2301_80361487的博客

原创 嘉立创快捷键

shift+x 选中跳转。

原创 pwndbg快速计算栈溢出大小

1.启动pwndbg 生成长度为300的字符串2.把生成的字符串复制粘贴到 run之后的程序下查看错误提示“Invalidaddress0x62616164”3.根据错误地址，查看溢出大小

原创 从ctfwiki开始的pwn之旅 6.ret2reg

ret2reg（返回到寄存器地址攻击）是一种利用技术，它通过控制寄存器的值来间接控制程序的执行流。在溢出函数返回时，攻击者会查找哪个寄存器的值指向溢出缓冲区空间，然后利用call reg或者jmp reg指令，将EIP设置为该指令地址，并在寄存器所指向的空间上注入Shellcode。此攻击方法之所以能成功，是因为函数内部实现时，溢出的缓冲区地址通常会加载到某个寄存器上，在后面的运行过程中不会修改。尽管栈空间具有随机性，但该寄存器的值与缓冲区地址的关系是确定的，在随机地址之上，建立了必然的地址关系。

转载 从ctfwiki开始的pwn之旅 5.ret2csu

在 64 位程序中，函数的前 6 个参数是通过寄存器传递的，但是大多数时候，我们很难找到每一个寄存器对应的 gadgets。此外，由于 PC 本身只是将程序的执行地址处的数据传递给 CPU，而 CPU 则只是对传递来的数据进行解码，只要解码成功，就会进行执行。我们可以看到我们的 gadgets 是分为两部分的，那么我们其实可以进行两次调用来达到的目的，以便于减少一次 gadgets 所需要的字节数。可以看到在我们之前的利用中，我们利用这两个寄存器的值的主要是为了满足 cmp 的条件，并进行跳转。

原创 从ctfwiki开始的pwn之旅 4.ret2libc

当一个函数被调用过后，got表里保存了他在内存中的地址，可以通过泄漏got表内存来泄漏函数地址，然后可以根据起泄漏的函数地址获得其libc版本，从而计算其他函数在内存空间中的地址。为什么不能直接跳到got表，通过前面的前置知识我们知道plt表中的地址对应的是指令，got表中的地址对应的是指令地址，而返回地址必须保存一段有效的汇编指令，所以必须要用plt表。可执行文件里保存的是plt表的地址，对应plt地址指向的是got的地址，got表指向的是glibc中的地址。经在 ida 中查找，确实也存在。

原创 从ctfwiki开始的pwn之旅 3.ret2syscall

此次，由于我们不能直接利用程序中的某一段代码或者自己填写代码来获得 shell，所以我们利用程序中的 gadgets 来获得 shell，而对应的 shell 获取则是利用系统调用。那么ret2syscall——程序中不存在system("/bin/sh/")的代码段，不存在合适的可执行段进行恶意代码的执行，但是程序是静态链接，且程序中中存在代码片段，拼接可组成系统调用。简单地说，只要我们把对应获取 shell 的系统调用的参数放到对应的寄存器中，那么我们在执行 int 0x80 就可执行对应的系统调用。

原创 从ctfwiki开始的pwn之旅 2.ret2shellcode

这里我们以 bamboofox 中的 ret2shellcode 为例，需要注意的是，你应当在内核版本较老的环境中进行实验（如 Ubuntu 18.04 或更老版本）。shellcode 指的是用于完成某个功能的汇编代码，常见的功能主要是获取目标系统的 shell。但是，这并不会影响该文件在内存中的权限位，特别是在使用如GDB这样的调试器时通过。在栈溢出的基础上，要想执行 shellcode，需要对应的 binary 在运行时，shellcode 所在的区域具有可执行权限。命令不会改变这些内存段的权限。

原创 从ctfwiki开始的pwn之旅 1.ret2text

我们控制执行程序已有的代码的时候也可以控制程序执行好几段不相邻的程序已有的代码 (也就是 gadgets)，这就是我们所要说的 ROP。其实，在栈溢出的基本原理中，我们已经介绍了这一简单的攻击。在这里，我们再给出另外一个例子，bamboofox 中介绍 ROP 时使用的 ret2text 的例子。下面就是我们如何构造 payload 了，首先需要确定的是我们能够控制的内存的起始地址距离 main 函数的返回地址的字节数。这时，我们需要知道对应返回的代码的位置。控制的内存的起始地址：起始地址是变量。

原创 GPS在Linux下的使用（war driving的前置学习）

ttytty。

原创 kismet和war driving具体准备（仅供无线安全学习）

一台笔记本一个最好是双频的网卡，单频搜集信号少我自己买的是http://e.tb.cn/h.grI4EmkDLOqQXHG?如果经济条件允许可以去买大功率天线（我买的车载的 大概40db这样子 范围广）一个可以实时接收处理数据的GPS设备（市面上很多都是gps数据过后在处理的，注意甄别）我自己买的是各位看官理性下单，我是觉得有点小贵了。

