记，有趣的投毒方式

最新推荐文章于 2025-09-15 16:04:46 发布
原创 最新推荐文章于 2025-09-15 16:04:46 发布 · 1.6k 阅读 · 3 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#木马 #病毒 #漏洞 #钓鱼

网友常将业务QQ收到的病毒木马样本转发分析。此次样本是“截图.zip”压缩包，解压后有快捷方式和隐藏目录。经分析，这是利用覆盖SEH漏洞的音乐播放器，投毒方式虽简单但免杀效果好。手动运行样本，其动态行为包括拷贝软件、创建启动项、开启键盘记录并注入木马。

一个网友跟我说，他们的业务qq经常收到各种病毒木马，每次收到后都会把样本转发给我，让我帮忙看看是什么木马！

这次他给我发来一个名为"截图.zip"的压缩包，通过qq传播时，也没报毒！
解压后，可以看到里面只有一个快捷方式，和一个隐藏的~目录
在这里插入图片描述
快捷方式的目标中，填写的是

C:\Windows\System32\rundll32.exe url.dll, FileProtocolHandler ~\s.exe

双击快捷方式后，打开的是~目录下的s.exe，打开r ~目录，可以看到这是个正常的软件
在这里插入图片描述
简单看了一下，我在skin目录下发现了端倪
在这里插入图片描述

skin是这个软件的皮肤目录，对缓冲区溢出漏洞敏感的同学一眼就可以看出来，这ui.txt就是平时定位溢出点的pattern啊！！
这里就是溢出时覆盖的返回地址
在这里插入图片描述
通过对目录内几个文件的静态分析，找到关于这个软件名字的一些信息，并google了一下，发现这是一款音乐播放器，并且利用的漏洞的是覆盖SEH
在这里插入图片描述

见过这么多投毒方式，这投毒时发送个自带漏洞的软件，还是第一次见。。。

不过这种投毒方式虽然很low！但是免杀效果却很好！！！

现在手动运行一下这个样本看看，啥效果！

首次打开快捷方式的图标，发现弹出个程序加载的界面，然后立马退出了，然后打开了目录下的01.txt，用来迷惑用户这是正常的软件

在这里插入图片描述

但是Procmon抓的的日志可不止这些，快捷方式
在这里插入图片描述
可以看到动态行为显示如下：
在这里插入图片描述
1）先把自己所有目录下的软件拷贝到 C:\Intel\sgetass
在这里插入图片描述

然后创建启动项
在这里插入图片描述
注册表启动项

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\sgetass38

启动项内容

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -nop -W hidden C:\Intel\sgetass\00ae5276adeac.lnk

