柳似烟的专栏

支持到微软Surface pro系列。

基于热重启（warm-boot）的内存镜像获取，提取内存敏感数据信息，实现取证目的

同样的，具备TPM芯片的电脑，在系统中存在一个\Device\TPM的设备以及对应的TPM驱动程序，所以，当对系统进行基于TPM芯片的Bitlocker加密时，存在DeviceIOControl的交互，下面通过抓包来窥探这一过程。同样，基于TPM的安全启动链也不做过多解释，简单说就是当电脑通过TPM进行全盘加密后，后期对电脑的改动影响系统启动，PCR校验不通过时，触发输入恢复密钥的“蓝屏”。通过分析保存的json格式的文件，追踪文件句柄，得到TPM加密时的所有与驱动层的交互数据。PCR校验位图解释如下。

RDP缓存分析、RDP取证方式，RDP，取证

向日葵RCE远程命令执行

首先下载JNDI-Injection-Exploit，该jar包实现RMI、LDAP服务功能，对外提供服务，且包含用于执行攻击命令的ExecTemplateJDK7.class和ExecTemplateJDK8.class模版文件。下载包含漏洞版本的log4j的jar包使用如下3个jar包文件添加上面3个jar包到工程：编写测试代码：import org.apache.log4j.Logger;public class Log4jDemo { /** ..

PC中的一个分卷，如果启用了Bitlocker开机自动解锁功能，会在系统的注册表中记录自动解锁的密钥信息，该密钥信息是经过加密存储的，无法直接用来解密分卷。并且会生成一个meta entry type为0x000b的元数据，存储在加密的系统盘Bitlocker结构中。要解密FVEAutoUnlock中的数据，前提条件需要通过某些手段(如目标内存镜像文件提取、TPM嗅探等)，获得加密的系统盘的RecoveryPassword或者VMK密钥，并且得到了目标磁盘的镜像。关于每个字段的详细介绍，参考。

Ghost Tunnel技术相关介绍请参考：《Ghost Tunnel：适用于隔离网络的WiFi隐蔽传输通道》通过文章我们知道，实现这种攻击需要满足一下条件：需要在目标机中植入客户端程序，用以接收指令和发送目标机信息到控制端，植入方式可以为远程植入、现场植入；目标机需要具备无线网络适配器，一般笔记本是自带无线网卡的，其它情况可以插入USB无线网卡实现；目标机发送数据利用的是Probe Reques...

工作之余，闲来无事，搞搞事情，不搞不知道，一搞还真搞了些东西，企业安全......呵呵！由于之前一直在做路由器项目，今天来看看周围的WiFi是否安全，开启我的Kali，插上USB无线网卡，目测我的网卡是拓实的双频无线网卡，Realtek 8812au芯片，开始在Github上clone下一个驱动，一阵make安装后，发现无法设置为monitor混杂模式，dmesg看到崩溃，看来Github上的驱动...

CVE-2017-8759

市面上存在一种usb设备叫BashBunny，将该BashBunny插入目标锁屏windows电脑后，就可以抓取到windows的密码hash，然后通过彩虹表或者爆破的方式即可还原目标主机的密码。后来通过进入该设备发现，其主要功能是通过Responder实现，获取windows密码hash的协议主要有SMB，HTTP，MSSQL，涉及的知识点有WPAD协议，NBNS，LLMNR等协议，以及页面

首先介绍一下网络环境，有两个内部网络，网段分别为10.0.0.0/24和192.168.0.0/24，10.0.0.0/24为内部不联网的网络，192.168.0.0/24为内部的联网的网络，不联网的网络中的主机是不能拷贝文件出来的，即只进不出（其实是通过360做限制的，安全模式下依然可以拷贝处文件），两个网络的文件交互通过一台主机来实现，这台主机的IP分别为10.0.0.9和192.168.0.

一.机械码,又称机器码. ultraedit打开,编辑exe文件时你会看到 许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码 就是机器码. 修改程序时必须通过修改机器码来修改exe文件. 二.需要熟练掌握的全部汇编知识(只有这么多) 不大容易理解,可先强行背住,混个脸儿熟,以后慢慢的就理解了 cmp a,b 比较a与b 

根据这篇文章的介绍，对target="_blank"这一属性进行钓鱼实现打开Vim创建一个html简单的页面chrome打开1.html的效果接着创建2.html的页面，这里只是一些js脚本代码用qq.com页面模拟跳转后的钓鱼页面但是，以右击的方式在新标签页打开则不会有效果所以还是习惯性的右击打开吧！！！

之前没事的时候，使用nmap检测到路由器存在弱口令admin今天没事登录路由器看看哪台机器流量比较多，刷新了几次流量统计，发现10.0.0.81的机器一直排的首位，流量蛮大，于是想看看这台机器在干什么打开我的kali系统，启动arpspoof，准备命令arpspoof -i etho -c own -t 10.0.0.81 10.0.0.1启动Wireshark，设置过滤条件i

一切从MS15-034/CVE-2015-1635漏洞开始 通过nmap扫描发现内网中的一台机器存在漏洞CVE-2015-1635 于是发起一次BSOD的攻击 So it’s just BSOD and reboot!除了这些，还能做些什么呢？接着发现其mysql数据库存在弱口令，于是登进去看了看，发现没什么可看的，不看了，增加一个用户先！ 试试mysql的文件操作命令dumpfil

通过扫描发现目标机器mssql存在弱口令