- 博客(89)
- 收藏
- 关注
RSS订阅原创 CobaltStrike Beacon上线包解析
beacon/BeaconC2.java的process_beacon_metadata函数。common/BeaconEntry.java的BeaconEntry函数解析后续数据。在接收到上线包时，会在beacon/BeanHTTP.java文件中进行解析。dns/AsymmetricCrypto.class代码如下。decrypt函数功能为RSA解密，校验魔术头和数据长度。为了方便动态调试，将上线数据进行重放。RSA解密后的数据格式如下。
2025-03-05 20:40:12
177
原创 使用winlogbeat采集windows日志
Winlogbeat 是 Elastic 公司开发的一款轻量级日志采集器，专门用于收集 Windows 事件日志，并将其发送到 Elasticsearch、Logstash 等目标存储或处理系统。以下是使用 Winlogbeat 采集 Windows 日志并进行分析的详细步骤。
2025-03-03 11:04:26
1041
原创 SimPro - 轻量级协议模拟器
在进行安全验证工作时，我们需要对各类服务开展暴力破解测试，这就要求能够模拟多种服务。在搜寻开源项目的时候发现了fapro。fapro很强大，但由于其闭源，无法进行二次开发来满足需求，因此有了SimPro这个项目。SimPro 是用Go语言构建的协议模拟器，采用模块化架构实现多协议(FTP/SSH/DB等)服务。可用于安全验证和简单充当蜜罐服务。GitHub - Iam0x17/SimPro: SimPro 是用Go语言构建的协议模拟器，采用模块化架构实现多协议(FTP/SSH/DB等)服务。
2025-03-03 11:03:34
529
原创 ADCS-ESC7漏洞环境构造与利用
当任意用户被赋予管理CA的权限后，PSPKI 工具能直接借助 DCOM 接口，其中就有 ICertAdminD2::SetConfigEntry 接口。利用该接口，可设置 Config_CA_Accept_Request_Attributes_SAN 的值，此值等同于 ESC6 里提到的 EDITF_ATTRIBUTESUBJECTALTNAME2 的值。如此一来，便能为任意账户申请证书。运行certsrv.msc，打开CA，右键属性，打开安全，将域内账户设置为拥有颁发和管理证书的权限。
2025-02-27 15:25:57
436
原创 ADCS-ESC6漏洞环境构造与利用
然而，按照微软描述，设置该标志后，攻击者能利用这一机制为任意域用户注册证书。：攻击者必须拥有向 CA 提交证书请求的权限（通常为普通域用户权限）。在企业内部基于 PKI 为 Web 服务器颁发证书的场景中，管理员为给证书添加额外主机名，会在 CA 上设置。该标志允许证书请求中自定义主题备用名称（SAN）字段，包括任意用户身份信息（如域管理员）。将申请的证书复制保存为esc6.pem，使用openssl转为esc6.pfx，密码为空即可。使用Rubeus请求域管administrator的TGT。
2025-02-27 15:23:32
160
原创 kali更新源后签名失效/GPG密钥过期问题解决
GPG（GNU Privacy Guard）是一种用于加密和签名的工具，在软件包管理中，它被用来验证软件包的来源和完整性。Kali Linux 使用 GPG 密钥对软件包进行签名，当你从软件源下载软件包时，会使用相应的 GPG 密钥来验证软件包的签名。如果签名验证失败，就会出现签名失效的错误。通过下载并添加 Kali Linux 官方的 GPG 密钥，你可以让。添加密钥后重新执行apt-get update可以正常更新。正确地验证软件包的签名，从而解决签名失效的问题。
2025-02-26 10:10:02
517
原创 ADCS-ESC8漏洞利用
域控：192.168.110.127证书服务器：192.168.110.153域内主机：192.168.110.222域外kali：192.168.110.155。
2025-02-26 10:07:27
553
原创 ADCS-ESC4漏洞环境构造与利用
在AD中，证书模板属于安全对象，由安全描述符规定AD主体对其的访问权限。当攻击者获得模板对象的writeProperty权限，就能修改模板的AD对象属性，比如在mspki-certificate-name-flag属性里启用CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT标志，从而引发与ESC1类似的攻击风险。在证书颁发机构中的证书模板右键点击新建要颁发的证书模板，选择新复制的模板ESC2确定添加。再次回到证书服务器，查看ESC4证书模板，发现使用者名称已经被改为在请求中提供。
2025-02-25 11:09:54
456
原创 ADCS-ESC3漏洞环境构造与利用
但当存在两个特定配置的证书模板时，低权限用户利用第一个模板（需有权限注册证书且应用策略开启“证书申请代理”等）申请包含证书请求代理EKU的证书，然后使用此证书，借助第二个模板（需有权限注册证书、定义启用认证的EKU等）代表高权限用户申请证书。若CA配置存在漏洞，未严格验证就颁发证书，攻击者就能获取高权限证书，进而通过获取TGT票据提升权限，访问域内高权限资源。在证书颁发机构中的证书模板右键点击新建要颁发的证书模板，选择新复制的模板ESC2确定添加。选择应用程序策略，将策略设置为证书申请代理。
2025-02-25 11:08:57
620
原创 ADCS-ESC2漏洞环境构造与利用
