在推上看到的一种lolbin持久化技术

显示全部楼层 · 发表于 2024-8-3 13:53:48

https://x.com/Kostastsale/status/1819502728051413039

早在2022年就有文了https://www.hexacorn.com/blog/20 ... l-run-key-part-135/
可以试一下你的HIPS等等有没有监测点。

运行C:\Windows\System32\oobe\Setup.exe时如果无参数会顺带启动C:\Windows\Setup\Scripts\ErrorHandler.cmd。该cmd是payload即可。

显示全部楼层 · 发表于 2024-8-3 14:01:02

本帖最后由 keen-qv 于 2024-8-3 14:26 编辑

看走眼了，编辑编辑，尴尬，谢谢楼下这两哥们儿

显示全部楼层 · 发表于 2024-8-3 14:16:01

本帖最后由 Komeiji-Reimu 于 2024-8-3 14:17 编辑

keen-qv 发表于 2024-8-3 14:01
哥们儿有分享的欲望能理解，但是也得照顾下我们这些想看的欲望，或者直接贴个文件到帖子里这样最好，毕竟那 ...

没有文件可传，技术点都在这个贴子里说明了。

如果这个帖子没懂，那帖原文看来也没什么必要

显示全部楼层 · 发表于 2024-8-3 14:22:34

keen-qv 发表于 2024-8-3 14:01
哥们儿有分享的欲望能理解，但是也得照顾下我们这些想看的欲望，或者直接贴个文件到帖子里这样最好，毕竟那 ...

运行C:\Windows\System32\oobe\Setup.exe时如果无参数会顺带启动C:\Windows\Setup\Scripts\ErrorHandler.cmd。该cmd是payload即可。

这饭不都喂到嘴边了吗

显示全部楼层 · 发表于 2024-8-3 14:39:07

本帖最后由 Komeiji-Reimu 于 2024-8-3 14:40 编辑

当场编辑规则，禁止C:\Windows\Setup\Scripts\ErrorHandler.cmd运行
不过我的Hips里面有批处理执行提示

可以拦截的应该

显示全部楼层 · 发表于 2024-8-3 15:24:14

Komeiji-Reimu 发表于 2024-8-3 06:39
当场编辑规则，禁止C:\Windows\Setup\Scripts\ErrorHandler.cmd运行
不过我的Hips里面有批处理执行提示[:1 ...

那可不一定是批处理。把exe复制进去重命名也是可以的

显示全部楼层 · 发表于 2024-8-3 23:49:00

Jirehlov1234 发表于 2024-8-3 15:24
那可不一定是批处理。把exe复制进去重命名也是可以的

我电脑根本没有这个C:\Windows\Setup\Scripts\ErrorHandler.cmd

显示全部楼层 · 发表于 2024-8-4 00:14:24

QVM360 发表于 2024-8-3 23:49
我电脑根本没有这个C:\Windows\Setup\Scripts\ErrorHandler.cmd

贴子里说是可以当场创建此文件夹与文件

显示全部楼层 · 发表于 2024-8-4 18:25:15

本帖最后由 tdsskiller 于 2024-8-4 21:31 编辑

lolbin现在r3基本不太行，除非你第一个文件就是lolbin。因为直接向敏感文件夹投放文件要过两关，第一个是系统权限，第二是主动防御。https://bbs.kafan.cn/thread-2242131-1-1.html

现在最厉害的还是得起手就是lolbin，比如什么白名单自动更新软件偷偷下马，什么常见软件得配置文件代码执行这一类得
4年前就有了：https://ti.qianxin.com/blog/arti ... t-killing-software/

[其他相关] 在推上看到的一种lolbin持久化技术

评分

评分

评分

评分