天融信阿尔法实验室 » APT攻防研究 https://blog.topsec.com.cn 研究与分享 Mon, 16 Mar 2026 03:36:36 +0000 zh-CN hourly 1 http://wordpress.org/?v=3.8 ATT&CK 之防御逃逸 https://blog.topsec.com.cn/attck-%e4%b9%8b%e9%98%b2%e5%be%a1%e9%80%83%e9%80%b8/ https://blog.topsec.com.cn/attck-%e4%b9%8b%e9%98%b2%e5%be%a1%e9%80%83%e9%80%b8/#comments Wed, 25 Dec 2019 08:11:54 +0000 http://blog.topsec.com.cn/?p=4223 一、前言 基于MITRE ATT&CK框架中关于“防御逃逸”（Defense Evasion）的战术专题，笔者将深入介绍其中大部分防御逃逸手段的技术原理、检测方法及缓解方案，为求简洁直观的表达其技术原理，本文对部分战术的实现提供了演示性的代码。 其实在学习MITRE ATT&CK框架并一个个实现其原理的过程中，就会发现我们慢慢的对攻击者的攻击思路和攻击方向有了更清晰的认识，并逐步了解他们是如何发现新的攻击手段的。例如在本次的防御逃逸专题中有个应用程序白名单绕过，攻击者总会在Windows系统上找到一些被系统或杀软信任而不会进行限制的应用程序，这些应用通常是被大家忽视或不[......]

Read more

]]> https://blog.topsec.com.cn/attck-%e4%b9%8b%e9%98%b2%e5%be%a1%e9%80%83%e9%80%b8/feed/ 0 ATT&CK之后门持久化 https://blog.topsec.com.cn/attack%e4%b9%8b%e5%90%8e%e9%97%a8%e6%8c%81%e4%b9%85%e5%8c%96/ https://blog.topsec.com.cn/attack%e4%b9%8b%e5%90%8e%e9%97%a8%e6%8c%81%e4%b9%85%e5%8c%96/#comments Fri, 09 Aug 2019 08:55:38 +0000 http://blog.topsec.com.cn/?p=4005 前言 在网络安全的世界里，白帽子与黑帽子之间无时无刻都在进行着正与邪的对抗，似乎永无休止。正所谓，道高一尺魔高一丈，巨大的利益驱使着个人或组织利用技术进行不法行为，花样层出不穷，令人防不胜防。 为了更好的应对这些攻击手段，就需要做到了解对手。俗话说：知己知彼，方能百战不殆。MITRE ATT&CK™就提供了全球范围的黑客的攻击手段和技术知识点，并把APT组织或恶意工具使用到的攻击手段一一对应，便于从根源上解决问题。许多公司和政府部门都会从中提取信息，针对遇到的威胁建立安全体系或模型。我们作为安全从业人员，如果能够掌握MITRE ATT&CK™如此庞大的知识体系，对以后的[......]

Read more

]]> https://blog.topsec.com.cn/attack%e4%b9%8b%e5%90%8e%e9%97%a8%e6%8c%81%e4%b9%85%e5%8c%96/feed/ 0 Linux下的Rootkit驻留技术分析 https://blog.topsec.com.cn/linux%e4%b8%8b%e7%9a%84rootkit%e9%a9%bb%e7%95%99%e6%8a%80%e6%9c%af%e5%88%86%e6%9e%90/ https://blog.topsec.com.cn/linux%e4%b8%8b%e7%9a%84rootkit%e9%a9%bb%e7%95%99%e6%8a%80%e6%9c%af%e5%88%86%e6%9e%90/#comments Wed, 07 Nov 2018 05:40:08 +0000 http://blog.topsec.com.cn/?p=3632 Linux作为服务器和IoT设备使用的主要操作系统,针对它的恶意软件也层出不穷。针对Linux设备的恶意软件（以下称为rootkit）通常需要长期驻留于目标操作系统以达到获利目的，所以如何实现驻留也是Linux rootkit作者的重点考虑内容之一，对此，天融信阿尔法实验室进行了可能的思路探索和分析。 在接下来的说明中，我们统一使用一个名为evil的静态链接ELF文件作为我们要实现驻留的rootkit，所有的驻留尝试均围绕这个程序展开。

技术汇总

1. 用户态下的可利用点

1.1 各种init的利用

Linux init

在systemd成为主流之前，sysvinit是大多数发[......]