当证书模板允许用户指定 Subject Alternative Name（SAN），并且没有对其进行严格的验证和限制时，攻击者就可以利用这一漏洞，通过构造特殊的 SAN 字段来获取具有高权限的证书，进而实现权限提升和其他恶意操作。：开启 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志，此标志允许通过_CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT_声明自身身份，从而实现伪装成域管理员的目的。满足上述条件，可利用证书漏洞伪装成域管理员获取更高权限。
2025-02-24 17:18:02
268
原创 ADCS-ESC1漏洞环境构造与利用
在 ESC1 漏洞利用中，攻击者通过一系列操作获取包含域管身份信息的证书后，利用 Rubeus.exe 工具，使用该证书获取 TGT 票据。：开启 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志，此标志允许通过_CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT_声明自身身份，从而实现伪装成域管理员的目的，这是 ESC1 攻击得以实施的关键步骤。：证书具备身份验证功能，例如登记为客户端身份验证，只要证书存在用于验证的相关功能，即可满足该攻击条件。
2025-02-24 17:16:38
1440
原创 LockBit多版本简单对比
LockBit是一种非常知名且活跃的勒索软件家族，自2019年首次被发现以来，已经经历了多个版本的演变。它以其高效的加密速度和自动化攻击能力而闻名，对各类组织构成了严重威胁。发展时间线如下：时间事件2019年9月LockBit首次出现，由于加密拓展名为.abcd，也被称为ABCD勒索2021年6月LockBit 2.0出现，携带窃密工具StealBit2021年10月LockBit出现Linux版本2022年3月LockBit 3.0出现，也被称为LockBit Black。
2024-10-24 17:47:57
859
原创 搭建安全的分析环境
分析恶意软件，动态行为分析是必不可少的一步，所有样本都必须在虚拟环境中执行，不可在主机上执行。因此，我们要需要搭建供动态分析的环境以及防止在主机运行的环境。
2024-10-08 13:46:08
681
原创 恶意软件基础知识——恶意软件命名
恶意软件是一个用来描述恶意应用程序和代码的术语，可以造成损害并破坏设备的正常使用。恶意软件可以允许未经授权的访问、使用系统资源、窃取密码、将用户计算机锁定并进行勒索等。——微软。
2024-10-08 13:45:00
1713
原创 PostgreSQL 任意命令执行漏洞(CVE-2019-9193)
记一次授权攻击通过PostgreSql弱口令拿到服务器权限的事件。使用靶机复现攻击过程。
2024-10-03 12:25:27
1088
原创 记录一个chatgpt接口站的明文密码泄露漏洞
前段时间看到的一个chatgpt接口网站，注册过后，习惯性的F12看下请求包和响应包，于是就有了这篇文章。
2024-10-03 12:24:27
288
原创 脚本命令类恶意代码——PowerShell混淆脚本分析方法
由于PowerShell具有强大的系统管理和自动化能力，它可以被用于执行恶意代码、进行横向移动、执行无文件攻击等恶意行为。其中，Office宏病毒是一种常见的恶意软件形式，它利用Office文档中的宏代码来调用PowerShell并执行恶意行为。这种攻击方式通常会利用社会工程学手段来诱使用户启用宏代码，从而触发PowerShell的执行。此外，还有一种被称为"无文件攻击"的攻击技术，通过利用PowerShell的内存执行功能，无需在受感染系统上写入可执行文件，从而执行恶意行为而不留下明显的痕迹。
2024-09-27 11:16:51
1411
原创 脚本命令类恶意代码——JavaScript混淆脚本分析方法
本文主要讲解JavaScript恶意脚本混淆常用语法，并根据语法关键点提取解混淆信息，以及运用动态调试处理混淆
2024-09-26 10:28:48
962
原创 推荐一些免费下载恶意样本的网站
前一阵微步下载样本开始收费，算是又断了一个很好的白嫖途径。目前工作需求是不定期获取一批不同家族样本，看了看微步基础会员每天5次的下载限制，我默默把微步网页点了X，选择其他网站进行白嫖。
2024-09-25 16:07:35
2225
原创 CVE-2024-1112 Resource Hacker 缓冲区溢出分析
CVE-2024-1112 是 Resource Hacker 软件的一个缓冲区溢出漏洞。该漏洞存在于版本 3.6.0.92 中。由于软件在处理命令行中的文件路径时未对文件字符串长度进行限制，过长的字符串参数导致内存被过度写入，从而引发缓冲区溢出。
2024-09-23 15:16:29
1135
原创 ShellCode异或编码器实现
编码器是将原始的 shellcode 转换为一种在目标环境中可以安全传输或存储的格式。通过将原始 shellcode 的每个字节进行某种操作（如 XOR、加法、字节替换等），以避免生成无效字符或被检测的字符。
2024-09-23 15:09:33
877
原创 cobaltstrike teamserver调试配置
最近在研究cobaltstrike，想着看看控制端登录teamserver的验证部分，可是却不知道该如何调试teamserver搜了一下，往上cobaltstrike二次开发环境搭建的文章有很多，不过都没有说明对teamserver的调试。在配置teamserver调试的过程中踩了一点坑，遂记录一下。......
