<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[natai9的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/natai9</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; natai9]]></copyright><item><title><![CDATA[应急响应靶机-Linux-web-02]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/163791567</link><guid>https://blog.youkuaiyun.com/natai9/article/details/163791567</guid><author>natai9</author><pubDate>Sun, 16 Aug 2026 06:17:46 +0800</pubDate><description><![CDATA[补充：后续上传的PHP马是直接丢在网站根目录下的，访问路径是/version2.php，典型web层面的文件持久化后门，哪怕漏洞被修复了，原shell.php被删除，只要version2.php没被发现删除，攻击者就还是随时都能访问、控制该服务器。（3）提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?abcdefg只需要提交abcdefg?3、提交第一次Webshell的连接URL(http://xxx.xxx.xxx.xx/abcdefg?]]></description><category></category></item><item><title><![CDATA[应急响应靶机-Linux1]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/163580974</link><guid>https://blog.youkuaiyun.com/natai9/article/details/163580974</guid><author>natai9</author><pubDate>Sat, 08 Aug 2026 07:06:03 +0800</pubDate><description><![CDATA[日志记录的内容很多，日志里面很可能存下了攻击者行为：攻击者 IP、连接记录、写 ssh 密钥、写 crontab 后门的相关事件。在应急响应中：Redis是高危攻击面，最常见的就是未授权访问，看到有redis账号最好检查一下Redis的配置、日志。除此之外，还发现黑客编辑/etc/rc.d/rc.local，这是个开机启动脚本文件，相当于开机启动项。查看服务器上所有 SSH 成功登录的记录，并只提取：时间、登录方式、登录用户 / 登录 IP。3.notice：生产默认级别，只记录重要事件，普通操作不记。]]></description><category></category></item><item><title><![CDATA[工具分享--IP与域名提取工具3.0]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/161598424</link><guid>https://blog.youkuaiyun.com/natai9/article/details/161598424</guid><author>natai9</author><pubDate>Mon, 01 Jun 2026 17:26:05 +0800</pubDate><description><![CDATA[基于2.0版本的基础改动了以下几个地方:
IP-网段过滤，可以快速把各种网段如：192.168.1、170.18、192.168.1.0/2轻松去掉，提高你的干活效率！！！
显示被过滤的IP网段
统一各个模块的滑动条样式
界面样式预览：]]></description><category></category></item><item><title><![CDATA[从外网打点到渗透内网域控 NASA]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/161057300</link><guid>https://blog.youkuaiyun.com/natai9/article/details/161057300</guid><author>natai9</author><pubDate>Wed, 13 May 2026 20:51:54 +0800</pubDate><description><![CDATA[靶机下载地址。]]></description><category></category></item><item><title><![CDATA[应急响应靶机 -web3]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/154495051</link><guid>https://blog.youkuaiyun.com/natai9/article/details/154495051</guid><author>natai9</author><pubDate>Thu, 06 Nov 2025 18:01:59 +0800</pubDate><description><![CDATA[查看apache的log日志搜索.php或者post（如果有下好靶机后打开日志文件路径发现log的大小为0不要懵比，看着图中对应文件名点，打开方式选择记事本就行）先看下隐藏用户的目录下有没有东西，结果在下载目录找到个.bat，用记事本打开就看见了。接下来看看，粘滞键，开机自启动，任务管理器占用率，然后在计划任务里找到了。解压后右键.ovf文件，使用vmware打开，直接导入即可食用。刚重置的时候看见了一个Hacker用户，到用户管理看看怎么个事。终于，在用户编辑下面找到了最后一个flag。]]