Read more

]]> https://blog.topsec.com.cn/linux%e4%b8%8b%e7%9a%84rootkit%e9%a9%bb%e7%95%99%e6%8a%80%e6%9c%af%e5%88%86%e6%9e%90/feed/ 0 基于taskmgr的应用层进程隐藏技术 https://blog.topsec.com.cn/%e5%9f%ba%e4%ba%8etaskmgr%e7%9a%84%e5%ba%94%e7%94%a8%e5%b1%82%e8%bf%9b%e7%a8%8b%e9%9a%90%e8%97%8f%e6%8a%80%e6%9c%af/ https://blog.topsec.com.cn/%e5%9f%ba%e4%ba%8etaskmgr%e7%9a%84%e5%ba%94%e7%94%a8%e5%b1%82%e8%bf%9b%e7%a8%8b%e9%9a%90%e8%97%8f%e6%8a%80%e6%9c%af/#comments Thu, 22 Dec 2016 10:00:17 +0000 http://blog.topsec.com.cn/?p=2114 目前进程隐藏技术网上流程的主要是在驱动层进行挂钩，但是由于win7之后，windows操作系统权限管理之类越来越严格，win7之后加载驱动首先需要管理员权限，另外windows加载驱动同时还需要有微软签发的驱动证书，这对于土八路来说基本是一个无解的难题，基本难以弄到正规公司的签证，同时，逆向windows的签证管理系统工作量太大，目前网上也没有签证伪造技术流传。   相对驱动层来说，直接hook的ssdt表或者直接修改内核函数都较为方便，在应用层的话，其原理也是改写功能实现函数，从思路角度说，可以改写taskmgr.exe的txt段，导入表，对dll的[......]

Read more

]]> https://blog.topsec.com.cn/%e5%9f%ba%e4%ba%8etaskmgr%e7%9a%84%e5%ba%94%e7%94%a8%e5%b1%82%e8%bf%9b%e7%a8%8b%e9%9a%90%e8%97%8f%e6%8a%80%e6%9c%af/feed/ 0 攻防对抗之杀软穿透驱动揭秘 https://blog.topsec.com.cn/%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97%e4%b9%8b%e6%9d%80%e8%bd%af%e7%a9%bf%e9%80%8f%e9%a9%b1%e5%8a%a8%e6%8f%ad%e7%a7%98/ https://blog.topsec.com.cn/%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97%e4%b9%8b%e6%9d%80%e8%bd%af%e7%a9%bf%e9%80%8f%e9%a9%b1%e5%8a%a8%e6%8f%ad%e7%a7%98/#comments Fri, 23 Sep 2016 05:17:05 +0000 http://blog.topsec.com.cn/?p=2066 1.1 穿透驱动的引出定义和历史 最早国内的杀软市场还是瑞星、金山、江民三分天下，借助PC时代红利的爆发。最鼎盛时瑞星一年靠软件能卖7亿元,个人级产品几乎垄断当时的市场。没有金刚钻不揽瓷器活，作为杀毒软件在与病毒木马后门搏斗的过程中打的过对方的保证便是率先加载于系统之中的底层驱动，这些底层驱动中有一个通用的驱动组件叫穿透驱动。 杀毒软件为了达到清理恶意软件的目的也需要对进程文件注册表进程做相对应的强制性的操作。这些对应的强制性的操作一般通过Ring3[......]