原创 近源渗透简介

通过乔装、社工等方式实地物理侵入企业办公区域，通过其内部各种潜在攻击面（如Wi-Fi网络、RFID门禁、暴露的有线网口、USB接口等）获得“战果”，最后以隐秘的方式将评估结果带出上报，由此证明企业安全防护存在漏洞。

原创 8.做pwn题的大致流程

如果发现ida里一个函数不知道用法就到linux里 man 函数 能打印函数用法。判断是32还是64位，用对应工具分析（比如ida，可以直接把文件拖到对应图标上）ida中如果没找到main函数就找start函数从而找到main函数起始地址。快捷键r转换字符串 h转换十进制十六进制。转换为十进制数，它就是数字 200。file

原创 7.pwn 工具整体安装和使用

aslr:查看:cat /proc/sys/kernel/randomize_va_space 2表示打开关闭:echo 0>/proc/sys/kernel/randomize_va_space。

原创 6.pwn Linux保护机制

CANARYNXASLRPIERELRO回顾栈的作用为存储函数调用相关信息以及函数的局部变量这些局部变量通常为数组或者输入的缓冲区(buf)。而函数调用相关的信息，主要是返回地址和栈底指针(rbp)

原创 5.pwn Linux的延迟绑定机制

我们程序开发过程中都会用到系统函数，比如read，write，open等等这些系统函数不需要我们实现，因为系统已经帮你完成这些工作，只需要调用即可，存放这些函数的库文件就是动态链接库。

原创 4.pwn elf文件结构

等同于Windows的dll文件glibc是linux下面c标准库的实现，即GNUCLibrary。glibc本身是GNU旗下的C标准库，后来逐渐成为了Linux的标准c库，i而Linux下原来的标准c库Linux libc逐渐不再被维护。Linux下面的标准c库不仅有这一个，如uclibc、klibc，以及上面被提到的Linux libc，但是glibc无疑是用得最多的。glibc在/ib目录下的.so文件为libc.so.6.

原创 3.pwn 函数调用流程，调用约定

pop:Pop指令的作用是弹栈，将栈顶的数据弹出到寄存器，然后栈顶指针向下移动一个单位。具体来说:如pop rax，作用就是mov rax[rsp];add rsp 8;push:Push指令的作用就是压栈，将栈顶指针向上移动一个单位的距离，然后将一个寄存器的值存放在栈顶，具体来说:如pushrax，其实际效果就是:sub rsp 8;jmp:立即跳转，不涉及函数调用，用于循环、ifelse这种场合具体来说:如jmp 1234h，效果就是:mov rip 1234h;

原创 2.pwn的linux基础（计算机内部数据结构存储形式）

分为四个ring0-ring3一般来说就两个，0和30为内核3为用户。

原创 1.pwn的汇编基础（提及第一个溢出：整数溢出）

RIP指针用于存储CPU下一条将会执行的指针，不能直接修改，正常情况下会每一次运行一条指令自增一条指令的长度，当发生跳转时才会以其他形式改变其值。深入底层后，计算机其实很笨，只能完成一些很基本的操作，但是速度很快机器码就是一个个01组成的，为了方便人类阅读，一般都以16进制呈现。高级语言经过编译之后，经过编译器处理，被打包成一个可执行文件的格式，RSP为栈顶指针，RBP为栈底指针，二者用于维护程序运行时的函数，在之后的调用约定一节会对其进行讲解。在当前主流的操作系统中，都是以字节(B)为寻址单位进行寻址，

原创 pwn刷题

https://www.jarvisoj.com/作者筛选过的质量不错的题目。https://adworld.xctf.org.cn/攻防世界。https://pwnable.tw 质量很好，但是有一定难度。https://pwnable.kr 适合新手入门pwn。https://buuoj.cn/北京联合大学CTF。

原创 glibc学习路线

转载 HTTP_DNS_ICMP代理隧道（仅供学习用途，禁止非法用途）

特色就是服务端会有一个命令行控制台，所有的指令都可以在该控制台内完成。的升级版，主要功能是把内网服务器端口的数据通过。-l , --listen-on 默认监听地址。远端服务器转发的目的地址，流量将转发到这个地址。指定哪个域名服务器可以解析该域名的子域名。本地的地址，发到这个端口的流量将转发到服务器。服务器的地址，流量将通过隧道转发到这个服务器。-u , --url 包含隧道脚本的url。模式转发过滤的数据文件，默认读取当前目录的。相比直连，速度较慢，但是更安全。，但是当前信道不适合做远控的通信信道，

