- 博客(78)
- 收藏
- 关注
RSS订阅原创 玄机--应急响应--webshell查杀
隐藏原始恶意指令，避免明文传输被WAF或IDS规则直接匹配。进一步加密真实载荷，改变代码特征，破坏静态特征码。）直接出现在代码中，规避关键字检测。对解码后的字符串进行循环异或运算。参数进行Base64解码。
2025-09-10 16:18:19
341
原创 玄机--windows日志分析
某台Windows服务器遭到攻击者入侵，管理员查看发现存在大量rdp爆破的请求，攻击者使用了不同位置的IP(此处模拟)，进行爆破并成功，并成功进入了系统，进入系统后又做了其它危害性操作。分析得出以下两个ip存在可以数据192.168.150.678此处为明显的目录遍历读取passwd的攻击行为此处发现nmap扫描器特征2.审计相关日志，提交rdp被爆破失败次数这里我们打开cmd，输入命令eventvwr.msc打开事件查看器，来找到相应的事件；事件ID含义4624账户登录成功。
2025-09-09 20:18:57
768
原创 域内的权限提升
域内允许加入域的用的（我们的客户机在加入域的时候，会输入一个账户名和密码，域允许这个用户创建一个机器账户），域允许这个用户（test001）创建一个机器用户（域控制器的hostname--dc，dc$）当你用DC$(test001创建的这个机器账户申请票据的时候，域控会将你识别成自己，就把自己的票（TGT）)就发给你了，你是不是就拥有了一张高权限的票。域内有一个服务：MS-NRPC（建立与域控安全通道），可利用此漏洞获取域管访问权限。
2025-09-03 19:26:16
285
原创 域内横向移动
通过上述的所有方式，你会发现我们获取到的不是密码就是hash，实际上还有一种就是aes256值（密码通过aes256加密之后生成的内容与ntlm-hash的作用一样）
2025-09-02 22:07:09
505
原创 通过hash横向移动
SAM文件存储的是密文的密码，也就是所谓hash，早期版本的windows：lm-hash，后期版本一直使用的ntlm-hash。
2025-08-28 15:48:27
294
原创 通过web服务做横向移动
内网主机(win7)：10.10.90.129 web服务 -- upload-labs。边缘主机(win10)：192.168.237.140 10.10.90.128。发现内网主机10.10.10.129的80端口开启。攻击机：vps（120.26.114.196）
2025-08-27 21:04:00
273
原创 Proxifiler
之前的挂代理，bp 上抓到的是全局流量，也就是说会有很多杂七杂八的包不是我们想抓的，解决版本可以从两个地方入手，一个是 bp 设置过滤条件，只查看相关域名的数据包；一个是使用Proxifier 来指定抓取电脑上某个程序的数据包。
2025-08-27 20:18:57
502
原创 通过远程桌面横向移动（破解凭证）
远程桌面的凭据文件：89321D2BF8044A4FB40A2DA8D6B8CCF3。准备好了两个文件 lsass.exe的转储文件lsass.dump文件。将这两个文件下载到本地，在你的本地进行破解。注意此处将后缀的.dmp去除。注意：此处要使用管理员权限。发现3306端口开启。此处较小的是凭证文件。
2025-08-27 20:13:49
245
原创 Hook技术
Frida是一款轻量级Hook框架，可用于多平台上，例如Android、Windows、IOS等， Frida分为两部分，服务端运行在目标机上，通过注入进程的方式来实现劫持应用函数，另一部分运行在系统机器上。Hook翻译过来成为 【钩子】 也称作“钩子技术”，其原理是先将需要修改的函数“钩住”，然后使用自定义的函数替换原函数，让程序在运行时执行自定义函数，从而达 到动态修改软件的目的。7、根据反编译的java写hook的js。4、进去测试机的shell,启动服务。3、上传服务包到测试机。
2024-11-25 15:49:24
647
1原创 域环境模拟实验搭建
条件：1. 需要一台域控制器 -- windows server版本（winserver 2012） 2. 成员机器(winserevr 2016)注意：登录的时候，如何登录本地用户，如何登录域内用户。默认情况下，是登陆到域环境中的，如果想登录到本地环境在用户名前加一个 '.\ '。域：统一的管理计算机的集群，中心管理机器（域控制器 DC）管理整个内网（域内成员机器）1.修改主机名，修改完成之后，重启。总体来说下一步下一步即可。
2024-10-12 11:51:38
514
原创 软件包与服务搭建
一.软件包管理Linux的软件包管理是通过工具进行管理的命令RPM/YUM-----RPM软件包语法：rpm -q [子选项] [软件名] -qa : 显示当前系统中以RPM方式安装的所有软件列表-qi : 查看指定软件包的名称、版本、许可协议、用途描述等详细信息-ql : 显示指定的软件包在当前系统中安装的所有目录、文件列表-qf : 查看当前指定的文件或目录是由那个软件包所安装的 如果不知道准确的软件包名称，还可以对全部查询结果进行过滤 rpm -qa | grep -i python-----查询未安
2024-10-09 14:18:57
1082
原创 第五章 linux实战-黑链
代码分析2.webshell的绝对路径 flag{xxxx/xxx/xxx/xxx/}下载html文件夹3.黑客注入黑链文件的 md5 md5sum file flag{md5}打开可疑文件所在位置代码分析4.攻击入口是哪里？url请求路径，最后面加/ flag{/xxxx.xxx/xxxx/x/}wireshark分析pacp文件代码分析