开启键盘记录，每按一次键盘，就触发一次写入事件
在这里插入图片描述

通过文件映射的方式，把键盘记录木马注入到iexpress.exe进程中
在这里插入图片描述

【网络安全】文件包含漏洞--通过日志投毒getshell
你在看屏幕的同时，屏幕也在注视着你
09-04 1万+
文件包含漏洞--通过日志投毒getshell
论文翻译：arxiv-2024.Dillon Bowen.Scaling Laws for Data Poisoning in LLMs
CSPhD-winston的博客
10-20 1252
Scaling Laws for Data Poisoning in LLMs https://arxiv.org/pdf/2408.02946
手把手教你ARP投毒
pygain的博客
08-04 5262
ARP投毒 一种利用IP地址和MAC地址之间联系的漏洞，从服务器和客户机之间取得明文信息的方法
黑客常用入侵方式（12种）
weixin_68789096的博客
03-10 1万+
在Interent中，为了防止黑客入侵自己的计算机，就必须了解黑客入侵目标计算机的常用方法。黑客常用的入侵方法有数据驱动攻击、系统文件非法利用、伪造信息攻击以及远端操纵等，下面就简单介绍这些入侵方法。（仅供了解）数据驱动攻击是指黑客向目标计算机发送或复制的表面上看来无害的特殊程序被执行时所发起的攻击。该攻击可以让黑客在目标计算机上修改与网络安全有关的文件，从而使黑客在下一次更容易入侵该目标计算机。数据驱动攻击主要包括缓冲区溢出攻击、格式化字符串攻击、输入验证攻击、同步漏洞攻击、信任漏洞攻击等。
黑客用机器学习发动攻击的九种方法
dzqxwzoe的博客
03-05 300
Forrester的Mellen指出：通过分析攻击者使用的各种机器学习攻击方法，我们发现打补丁、反网络钓鱼教育和微分段等基本网络安全措施仍然非常重要，企业需要设置多重障碍，不能过分依赖单一的（AI）技术方案，这样就可以避免出现攻击者搬起你的石头砸你的脚的问题。
综述阅读:Poisoning Attacks against Recommender Systems
最新发布
2301_79797055的博客
09-15 981
本文综述了针对推荐系统的投毒攻击(PAR)研究现状，提出了一种新颖的三维分类法：组件特定攻击、目标驱动攻击和能力探测攻击。组件特定攻击针对不同推荐架构(如图结构、异构数据、强化学习系统)的固有漏洞；目标驱动攻击根据攻击者意图(如降低整体性能或操纵特定结果)进行区分；能力探测攻击则考察在有限资源和知识约束下的攻击效果。研究指出，现代推荐系统虽然准确性提升，但也引入了新的安全隐患，特别是深度学习模型对恶意数据的敏感性。三种攻击类型相互关联，共同构成了对推荐系统安全性的多维威胁。
StormBamboo 入侵 ISP 并滥用不安全的软件更新机制
weixin_47075747的博客
08-10 1505
在 Volexity 调查的一次事件中，发现 StormBamboo 通过 HTTP 自动更新机制毒害 DNS 请求以部署恶意软件，并毒害用作第二阶段命令和控制 (C2) 服务器的合法主机名的响应。DNS 记录被毒化，以解析为 IP 地址为 的位于香港的攻击者控制的服务器。最初，Volexity 怀疑最初的受害组织的防火墙可能已被破坏。然而，进一步调查显示，DNS 毒化不是在目标基础设施内进行的，而是在 ISP 级别的上游进行的。
最新论文笔记(+18)：Threats to Federated Learning: A Survey
cryptocxf的博客
02-22 6485
Threats to Federated Learning: A Survey (联邦学习面临的威胁：一项调查） 本篇文章是2020年发表在arXiv上的论文，介绍了联邦学习存在的隐私威胁问题，是一篇还不错的综述论文，对理解投毒攻击和推理攻击有很大帮助，以下是我个人看论文的重点记录，可能也有理解不对的地方，建议看原文！ 原文链接：Threats to Federated Learning: A Survey 文章目录预览一、背景与介绍1.2 联邦学习中的隐私泄露二、威胁模型2.1 内部和外部2.2 半城
网络安全学习中的工具
gugonggugong的博客
12-06 3562
1> Nmap Nmap，也就是Network Mapper，最早是Linux下的网络扫描和嗅探工具包。 系统管理员可以利用nmap来探测工作环境中未经批准使用的服务器，但是黑客会利用nmap来搜集目标电脑的网络设定，从而计划攻击的方法。 其基本功能有三个，一是探测一组主机是否在线；其次是扫描 主机端口，嗅探所提供的网络服务；还可以推断主机所用的操作系统 。 2> P0f p0f是一个纯粹的被动指纹识别工具，它在不干涉双方通信的情...
终端进程“CWindowsSystem32WindowsPowerShellv1.0powershell.exe”已终止，退出代码 2。