></description><category></category></item><item><title><![CDATA[MCP（trae）+ IDA-提高干活效率]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/153839533</link><guid>https://blog.youkuaiyun.com/natai9/article/details/153839533</guid><author>natai9</author><pubDate>Fri, 24 Oct 2025 19:38:36 +0800</pubDate><description><![CDATA[1、IDA Pro：推荐9.0以上版本，越高越好，但由于煮啵太懒了，没仔细找，只好找了一个8.3的，还行能用。在【Edit】-【Plugins】-【MCP】启用MCP服务，或者是快捷【Ctrl+ALT+M】启用。3、python：3.11及以上版本，当时配的时候因为用的是3.8版本太低了一直报错，懵了老半天。把内容复制粘贴到trae，点击小齿轮—MCP—手动添加—粘贴—确认。首先，依旧手痒，下面是相关文章链接。配好后是这样的，有个小勾下面有内容。安装IDA-Pro-MCP插件。MCP服务端安装与配置。]]></description><category></category></item><item><title><![CDATA[MCP（trae）+ wireshark-提高干活效率]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/152516928</link><guid>https://blog.youkuaiyun.com/natai9/article/details/152516928</guid><author>natai9</author><pubDate>Sat, 04 Oct 2025 19:03:20 +0800</pubDate><description><![CDATA[喔 对还会用到Node.js，得花点心思装一下，并将目录添加到系统环境变量path中–wireshark的也要。3、下载MCP支持代码（我用的是第一个，第二个是最近发现的，没用过，有兴趣的可以去试试）在WireMCP-main目录打开CMD运行MCP服务器。2、安装好要用到的MCP工具（这里我用的是trae）点击Trae的小齿轮，添加MCP–手动添加。问题：分析wireshark当前抓包的内容。嗯，依旧XX，下面是相关文章链接。]]></description><category></category></item><item><title><![CDATA[通过MCP(trae)调用+Kali工具-提高干活效率]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/152289911</link><guid>https://blog.youkuaiyun.com/natai9/article/details/152289911</guid><author>natai9</author><pubDate>Tue, 30 Sep 2025 01:24:12 +0800</pubDate><description><![CDATA[扫描这台机器是否存在ms-17010漏洞，并获得管理员权限：192.168.105.112。别忘了，mcp_server.py文件里面的这个地方也要改，改成kali的IP地址。2、安装好要用到的MCP工具（这里我用的是trae,因为它免费，嘻嘻）服务器 MCP Server是 kali_server.py。客户端 MCP Client是 mcp_server.py。无需多言，依旧手痒起步，下面是相关文章链接（手痒原因）把kali_server.py上传到kali并运行。其他使用案例或提示词。]]></description><category></category></item><item><title><![CDATA[应急响应靶机-WindowsServer2022-web2]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/151830274</link><guid>https://blog.youkuaiyun.com/natai9/article/details/151830274</guid><author>natai9</author><pubDate>Thu, 18 Sep 2025 15:01:19 +0800</pubDate><description><![CDATA[题目有提到伪QQ号和服务器IP、端口信息，但用火绒剑看了一下没见有什么可疑进程，那就查一下攻击者上传后门后那段时间修改的文件，进行排查，后门上传时间是2024-2-29 13:00左右，用everything工具可以直观的看到。通过搜索关键字可以发现，system.php就是通过ftp服务上传的，说明攻击者成功爆破了ftp服务的账户密码，然后上传了后门文件。ftp日志，刚点开就看见一堆登录失败日志，很明显是在做弱口令爆破，攻击者IP也是一样的。日志开头可以看出，攻击者使用了目录扫描工具。]]></description><category></category></item><item><title><![CDATA[应急响应靶机-WindowsServer2022-web1]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/151286394</link><guid>https://blog.youkuaiyun.com/natai9/article/details/151286394</guid><author>natai9</author><pubDate>Sun, 07 Sep 2025 13:51:48 +0800</pubDate><description><![CDATA[再从Kuang.exe_extracted中找到Kuang.pyc文件，上传至Python在线反编译网站中就可看到，在py代码中，挖矿程序对矿池域名wakuang.zhigongshanfang.top发起请求。成功进入后访问了“/admin/plugin.php”等admin路径下的地址，其中多次看到了关键词：plugin（插件，插件功能一般都存在文件上传点）修复建议：更改网站管理员弱口令，对网站做防篡改保护，对后台做访问防护，让未授权人员不仅不能上传文件，还不能进入后台，这样就能大幅降低网站安全风险。]]