Bxx9 Parity是个集中控制式的应用程序白名单系统,可以配置多种阻断策略(放行、询问、全部阻止),禁止白名单以外的PE文件加载,遇到过的朋友肯定明白。 在单机上部署的客户端由一个服务进程parity.exe和驱动parity.sys组成,经过测试发现结束服务进程parity.exe就可以终止单机上的保护,缺点是会在控制服务器上留下记录,不过这东西不出事情的情况下估计也没人会去看。 结束服务进程的方法用了ProcessHacker做测试,加上nokph作为参数不加载驱动ProcessHacker自身驱动。实现代码大部分是ProcessHacker里扣的,特此说明。 这东西主要在安装了Parity的服务器上使用,对策略的等级有一定限制,并非百分百能成功。自己写个服务小程序,调用代码编译出的exe,用sc给系统加服务。利用已有账户重启服务器,parity.exe折腾几下就结束了,导密码神马的就又可以了。 【说明】 1.实用不高深系列是指这东西着实没有什么技术含量 2.前阵子这公司被渗透,私钥泄露,用Bxx9私钥签名的exe默认可以无视白名单加载看这里 3.经测试,用傀儡进程RunPE方式也可以过Parity,不过需要配合漏洞用ShellCode方式实现RunPE,当时是想用mrinfo的参数溢出来做的,好处是可以无视任何阻断策略,缺点是实现难度有点大 4.不同Windows系统版本需要不同的结束进程方式,XP下面是进程清零,Server2008和Win7上就是干句柄了。附件代码针对后者,XP系统代码也保留了
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!