Quan

beacon> help adduserbysamr
Use: adduserbysamr [username] [password] [groupName]
e.g: adduserbysamr sysadmin p@ssw0rd
     adduserbysamr sysadmin p@ssw0rd Administrators
     adduserbysamr sysadmin p@ssw0rd "Remote Desktop Users"

Add a user to localgroup by samr, groupName is "Administrators" by default, do not use it at AD.

唯一的问题是，360会有痕迹

优点：解决了程序用了indirect syscall时候直接去ntdll.dll调用syscall指令的问题
这里我感觉就是找到kernel32的ADD RSP,68;RE指令以后，做了一个堆栈欺骗的操作把，调用完成后返回到这个指令的地址
而且这样用硬件断点结合VEH，去实时更改上下文寄存器直接更改几个syscall用到的rip、rax、r10，也不用我们自己构造stub存放在程序中了（构造stub还存在一个stub特征，混淆后还需要在text段涉及一个virtualprotect的调用问题）
代码非常不错，看完可以学一下硬件断点这个操作，当然只需要学习其优点，其中的get SSN 方法就中规中矩了

在本文中，我们将演示一种类似于hasherezade方法的新颖的shellcode开发方法。我们将使用MinGW编译一些具有优化的位置无关C代码，并在运行时提取我们的shellcode。我们的方法与现有方法的不同之处在于，我们的优化选项非常简单，并且输出的shellcode的大小与msfvenom生成的shellcode相当。

据说是一款更快 更稳定的工具

偶然习得一篇关于Linux下HIDS的绕过方式，遂来学习一下。刨除大哥的各种猜想与正确失败的验证，只把结论显示出来：
1.日志类,登陆/ssh爆破：/var/log/securt 
通过不断尝试发现，发现安全设备是通过/var/log/securt这个文件来实现报警的。只要写成执行文件，后台运行。就可以绕过了日志了。Shell脚本如下命令：写成sh，后台执行
While:
do
sed  –i  ‘/ip /d’ /var/log/securt
done
结论：因为安全设备因为可用性或者运行负荷不能完美实时地抓取日志，只要你改的比他读的快，安全设备便追不上你，各类日志都是同理,iptales,ssh,甚至一些中间件也是同理。
2.history日志
ssh  root@localhost –T /bin/bash 发现真的成功了，执行命令不记录。
结论：在no tty模式下执行命令是不记录的
3.反弹shell报警
新上传的bash可以绕过history记录