></description><category></category></item><item><title><![CDATA[工具分享--IP与域名提取工具2.0]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/151281930</link><guid>https://blog.youkuaiyun.com/natai9/article/details/151281930</guid><author>natai9</author><pubDate>Sun, 07 Sep 2025 10:48:10 +0800</pubDate><description><![CDATA[基于原版的基础上新增了一个功能点:IP-A段过滤，可以快速把内网192、170、10或者其它你想要过滤掉的IP-A段轻松去掉，提高你的干活效率！！！]]></description><category></category></item><item><title><![CDATA[应急响应靶机-WindowsServer2022挖矿事件]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/150641959</link><guid>https://blog.youkuaiyun.com/natai9/article/details/150641959</guid><author>natai9</author><pubDate>Sat, 23 Aug 2025 15:40:29 +0800</pubDate><description><![CDATA[一般来说挖矿程序的话，CPU、GPU、内存三者中就会有个使用率高的家伙，crtl+shift+esc打开任务管理器查看使用情况。回到任务管理器，右键XMRig miner，打开文件所在位置，可发现与程序存在同一目录下的config.json配置文件。win+r，然后输入eventvwr打开事件查看器，Windows日志–安全（查看安全日志）根据端口开放情况，可以判定攻击者对rdp端口进行暴力破解，因此攻击的端口为。没看见服务器部署WEB服务，可能是RDP远程登录进来的，那就看下日志。]]></description><category></category></item><item><title><![CDATA[BugKu-CTF-web-noteasytrick]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/150520357</link><guid>https://blog.youkuaiyun.com/natai9/article/details/150520357</guid><author>natai9</author><pubDate>Tue, 19 Aug 2025 11:43:43 +0800</pubDate><description><![CDATA[注：掏了10金币买的原题作者写的WP，然后copy发的，没什么金币又解不出的bro可以看看这个😁]]></description><category></category></item><item><title><![CDATA[应急响应靶机 - easy溯源]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/150353906</link><guid>https://blog.youkuaiyun.com/natai9/article/details/150353906</guid><author>natai9</author><pubDate>Wed, 13 Aug 2025 19:35:33 +0800</pubDate><description><![CDATA[在root目录下发现‘chuantou’文件夹（root密码zgsfsys，一登进去ls一下就看见了OVO），发现是内网穿透工具，在frpc.toml下发现攻击者服务器地址为。http://127.0.0.1:8080/ 访问看看，发现存在未授权访问漏洞，所以存在漏洞的服务就是Jenkins。登录进去后先使用history看一下历史命令，发现一段可疑编码带有’base64’关键词。经过解码后发现是一个反弹shell且为私网地址，因此可以判断这是跳板机IP地址。4、攻击者留下的flag（格式zgsf{}）]]></description><category></category></item><item><title><![CDATA[BugKu-CTF-web-留言板1]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/150269063</link><guid>https://blog.youkuaiyun.com/natai9/article/details/150269063</guid><author>natai9</author><pubDate>Tue, 12 Aug 2025 13:36:19 +0800</pubDate><description><![CDATA[公网服务器接收到的flag（之前看到一些师傅wp里用flask、XSS平台接收cookie，所以就光顾着纠结、烦恼flask、XSS平台没有接收到cookie，根本没想到nv -lvv 80 或者python3 -m http.server 80也能接收到flag…因为最近这道题解了好久，即网上和题目下方留言区都有wp链接和payload，但就是做不出，好痒啊~~后来通过虚心请教某师傅，终于得到解题方法，加上网上也没找到几篇像样的wp，所以就打算发一篇（其实是因为这题花了我好多金币，有点难受了）]]></description><category></category></item><item><title><![CDATA[工具分享--IP与域名提取工具]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/149280407</link><guid>https://blog.youkuaiyun.com/natai9/article/details/149280407</guid><author>natai9</author><pubDate>Fri, 11 Jul 2025 18:18:38 +0800</pubDate><description><![CDATA[最近在干活的时候发现一个小工具，用于提取防火墙、态感等设备日志中的恶意域名和IP地址，并且带有自动去重、一键去重等功能，极大程度上提高了工作效率，豪用！
