关于Backstab
Backstab是一款功能强大的安全研究工具，在该工具的帮助下，广大研究人员可以轻松终止那些受反恶意软件产品保护的进程。
当你拿到了目标设备的本地管理员凭证之后，你发现EDR仍然“在线”，该怎么办呢?卸载钩子或者直接系统调用针对EDR也无法起作用，又该怎么办呢?没错，我们为何不直接终止相关进程呢?
Backstab这款工具能够通过利用sysinternals的进程管理驱动器(ProcEXP)终止受反恶意软件产品保护的进程，而这个驱动器是由微软签名的。
工具运行机制
ProcExp有一个在启动时加载的带签名的内核驱动器，而这个驱动器将允许ProcExp终止那些即使作为管理员也无法终止的句柄。当我们查看到UI时，你可能无法终止受保护的进程，但可以终止它的句柄，因为ProcExp UI会指示内核驱动程序终止这些句柄。而Backstab能做到同样的事情，只不过没有提供UI。
Backstab会做哪些事情?
工具下载
广大研究人员可以使用下列命令将该项目源码克隆至本地：
工具使用帮助
项目地址
Backstab：【GitHub传送门】
电脑中了什么自动播放的毒怎么办
你中Auto病毒了，教你提供手动杀毒方式，具体如下：1、调出任务管理器，在进程页面中结束掉所有名称为的进程（建议在后面的操作中反复此操作，以确保病毒文件不会反复发作）。 2、在开始－－运行中输入“regedit”（XP系统）打开注册表，查找所有的“”键值项，找到后将整个shell子键删除。 3、在我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉。 4、对每个盘符点右键－打开进入（切记不能双击），删掉所有的和文件。 5、在c:windowssystem32下查找有没有文件，如果存在就直接删掉。 完成后重启电脑即可你中Auto病毒了，教你提供手动杀毒方式，具体如下：1、调出任务管理器，在进程页面中结束掉所有名称为的进程（建议在后面的操作中反复此操作，以确保病毒文件不会反复发作）。 2、在开始－－运行中输入“regedit”（XP系统）打开注册表，查找所有的“”键值项，找到后将整个shell子键删除。 3、在我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉。 4、对每个盘符点右键－打开进入（切记不能双击），删掉所有的和文件。 5、在c:windowssystem32下查找有没有文件，如果存在就直接删掉。 完成后重启电脑即可
怎么删除电脑上无法删除的插件及文件？
1.在我的电脑-工具-文件夹选项-查看 里把隐藏受保护的操作系统文件（推荐）前面的勾去掉。 并在显示所有文件和文件夹 前面打上勾。 2.结束和进程。 方法是按ctrl+alt+del，选择这两个进程，点击右键“结束进程”即可。 因为结束掉“”进程后桌面和任务栏都无法显示，所以这个时候再次按“ctrl+alt+del”三个键，然后在“文件”菜单那里选择“新建任务”——“浏览”，再找到“C:\windows\”点右键删除这个文件。 4.点击取消，在对话框中输入regedit,编辑-查找,输入update service for windows,点查找下一个,找到第一个后删除，按F3继续找，直到删除完整个注册表中的update service for windows点击关机-重新启动即可清除LINKMEDIA插件
电脑中了EXE病毒用什么杀毒
32病毒解决办法
手动通杀办法（建议在安全模式下操作）：
一、显示所有文件。
断开网络连接，打开“我的电脑”，依次打开菜单“工具/文件夹选项”，然后在弹出的“文件夹选项”对话框中切换到“查看”页，去掉“隐藏受保护的操作系统文件（推荐）”前面的对钩，让它变为不选状态，在下面的“高级设置”列表框中改变“不显示隐藏的文件和文件夹”选项为“显示所有文件和文件夹”选项，去掉“隐藏已知文件类型的扩展名”前面的对钩，也让它变为不选状态，最后点击“确定”。
二、寻找病毒注册表信息。
打开“开始/运行”，输入“regedit”后“确定”以打开注册表编辑器，进入到Hkey_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run键下，在右边列中，找到一个名为“；Rundll”的值，如果找到请双击打开看，查看并记下“数值数据”中指示的文件及路径名，一般为“C:\WINNT\System32\”的形式（但并不固定，这要根据具体的环境而变化），注意其中的“”代表的是任意值，并不固定，而不是4个X，所以这时一定要记清这个“”所代表的文件名，记下后然后从注册表中删除这个“；Rundll”值；
三、结束病毒进程。
按Ctrl+Alt+Del键弹出任务管理器，找到在上面第二步中记下的“”的进程（注意这里的是具体的名称而不是4个X）。找到有相同的进程后选中它并点击“结束进程”以结束掉木马进程；
四、删除病毒文件。
打开资源管理器进入到系统目录\Winnt\System32下（如果您的win2000/nt/安装在C盘则就是 C:\Winnt\System32）。 找到和文件然后直接删除它们（当然，这里的XXXX所代表的仍然不是4个X，而是具体的名称）；如果在删除过程中发现删除不掉，而是报告“文件正在使用中无法删除”，则可以注销或重启一下电脑，然后再按此方法找到并删除它就可以了。
发表评论