2024-09-29 11:40:01
867
原创 玄机----第一章 应急响应-Linux日志分析
auth.log.1 文件，是因为系统的一个日志轮换机制，当日志文件达到一定大小或满足特定的时间条件时，auth.log 文件会轮转，旧的文件会被重命名为auth.log.1。linux登录相关的日志存储在**/var/log路径下的secure或auth.log**中。1.有多少IP在爆破主机ssh的root账号，如果有多个使用","分割。1.有多少IP在爆破主机ssh的root账号，如果有多个使用","分割。2.ssh爆破成功登陆的IP是多少，如果有多个使用","分割。如果有多个使用","分割。
2024-09-26 16:11:07
1379
原创 MSF工具使用教程
Metasploit 是一个漏洞框架，拥有超过 1700 个漏洞利用程序，大大简化了渗透测试的工作，同时具有模块化的体系结构，渗透测试人员可以很方便的添加或修改exploit。
2024-09-25 11:34:45
2008
原创 命令行修改填写错误的hosts文件
在 Windows 中，如果你误使用了并想修改为，需要手动编辑hosts文件，因为>>符号会将内容追加到文件中，而不是替换内容。
2024-09-24 09:10:13
1163
原创 Breach靶机详解
最近发现BEEF登不上了，用户名和密码明明正确但就是登不上去，最后发现是因为关联了MSF的原因，为什么会这样原因暂不知，先记录下来，要修复的话重装BEEF就可以了。
2024-09-23 09:22:07
378
原创 DC-2靶机详解
第一种方法虽然可以查看到flag4，但是依旧无法切换到jerry用户，无法使用可以利用来进行提权的命令，例如flag4中所提示的使用git命令进行提权，所以之后还是需要使用第二种方法去切换到jerry用户，来进行提权到root，所以比较鸡肋。它与一般shell的区别在于会限制一些行为，让一些命令无法执行。这里建议直接使用第二种方法。
2024-09-23 09:21:14
456
原创 SCP下载文件
下载单个文件scp 用户名@远程服务器:/远程路径/文件 本地路径下载整个目录scp -r 用户名@远程服务器:/远程路径/目录 本地路径指定端口scp -P 端口号 用户名@远程服务器:/远程路径/文件 本地路径通过这些方法，你可以轻松地在 Kali 中通过 SSH 下载远程服务器上的文件。
2024-09-22 18:19:41
4526
原创 EvilScience靶机详解
发现80和22端口是开放的，分别是ssh和http服务。将生成的木马放入本机免杀盘，在文件处开启http服务。此处输错密码会有错误日志存储，所以可以尝试注入。存在本地文件包含，找到一个邮箱，可能有用。此处存在url跳转注意一下。通过浏览器上传一句话木马。burpsuite抓包。下面包含其他文件的结果。注入后发现用户名被隐藏。进入交互式shell。
2024-09-22 18:16:30
792
原创 device靶机详解
export命令用于设置或显示环境变量，在shell中执行程序时，shell会提供一组环境变量，export可新增，修改或删除环境变量。-sS：使用SYN扫描方式进行端口扫描，它比默认的TCP扫描方式更快，因为它只发送SYN包而不发送其他数据包。-Pn：禁用主机发现，即不发送ICMP Echo Request数据包来判断目标主机是否存活。这段代码的目的是扫描目标主机开放的所有端口，并获取其操作系统类型、版本、服务等信息。-n：不进行DNS解析，直接使用IP地址进行扫描。1、在vi编辑器中，输入 ：!
2024-09-22 18:14:35
796
原创 Kioptrix : Level 1.2靶机详解
直接访问80的web端口，点击HOME，发现url有点可疑，存在page传参，同时发现内容中有gallery CMS的关键字。我们尝试在最后一行追加loneferret ALL=(ALL)NOPASSWD:ALL，就可以修改为root权限了。开启交互式shell,配置环境变量，进入文件查看sql信息，看能不能找到账户，密码。扫描出来的信息，先插眼，后面看能不能找到账户密码。使用hackar验证漏洞，证明存在漏洞。kali和靶机都配置为nat模式。登录phpmyadmin。加上之后ctrl+c退出。
2024-09-19 09:51:43
419
原创 W34kn3ss
文件是 Python 编译后的字节码文件。文件是由解释器在第一次运行时生成的，并且在下次运行相同的代码时会被加载。文件包含了 Python 字节码指令，这些指令可以被解释器直接执行，而不需要先将源代码转换为机器码。编译后的字节码文件可以被缓存起来，以便下次运行相同的代码时可以直接加载，而不必再次编译。文件可以加快程序的启动速度，因为解释器不需要重新编译源代码，而是直接加载已经编译好的字节码。文件）第一次被解释器执行时，Python 会将源代码编译成字节码（如果存在，解释器会使用。文件来加快代码的执行速度。
2024-09-18 10:49:05
1068
原创 DERP靶机详解
文件并且让 John the Ripper 正确识别，你只需要将这个哈希值直接写入文件，每行一个哈希值。尝试ftp连接，尝试使用刚刚获取到的密码wedgie57登录stinky用户，登录成功。如果 John 无法自动识别该格式，你可以明确指定。21和22端口开放，尝试ssh失败，需要密钥。这样 John 就会识别并尝试破解该哈希。你可以使用任何文本编辑器（例如。使用的哈希格式，通常称为。
2024-09-17 17:03:04
973
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人