原创 Windows密码凭证获取

数据库，包括有关域用户，组和组成员身份的信息。文件，会提示文件被系统占用，所以常规的复制下载方法是无法获取到文件副本的，因此需要通过特殊方法来获取。这种转换是一种压缩映射，也就是，散列值的空间通常远小于输入的空间，不同的输入可能会散列成相。，一般翻译做散列，或音译为哈希，所谓哈希，就是使用一种加密函数进行计算后的结果。数据库用户密码跟其它数据库用户密码一样，在应用系统代码中都是以明文出现的，在获取文件。哈希是由用户输入的密码本地计算得出的，所以在这个步骤中，只要能提供正确的 NTLM。

原创 应用程序提权

在MySQL5.1以后的环境下只有将udf.dll文件导出到mysql安装目录\lib\plugin\目录下才能成功，但是很多时候mysql安装目录下并不存在lib目录，mysql文件操作也并不能直接创建目录，此时需要通过NTFS ADS流来创建目录。攻击者编写调用系统cmd命令（linux下相当于调用shell命令）的udf.dll文件，并将udf.dll导出到指定目录下，攻击者创建一个指向udf.dll的自定义函数func，每次在数据库查询中执行func函数等价于在cmd命令中执行命令。

原创 域环境提权

一般来说，机器账号的名字应该以$符号结尾的。例如DC$表示DC这台主机的账户名。但是微软只是进行了规定，并没有验证程序对用户创建的用户名进行验证，也就是说，创建DC用户名完全是可以的。（这里指的是机器账号的sAMAccountName属性）

原创 渗透测试框架提权

getsystem是由Metasploit-Framework提供的一个模块，它可以将一个管理帐户（通常为本地Administrator账户）提升为本地SYSTEM帐户。UAC：用户帐户控制（User Account Control），是windows操作系统中采用的一种控制机制，它以预见的。1)getsystem创建一个新的Windows服务，设置为SYSTEM运行，当它启动时连接到一个命名管道。2)getsystem产生一个进程，它创建一个命名管道并等待来自该服务的连接。优点：省去手动查找的麻烦。

原创 Windows操作系统提权之系统服务漏洞提权Always Install Elevated

1.形成原因1.形成原因任意用户以NT AUTHORITY\SYSTEM权限安装 i。AlwaysInstallElevated是一个策略设置，当在系统中使用Windows Installer安装任何程序时，该参数允许非特权用户以system权限运行MSI文件。如果目标系统上启用了这一设置，我们可以使用msf生成msi文件来以system权限执行任意payload。MSI：Microsoft Silent Installer，是微软的安装包格式，它在后台运行.exe安装程序。

原创 windows操作系统提权之服务提权实战rottenpotato

将服务帐户本地提权至SYSTEMincognito-u。

原创 操作系统提权

Linux：CVE-2017-7308、CVE-2017-6074、CVE-2017-5123、CVE-2016-9793、CVE-2016-5195等。Windows：MS06-067、MS10-084、MS11-014、MS11-05、MS12-020、MS16-032等。提取进程、服务、用户帐号、用户组、网络接口、硬盘信息、网络共享信息、安装Windows补丁、程序在启动。本地提权：在一个低权限用户下，通过一些条件（应用程序漏洞、系统漏洞等）直接提升到系统最高权限。

原创 内网信息收集

NETBIOS协议获得计算机名称——解析为相应IP地址，实现信息通讯，所以在局域网内部使用NetBIOS。程序编程接口（API），为程序提供了请求低级服务的同一的命令集，作用是为了给局域网提供网络以及。该协议是一种在局域网上的程序可以使用的应用。输出的结果第一列为IP地址，第二列为机器名和所在域的名称，第三列即最后一列为及其所开启的服务。查看当前机器中所有的组名，了解不同组的职能，如，、机器名、操作系统版本、开放服务）、机器名、漏洞编号、操作系统版本）查看安装的软件的版本、路径等。

原创 内网环境基础

PowerShell不仅兼容几乎所有的cmd命令，还通过别名的方式兼容部分Linux Shell的命令，如：ls、kill、pwd、history、sleep、cd、rm、rmdir、ps、man，PowerShell命令称为cmdlet，与原本的cmd和Linux Shell不同，cmdlet的实现基于面向对象，域控制器和活动目录的区别：如果网络规模很大，网络中的很多对象，例如计算机，用户，用户组，打印机，共享文件等资源可以分门别类放到一个活动目录的数据库中，简称AD库。

原创 渗透测试框架之CobaltStrike，Metasploit域名上线隐藏IP

在这个Profile中，我们请求的URI是以.js结尾的，Cloudflare作为一个CDN肯定要去缓存它，但这样的话请求就无法到达我们的CS服务器，自然也就无法上线了。填入三次自己的域名，其他的默认，在https hosts处也可添加站长ping出来的cdn ip 生成木马，在pc运行，成功上线。的用户发起 HTTP 请求，实际的处理流程如图所示，根据他的处理流程，CDN最后会将流量转发到真实IP上，实现对外暴露的是CDN多节点的公网域名IP，很难甚至无法溯源真实后端服务器的域名或IP！

