-file "C:\path\to\shellcode.bin"-instanceid 1337-source Persistence-eventlog "Key Management Service".

shellcode 转换为十六进制并写入“密钥管理服务”，事件级别设置为“信息”，源为“持久性”。

运行 SharpEventLoader 工具从事件日志中获取 shellcode 并执行它。理想情况下，这应该转换为 DLL 并在程序启动/启动时侧载。

如果未使用默认值运行，请记住更改加载程序中的事件日志名称和 instanceId。

默认值将留下以下工件：

1、一个新的密钥将被写入名为“Persistance”的 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Key Management Service。2、这个新的“Persistance”键将没有默认键“KmsRequests”所具有的提供程序 GUID 或 TypesSupported。这可用于构建检测。

0x03 项目链接下载

https://github.com/improsec/SharpEventPersist

如有侵权，请联系删除

好文推荐

神兵利器 | 附下载 · 红队信息搜集扫描打点利器

神兵利器 | 分享直接上手就用的内存马（附下载）

推荐一款自动向hackerone发送漏洞报告的扫描器

欢迎关注系统安全运维

文章来源: http://mp.weixin.qq.com/s?__biz=Mzk0NjE0NDc5OQ==&mid=2247520520&idx=1&sn=12aa05a7f0cfbd067869ed12b0721a9d&chksm=c3084278f47fcb6eac787e288542d7687a6a3e0f7cdca833d2c0fbe9af84db65c386b993354f#rd
如有侵权请联系:admin#unsafe.sh