2022-06-16 17:16:34
2776
1
原创 某抑云评论的获取思路及实现
文章目录前言分析总结前言网抑云评论区个个都是人才，这里的人说话又好听，我超喜欢这里的。把评论抓取下来方便练习网抑，又练习了爬虫，一举两得好，网抑开始分析首先，第一步肯定是打开网抑云网页，找到一首歌歌曲下面的内容为评论，我们要获取的就是评论。查看网页源代码，看看评论是否存在于源代码中，经过搜索，发现评论内容并不存在于源代码中，这时就需要使用浏览器的F12开发者工具了。选项调到network，重新加载网页，寻找和评论相关的数据，发现在get链接中存在评论内容再观察该链接的Headers
2021-08-06 17:20:05
960
原创 Frida的安装与使用
文章目录Frida介绍Frida安装Frida Java层HookFrida Native层HookFrida介绍Frida 是一款基于 Python + JavaScript的 Hook 与调试框架，可运行在Win、Mac、Linux、Android、iOS等平台它是一款易用的跨平台Hook工具，主要被用作动态二进制插桩技术Frida安装1.安装Frida模块，命令为pip install frida2.安装frida-tools模块，命令为pip install frida-tools3.
2021-04-25 23:29:39
20073
3
原创 使用android studio动态调试smali代码
文章目录Android Studio配置smalieda获取apk的smali工程设置动态调试配置Android Studio配置smalieda打开android studio设置插件中选择本地插件选择下载好的smalidea，点击ok注意：android studio4.1不兼容smalidea0.05，需要下载新版的smalidea0.06进行使用获取apk的smali工程将apk拖入android killer，选择工程打开文件路径将Project复制出来将复制出来的工程导
2021-03-24 22:33:03
641
原创 利用代码注入和JEB动态调试两种方式获取Android CrackMe注册码
文章目录前言代码注入法JEB动态调试总结前言本篇的所使用的CrackMe是Android软件安全权威指南第六章的课件使用android killer定位关键函数已知v0的值为真正注册码，可通过如下方式获取代码注入法在realSN上方插入log，将v0种的值打印出来修改smali代码后，重编编译打开ddms，降程序放入模拟器运行，输入错误的注册码在ddms的log信息中可以查看到当前正确的注册码将注册码复制，可看到注册成功JEB动态调试打开JEB，在关键位置下断附加进程
2021-03-23 21:48:35
362
1
原创 CVE-2017-11882漏洞分析
文章目录漏洞描述分析环境POC漏洞分析参考漏洞描述CVE-2017-11882是微软公布的一个远程执行漏洞，该漏洞的成因是EQNEDT32.EXE进程在读入包含MathType的ole数据时，在拷贝公式字体名称时没有对名称长度进行校验，从而造成栈缓冲区溢出。分析环境Win7 x64Office 2010POChttps://github.com/Ridter/CVE-2017-11882漏洞分析在虚拟机下运行exploit.rtf，弹出计算器已知漏洞出现在EQNEDT32.EXE中，设置
2021-02-21 11:27:53
645
原创 将shellcode变成pe文件去执行的两种方法
方法一适用于shellcode的数据量很小的时候先将shellcode转成c代码数组转成C代码的数据将数据拷贝到开辟的内存空间中执行unsigned char buff[] = {}void* exec = VirtualAlloc(0, sizeof(buff), MEM_COMMIT, PAGE_EXECUTE_READWRITE);memcpy(exec, buff, sizeof(buff));((void(*)())exec)();方法二适用于shellcode的数据量很
2020-12-08 16:32:05
616
1
原创 Git二分法查错
文章目录前言实战总结前言在更新代码或者记录的时候，总是会遇见由于某一版本记录开始存在bug，在记录量比较大的情况下人工去找存在bug的记录总是有些困难，使用git二分法查错就会变得很简单实战以下是测试二分法查错提交的一些记录，问题出现在这些提交记录中，假设test3的提交存在问题，我们可以先把版本切换到早期一个没有问题的版本git checkout 6dfd1eb98a03719a63d2cf4f9f818e4dfd7082bc这是记录是没问题的，使用git bisect good设置一个没