Read more

]]> https://blog.topsec.com.cn/%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97%e4%b9%8b%e6%9d%80%e8%bd%af%e7%a9%bf%e9%80%8f%e9%a9%b1%e5%8a%a8%e6%8f%ad%e7%a7%98/feed/ 0 关注利用伪基站+钓鱼网站获取受害者信息的攻击 https://blog.topsec.com.cn/%e5%85%b3%e6%b3%a8%e5%88%a9%e7%94%a8%e4%bc%aa%e5%9f%ba%e7%ab%99%e9%92%93%e9%b1%bc%e7%bd%91%e7%ab%99%e8%8e%b7%e5%8f%96%e5%8f%97%e5%ae%b3%e8%80%85%e4%bf%a1%e6%81%af%e7%9a%84%e6%94%bb%e5%87%bb/ https://blog.topsec.com.cn/%e5%85%b3%e6%b3%a8%e5%88%a9%e7%94%a8%e4%bc%aa%e5%9f%ba%e7%ab%99%e9%92%93%e9%b1%bc%e7%bd%91%e7%ab%99%e8%8e%b7%e5%8f%96%e5%8f%97%e5%ae%b3%e8%80%85%e4%bf%a1%e6%81%af%e7%9a%84%e6%94%bb%e5%87%bb/#comments Fri, 15 Apr 2016 06:54:00 +0000 http://blog.topsec.com.cn/?p=1877 0x0 什么是伪基站

“伪基站”即假基站，设备一般由主机和笔记本电脑组成，通过短信群发器、短信发信机等相关设备能够搜取以其为中心、一定半径范围内的手机卡信息，通过伪装成运营商的基站，冒用他人手机号码强行向用户手机发送诈骗、广告推销等短信息。

骗子通常利用伪基站把自己伪装成运营商（电信、移动 10086 、联通 10010）甚至伪装成银行“工行95588”、“建行95533”等宣称您的账户溢满xx积分，可兑换xx现金，要求用户通过手机登陆某个网站、进行积分查询和兑换。最近在我们公司附近，就出现了多次利用伪基站发送钓鱼网址的情形，以下是昨天下午我们对该类一事件的跟踪和分析。

0x1 Fa[......]

Read more

]]> https://blog.topsec.com.cn/%e5%85%b3%e6%b3%a8%e5%88%a9%e7%94%a8%e4%bc%aa%e5%9f%ba%e7%ab%99%e9%92%93%e9%b1%bc%e7%bd%91%e7%ab%99%e8%8e%b7%e5%8f%96%e5%8f%97%e5%ae%b3%e8%80%85%e4%bf%a1%e6%81%af%e7%9a%84%e6%94%bb%e5%87%bb/feed/ 0 IE漏洞攻防编年简史 https://blog.topsec.com.cn/ie%e6%bc%8f%e6%b4%9e%e6%94%bb%e9%98%b2%e7%bc%96%e5%b9%b4%e7%ae%80%e5%8f%b2/ https://blog.topsec.com.cn/ie%e6%bc%8f%e6%b4%9e%e6%94%bb%e9%98%b2%e7%bc%96%e5%b9%b4%e7%ae%80%e5%8f%b2/#comments Wed, 20 Jan 2016 08:14:48 +0000 http://blog.topsec.com.cn/?p=1588 Read more

]]> https://blog.topsec.com.cn/ie%e6%bc%8f%e6%b4%9e%e6%94%bb%e9%98%b2%e7%bc%96%e5%b9%b4%e7%ae%80%e5%8f%b2/feed/ 0 阿尔法实验室针对典型钓鱼攻击的溯源与反控制 https://blog.topsec.com.cn/%e9%98%bf%e5%b0%94%e6%b3%95%e5%ae%9e%e9%aa%8c%e5%ae%a4%e9%92%88%e5%af%b9%e5%85%b8%e5%9e%8b%e9%92%93%e9%b1%bc%e6%94%bb%e5%87%bb%e7%9a%84%e6%ba%af%e6%ba%90%e4%b8%8e%e5%8f%8d%e6%8e%a7%e5%88%b6/ https://blog.topsec.com.cn/%e9%98%bf%e5%b0%94%e6%b3%95%e5%ae%9e%e9%aa%8c%e5%ae%a4%e9%92%88%e5%af%b9%e5%85%b8%e5%9e%8b%e9%92%93%e9%b1%bc%e6%94%bb%e5%87%bb%e7%9a%84%e6%ba%af%e6%ba%90%e4%b8%8e%e5%8f%8d%e6%8e%a7%e5%88%b6/#comments Wed, 30 Dec 2015 10:19:08 +0000 http://blog.topsec.com.cn/?p=1479 一、钓鱼邮件   图片1

识别要点：
  1. 发件人并非本公司的邮箱；
  2. 收件人的邮箱与收件人不匹配，仔细观察，发现管理员administrator,成为了admlnistnator,这也是一个钓鱼邮件的细节；
  3. 更重要的是这里出现了要求填写个人各种信息的内容，更加明确了这就是一封垃圾邮件。

图片2_meitu_1

这封邮件的欺骗程度更高！
  1. 仔细观察发件人的邮箱是某地方银行监督委员会的，它对于某[......]