原创 CobaltStrike渗透框架进阶之扩展脚本和MSF联动

本地 kali 编辑 /etc/proxychains.conf 文件，挂上团队服务器 ip 和 socks 端口，就可以直接连到目标内网（类型为socks4）可以用 proxychains 之类的工具依次代理，如果想更方便一点，直接把整个 msf 挂到目标内网去让本地 msf 所有模块的流量都从 cs 的 socks 代理走。选择菜单栏的CobaltStrike–>脚本管理器，点击load，然后选择cna扩展文件即可，旁边的unload为去除该扩展，，reload为重新加载该扩展。

原创 Metasploit渗透测试框架

web_delivery支持php/python/powershell等多种脚本，使用不同的脚本的payload时需要通过set target 0或1或2来设置是使用php还是python还是powershell等。meterpreter是一个高级、动态、可扩展的payload，简单理解是一个高级的CMD，里面封装了Metasploit的。：漏洞利用模块，包含主流的漏洞利用脚本，通常是对某些可能存在漏洞的目标进行漏洞利用。是一款开源安全漏洞利用和测试工具，集成了各种平台上常见的漏洞，并持续保持更新。

原创 Cobaltstrike渗透测试框架

因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB Beacon相对隐蔽，绕防火墙时可能发挥奇效。metasploit是一款开源框架，armitage是metasploit框架的图形化界面方式，cobalt strike是armitage的增。beacon指的是受害者与我们的teamserver所建立的这个连接，也可以理解成我们所获的的对方主机的控制权。Foreign为外部结合的Listener，常用于MSF的结合，例如获取meterpreter到MSF上。

原创 汇编实现缓冲区溢出1

input:pushl %ebp # 保存帧指针mov %esp, %ebp # 更新栈指针位置pushl %ebx # 压入保护寄存器subl $20, %esp # 通过减法运算在栈上分配 20 个字节的空间leal -12(%ebp), %ebx # 计算缓冲区开始的位置，是 %ebp - 12，存放到 %ebx 中。

原创 ddos工具hping3使用说明

T --traceroute 跟踪路由模式 (隐含了 --bind 和 --ttl 1)--icmp-addr 别名为 --icmp --icmptype 17 (ICMP 地址子网掩码)--icmp-ts 别名为 --icmp --icmptype 13 (ICMP 时间戳)-o --tos 服务类型 (默认为 0x00)，尝试 --tos help。-u --end 当 --file 达到 EOF 时通知用户，并防止倒带。

原创 蓝牙攻击工具集合与使用说明

它允许与 Ubertooth One 设备进行通信，并提供了基本的接口和功能，供其他工具进行开发和使用。Ubertooth-db：用于通过与 Ubertooth One 设备进行配对，收集并存储经典蓝牙设备的元数据，如广播地址和设备名称等。是一个开源的蓝牙嗅探设备，它提供了多个软件工具来进行蓝牙通信的分析、监视和探测。它可以捕获并解码经典蓝牙的数据包，从而使用户能够分析经典蓝牙连接和通信过程。spooftooph -i 设备 [-mstu] [-nac]|[-R]|[-r 文件] [-w 文件]

原创 kali无线渗透之蓝牙攻击与原理

蓝牙网络中的“个人身份码”攻击传统的蓝牙设备，主要是指“蓝牙规范2.1版”以前的各版蓝牙设备，以及使用“安全简化配对”(Secure SimplePairing，SSP)协议的蓝牙设备。这些传统的蓝牙设备仅仅依赖于“个人身份码”( PersonalldentificationNumber，PIN)的有效性作为唯一的认证规则，只要通信双方的蓝牙设备使用了相同的“个人身份码"，就认为通过认证，否则就认为没有通过认证。“个人身份码”只是一个由1位到16位数字组成的一个号码。

原创 kali无线渗透之蓝牙原理与探测与侦听

在一个蓝牙网络中，可能使用着的协议数量足以令人咋舌。这些协议通常可以分成两类:一种是在“蓝牙控制器(Bluetooth controller)之间通信使用的，另一种是在“蓝牙主机”(Bluetooth host)之间通信时选择使用的。因为本书属于无线网络安全的主题，所以上面所说的“蓝牙主机”就是我们从笔记本电脑上运行攻击程序所攻击的对象。“蓝牙控制器”则是内置在笔记本电脑里的USB芯片组(chip)，或是USB加密狗(dongle)，接受“蓝牙主机”的命令，并解释执行这些命令。