这是原文地址：
https://mp.weixin.qq.com/s/irM4e7fcc-iiPRwfJ5lw_w
下面是我改良之后的版本，新增了两个功能点

1、处理模式分为两个：
唯一IP模式：完全移除重复IP，仅保留出现一次的IP，这个可以用来对照防火墙实际封禁IP与每日记录的封禁名单有什么差别。
传统去重模式：保留重复IP的一个实例。
2、重复IP]]></description><category></category></item><item><title><![CDATA[应急响应靶机训练-近源OS-1]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/148801630</link><guid>https://blog.youkuaiyun.com/natai9/article/details/148801630</guid><author>natai9</author><pubDate>Sat, 21 Jun 2025 01:42:29 +0800</pubDate><description><![CDATA[提到后门的话第一个想到的就是shift后门（连续点击shift键5次）六百六十六，煮播盐都不盐了：）其实是最近看HVV的面试题看到了这种后门，everything找到sethc.exe的路径，cmd计算MD5。设置好后，桌面就出现个lnk文件夹，点开看见个test.bat，把后缀改为.txt然后用记事本打开，就可以得到内网跳板IP地址。把上面的答案复制粘贴到"解题.exe"即可（不知道为啥虚拟机粘不上去，建议把"解题.exe"复制到物理机运行）点到这里，选择低一点的版本,我一般选15.x，点下一步。]]></description><category></category></item><item><title><![CDATA[vulnHub-Brainpan-1]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/148751830</link><guid>https://blog.youkuaiyun.com/natai9/article/details/148751830</guid><author>natai9</author><pubDate>Thu, 19 Jun 2025 01:13:43 +0800</pubDate><description><![CDATA[用以上输出结果修改exploit.py脚本中的payload变量 并再次执行exploit.py脚本使目标程序崩溃，记录下Immunity Debugger中的esp address。构建exploit.py脚本，我们在exploit.py脚本中添加windows的IP，结合前面得到的能够使目标程序崩溃的offset值-524个字符大小，得到以下初始脚本。immunity debugger工具下载地址为：https://www.immunityinc.com/products/debugger/]]></description><category></category></item><item><title><![CDATA[vulnhub-Matrix-Breakout 2 Morpheus]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/148724594</link><guid>https://blog.youkuaiyun.com/natai9/article/details/148724594</guid><author>natai9</author><pubDate>Tue, 17 Jun 2025 21:49:49 +0800</pubDate><description><![CDATA[因为蚁剑的文件不是完整的，可能会有隐藏文件，做个反弹shell双管齐下（一句话需要魔改一下，弄上URL编码，干掉问号和空格和&）cat一下查看内容，结尾出现了一个名叫cypher-neo.png的图片。发现在graffiti.php的输入框输入内容后会保存到graffiti.txt文件中，先抓个包看看变量名。看看端口详细信息 nmap -A -T4 -p- 192.168.13.145。访问80端口，发现是个带着图片的界面，没有什么可以传参的地方。查看刚才提示里的图片，在网站上看不有啥，下载下来看看。]]></description><category></category></item><item><title><![CDATA[vulnhub-Web Machine-(N7)]]></title><link>https://blog.youkuaiyun.com/natai9/article/details/148700544</link><guid>https://blog.youkuaiyun.com/natai9/article/details/148700544</guid><author>natai9</author><pubDate>Mon, 16 Jun 2025 21:51:49 +0800</pubDate><description><![CDATA[只回显了一半FLAG，没头绪了，于是上网找一下WP看看，发现必须得扫出enter_network这个目录，没扫出来说明字典还不够强大…直接浏览本地文件，提交不能成功，检查网页源代码，发现目标地址是localhost，改为靶机IP后再次点击提交。访问http://192.168.56.102/enter_network/先抓个访问请求的包复制到txt文件中，然后使用命令先爆破库名。发现一个新页面/exploit.html，有个文件上传点。得到库名Machine，用该库名爆破表名。访问80端口，发现啥也没有。]]></description><category></category></item></channel></rss>