---

name: detecting-living-off-the-land-attacks description: > 检测滥用合法 Windows 二进制文件（LOLBin）进行的离地攻击。监控进程创建、 命令行参数和父子关系，以识别可疑的 LOLBin 执行模式。 domain: cybersecurity subdomain: threat-detection tags: [lolbins, lotl, fileless-attacks, process-monitoring] version: "1.0" author: mahipal license: Apache-2.0

检测离地攻击

监控对合法 Windows 二进制文件（LOLBin）的可疑使用，包括 certutil、mshta、rundll32、regsvr32 等，这些工具被用于无文件和离地攻击技术。