Read more

]]> https://blog.topsec.com.cn/%e9%98%bf%e5%b0%94%e6%b3%95%e5%ae%9e%e9%aa%8c%e5%ae%a4%e9%92%88%e5%af%b9%e5%85%b8%e5%9e%8b%e9%92%93%e9%b1%bc%e6%94%bb%e5%87%bb%e7%9a%84%e6%ba%af%e6%ba%90%e4%b8%8e%e5%8f%8d%e6%8e%a7%e5%88%b6/feed/ 0 TrueCrypt与CryptSetup双系统全盘加密(图文) https://blog.topsec.com.cn/truecrypt%e4%b8%8ecryptsetup%e5%8f%8c%e7%b3%bb%e7%bb%9f%e5%85%a8%e7%9b%98%e5%8a%a0%e5%af%86%e5%9b%be%e6%96%87/ https://blog.topsec.com.cn/truecrypt%e4%b8%8ecryptsetup%e5%8f%8c%e7%b3%bb%e7%bb%9f%e5%85%a8%e7%9b%98%e5%8a%a0%e5%af%86%e5%9b%be%e6%96%87/#comments Wed, 28 Oct 2015 02:35:49 +0000 http://blog.topsec.com.cn/?p=1158 By kernux TopSec α-lab 选取无系统硬盘进行说明。

1. 首先在硬盘上安装Windows系统，过程简单，直接光盘启动电脑，或者PE安装，都可以。

2. 安装完成Windows后，开始安装Kali Linux。同样光盘启动电脑，或者U盘启动，进入安装后，具体分区过程如下：

1.0 选择Manual后 1.1.1 第一个是Windows分区，后面是空闲空间，在这里建立一个boot分区 1 再建立一个加密分区，选择Configure　encryted  volumes 2 3 1 5 7 8 然后开始擦出分区信息，如果是新硬盘[......]

Read more

]]> https://blog.topsec.com.cn/truecrypt%e4%b8%8ecryptsetup%e5%8f%8c%e7%b3%bb%e7%bb%9f%e5%85%a8%e7%9b%98%e5%8a%a0%e5%af%86%e5%9b%be%e6%96%87/feed/ 0 隐藏在windbg下面的攻防对抗 https://blog.topsec.com.cn/%e9%9a%90%e8%97%8f%e5%9c%a8windbg%e4%b8%8b%e9%9d%a2%e7%9a%84%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97/ https://blog.topsec.com.cn/%e9%9a%90%e8%97%8f%e5%9c%a8windbg%e4%b8%8b%e9%9d%a2%e7%9a%84%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97/#comments Thu, 02 Jul 2015 08:43:03 +0000 http://blog.topsec.com.cn/?p=668 1 关于驱动底层操作的监控调试 一般在进行常规的ring0级别的windows调试的时候都会使用windbg。但是有的时候windbg中断过于频繁，比方说经常会出现这样的场景，需要追踪一个特定的被删除的文件backdoor.exe，backdoor.exe被杀毒软件删除掉了，想观察到backdoor.exe被删除的完整的栈回溯。这个时候使用ollydbg进行追踪下断或者使用官方的监控工具procmon.exe往往是徒劳的。一般来说杀毒软件都是通过deviceiocontrol下发相关的iocode，ring0层的穿越驱动通过解析iocode和它的buffer来确定删除的文件。国内杀毒软件的穿[......]

Read more

]]> https://blog.topsec.com.cn/%e9%9a%90%e8%97%8f%e5%9c%a8windbg%e4%b8%8b%e9%9d%a2%e7%9a%84%e6%94%bb%e9%98%b2%e5%af%b9%e6%8a%97/feed/ 0