没化妆，别看
04-09 3750
今天安装了最新版的VScode，果然，出毛病了在我每次运行终端运行vue3项目时，只要主动Ctrl+C退出，终端就会闪退，报错内容如标题所示。
解决！！！“C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe”启动失败(退出代码: 4294901760)。
热门推荐
qq_38550753的博客
06-10 1万+
解决！！！“C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe”启动失败(退出代码: 4294901760)。 当咱们打开Visual Studio Code里面的终端时会出现下面的提示： 这是因为终端的窗"terminal.integrated.shell.windows": "C:/WINDOWS/System32/cmd.exe"没有弄到设置里面去 我们可以点击【文件】（file）下面的【首选项】（Preferences）里面的【设置】（
WEB安全之文件包含漏洞（2）
2301_81685556的博客
06-22 815
日志文件是用于记录系统操作事件的记录文件或文件集合，可分为事件日志和消息日志。具有处理历史数据、诊断问题的追踪以及理解系统的活动等重要作用。
攻防靶场(31)：日志投毒与文件包含漏洞 Solstice
OneMoreThink
01-04 343
目录1. 侦查 1.1 收集目标网络信息：IP地址 1.2 主动扫描：扫描IP地址段2. 初始访问 2.1 利用面向公众的应用3. 权限提升 3.1 利用漏洞提权：高权限运行的程序靶机下载地址：https://www.vulnhub.com/entry/sunset-solstice,499/1. 侦查1.1 收集目标网络信息：IP地址靶机启动后，没有提供IP地址。由于Ka...
gulp serve 报错
PariyPeng
09-11 1690
gulp : 无法加载文件 C:\Users\Administrator\AppData\Roaming\npm\gulp.ps1，因为在此系统上禁止运行脚本。有关详细信息，请参 阅 https:/go.microsoft.com/fwlink/?LinkID=135170 中的 about_Execution_Policies。 所在位置 行:1 字符: 1 + gulp serve + ~~~...
软件正在吞噬世界，安全防护，要从供应链角度考量。
开源社KAIYUANSHE的博客
08-16 537
日前，开源软件 XZ 被植入“后门”事件，引发了网络安全界的轩然大波。研究人员发现，在包括 Red Hat 和 Debian 在内的多个流行 Linux 版本中，一款压缩工具被悄悄植入了恶意代码，这样攻击者即使没有有效账号，也可以通过 SSHD（一个负责 SSH 连接工作的关键二进制文件）访问系统了。通过进一步的深入分析，研究人员认为本次爆出的“后门”事件是一次典型的软件供应链投毒事件。因为相关的...
人工智能的头号威胁：投毒攻击
leyang0910的博客
06-20 776
随着掌管数字生活入口的万亿美元俱乐部企业——苹果公司跳入人工智能（AI）赛道，AI技术民主化的大幕正式拉开，同时也将AI安全问题推向舆论的风口浪尖。根据瑞银本周一的智能手机调查报告，在中国以外的智能手机用户中，只有27%的人对提供生成式AI功能的设备感兴趣，价格和隐私才是用户最关心的问题。显然，用户最关心的不是AI带来的效率和体验，而是隐私和AI安全的新威胁。
Windows Powershell 报错 [启动“powershell.exe”时出现错误 0x8007010b]解决方案
aaon22357的博客
10-31 1万+
这里写自定义目录标题问题解决方案 问题 最近刚装上了 Windows Powershell，之前运行都好好的，突然某一次就无法打开了，报错如下： 解决方案 看了网上的解决方案，大都是将 C:\Windows\System32\WindowsPowerShell\v1.0 添加到环境变量，然而我加完后没有任何变化… 重新看一下报错信息：无法访问目录 C:\Users\xxx|Desktop，感觉像是在启动Powershell时，找到了C:\Users路径下的某个文件里，但是我们的Powershell并没有安
[Meachines] [Medium] poison LFI+日志投毒+VNC权限提升
08-16 638
#FreeBSD #LFI #日志投毒 #VNC权限提升
模型投毒攻击的具体实现方式有哪些？
08-22
模型投毒攻击是机器学习安全领域中的一个重要问题，攻击者通过在模型训练阶段注入恶意操作，以达到操控模型行为的目的。这种攻击方式主要集中在模型训练阶段，攻击者可以利用训练数据或训练过程的漏洞，对模型施加...
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值