用于调查 Windows 进程执行技术的 PoC 和工具
此仓库用于研究 Windows 进程执行技术。 大多数 PoC 都有一个与技术相对应的名称。
BlockingDLL : 此工具集用于测试阻止 DLL 进程。请参阅 README.md。
CloneProcess : 此目录用于进程分叉和反射。请参阅 README.md。
CommandLineSpoofing : 此 PoC 执行命令行欺骗。此技术可能不适用于 Windows 11。
DarkLoadLibrary : 此目录中的 PoC 用于测试由 @_batsec_ 发布的 Dark Load Library。请参阅 README.md
ProcessDoppelgaenging : 此 PoC 执行 Process Doppelgänging。由于 Microsoft Defender 的内核保护改进，此技术在较新的 Windows 操作系统中不再可用（大约从 2021 年起）。因此，如果您想在更新的环境中测试此技术，必须停止 Microsoft/Windows Defender Antivirus Service。请参阅 hasherezade 仓库的 问题。
ProcessHerpaderping : 此 PoC 执行 Process Herpaderping。由于文件锁定问题，如果您选择的虚拟镜像文件小于要执行的文件大小，则文件大小缩小将失败，并会损坏 herpaderping 进程的文件签名。要充分利用此技术，虚拟镜像文件的大小应
暂无开放 Issues，或尚未同步最近议题。