|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
扭转时空那里看一下进程路径呗，想验证一下猜想
|
|
|
|
|
|
早期的远程控制，更加倾向于“进得去、出的来、活得久”，例如：BIOS、MBR，自定义通讯协议、或者使用MSN、雅虎通等通讯协议利用第三方服务器转发通讯：
这些10多年前的技术，随着操作系统和EDR的升级完善，基本上已经很难发挥作用（拦截），所以毫无恶意特征行为的服务端更加流行。当然，好的远程控制肯定从来都是无色无味的。 |
|
|
第一个视频应该修改了svchost进程的内存吧 |
|
|
|
|
|
为了实现普通系统的3389多开，用了开源的https://github.com/stascorp/rdpwrap，不知道你说的“修改了svchost进程的内存”是否指这个。除此外并没有插入、修改任何第三方进程的操作。当然，不用rdpwrap也是可以的：https://138soft.com/video/rdpserver.htm。另外，视频里面所有功能并不需要system权限。 |
|
|
不是牛，只是思路当时比较新吧。这个是很久以前的东西了，视频里面的日期（右下角系统时间和浏览器页面时间）是几年前的吧，但实际上是疫情前，为以前的公司（03年毕业后在里面做了十年，7楼截图里是期间的一部分作品吧，2014年后进入一家游戏公司工作就没再从事安全行业了）写的一个思路和细节文档。几年前，另外一个朋友开了一家公司，让我帮忙写一个单连接的DEMO给他招的新手学习，所以写了一个框架， 这个框架是基于每功能每插件的（系统加载插件后传递收发数据和加解密函数地址给插件），所以顺便写了这些功能给他。当然，前几个星期在微信看到他，他说公司倒闭了。：） 砖头已抛，期待美玉。 |
|
|
|
|
|
说错了，是修改 termsrv.dll 。以前是物理补丁
最后于 2024-11-28 20:16
被咖啡_741298编辑
，原因：
|
|
|
是够老的  我都开发过。不过后来都是直接在路由器抓包，通过修改数据包让木马在进程内运行，不落地，关机就消失，除非很重要的目标，这类固守工具就用处不大了。
|
|
|
是的，很久很久以前（win10还没有出来）的时候，是直接文件PATH的。
|
|
|
是的哦看来你也是同道中人 
|
|
|
|
|
|
|
|
|
曾经的同行啊：）。现在年纪大了，转行卖奶粉了。 |
|
|
不记得名字了，毕竟这东西是几年前的了。那个程序其实是自带一个浏览器，用它登录gmail，然后点击菜单“导出cookie”，再在另外的电脑选择导入。好像是批量自动登录然后自动发帖还是啥的，收费软件。 |
|
|
网络类的NTKERNEL.COM的也不错吧，有朋友用来搞了一个马，丢服务器5年不重启。 |
