Backstab

Backstab ## 杀死受EDR保护的进程 你拥有这些本地管理员凭证,但EDR却阻止了你? 解除挂接或直接系统调用对EDR不起作用? 那为什么不直接将其杀死呢? Backstab是一款可以利用Microsoft签名的系统内部工具Process Explorer(ProcExp)驱动,来杀死反恶意软件保护的进程的工具。

这怎么可能呢? ProcExp 有一个签名的内核驱动程序,它在启动时加载,这使得它可以杀死即使作为管理员也无法杀死的句柄。使用 UI 时,您无法杀死受保护的进程,但可以杀死其句柄,因为 ProcExp UI 会指示内核驱动程序杀死这些句柄。Backstab 也做了同样的事情,但没有 UI 元素。

OpSec

以下是发生的快速概述

1. 嵌入式驱动程序被写入磁盘
2. 在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下创建注册表项
3. 由于需要加载驱动程序,因此获得了 SE_PRIVILEGE_ENABLED 权限
4. 使用 NtLoadDriver 加载驱动程序,以避免创建服务
5. 删除创建的注册表项(在执行期间服务不可见)
6. 与驱动程序的通信是通过使用 DeviceIoControl 实现的
7. 用于枚举句柄,调用 NtQuerySystemInformation

您还应该了解的内容 1. 该工具的行为模仿 ProcExp 的行为。ProcExp 将驱动程序放到磁盘上，在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services 下创建注册表项，调用 NtLoadDriver，然后删除注册表项 2. 您可以指定放置驱动程序的位置和服务名称 3. 完成后，应用程序将卸载驱动程序。首先重新创建注册表项，然后调用 NtUnloadDriver 来卸载驱动程序 4. 已加载的驱动程序由 Microsoft 签名 5. 该进程不会尝试直接杀死受保护的进程的句柄，而是指示 ProcExp 驱动程序来杀死它们。您不会被指控尝试篡改任何进程

进一步研究 尽管该工具的目的是列出和杀死句柄,但其应用场景非常广泛。可以将句柄复制到自己的进程中,而不是