2020-11-26 21:51:08
619
原创 2017年上信息安全工程师真题网络扫描技术案例分析
试题：扫描技术是网络攻防的一种重要手段，在攻和防当中都有其重要意义。nmap 是一个 开放源码的网络扫描工具，可以查看网络系统中有哪些主机在运行以及哪些服务是开放 的。 namp 工具的命令选项: sS 用于实现 SYN 扫描，该扫描类型是通过观察开放端口和关闭端口对探测分组的响应来实现端口扫描的。请根据下图回答问题。【问题 1】此次扫描的目标主机的 IP 地址是多少？因为是要扫描端口，肯定是要进行握手连接，三次握手连接的第一次握手是客户端向服务器发送一个SYN消息，服务器返回应答包，根据图示，可
2020-11-19 20:14:37
2359
6
原创 一条Almanahe感染型查杀日志扩展出的知识点
工作中时刻要解决用户问题，用户的问题如下这个病毒一个小时定时复制到C盘，安全软件可以查杀，但是生成这个文件的程序找不到遇到这种问题，凭借用户所说的肯定是无法判断到底是怎么回事，首先让用户上传日志然后用户发来一条日志病毒防护,文件实时监控,发现病毒Virus/Almanahe.a!src, 已处理操作进程：System病毒路径：C:\setup.exe病毒名称：Virus/Almanahe.a!src病毒ID：A79AB283EE7EA771操作结果：已处理这一条日志，其实包含的点已
2020-11-12 12:26:20
3023
6
原创 powershell恶意脚本解混淆
文章目录前言分析总结前言现在许多病毒作者为了免杀，使用powershell脚本来执行恶意行为的病毒越来越多，这次分析的一个样本就是利用powershell混淆来隐藏嵌在其中的cs后门dll分析样本代码从图上可以很清晰的知道存放了一段base64数据，首先将base64数据解密，使用gzip解压，解压的数据进行执行想要解密，也很简单：IEX用于将字符串作为命令执行，当去掉IEX后，再文件尾加上| out-file decode.txt将IEX (New-Object IO.StreamRe
2020-11-11 23:02:37
1932
原创 实现一个远程宏模板执行恶意代码
文章目录原理实现创建宏模板创建加载远程宏文档文件运行总结原理word远程宏模板是利用word文档加载附加模板时向远程服务器发起请求而达成攻击的目的，请求并加载远程的恶意宏模板可用来执行恶意行为文档本身无恶意代码，内容中只有指向远程服务器地址的url，可以绕过安全软件的静态查杀实现创建宏模板在这里生成了两种宏模板，一种是cs生成的后门，一种是测试的弹框宏代码使用CS，生成宏代码创建一个docx文件，Alt+F11 启动vb编辑器，将代码粘贴进去，另存为dotm文件测试弹框的宏代码创建
2020-11-09 18:37:52
736
原创 Lua脚本解密
文章目录前言分析前言前段时间的O泡果奶病毒火了一把，虽然平时很少看android，却也来了兴趣，大致看了一下，也搜了搜，知道了关键点在lua上，可惜之前没接触过lua，当时并没有把脚本解出来。今天看到了一个lua解密的帖子，就试了下，没想到真的成功了，在此作一下记录吧分析android目录结构关键的lua逻辑目录关键文件是main.lua使用编辑器看也不是luac文件当我看到这个帖子时，翻看了下android的目录，果然看到了libluajava.so文件又了解到libluajav
2020-11-03 11:22:40
15153
6
原创 Synares感染型简单分析
文章目录前言样本简单分析前言Synares是去年出现的感染型病毒，当时为了弄清病毒的感染逻辑，也大致分析了一下这个病毒，最近整理文档，又发现了之前写的简短的分析报告样本简单分析当运行非C:\ProgramData\Synaptics\Synaptics.exe目录的病毒文件，首先查找自己的资源是否存在，（资源名EXERESX是被感染的前的源文件，如果存在EXERESX资源说明这是一个已经被感染的文件），存在后释放到当前目录并隐藏，创建进程执行释放的源文件。样本会判断互斥体避免多开，获取一些资源
2020-10-24 12:12:27
25984
5
原创 用python实现一个最基础的端口扫描器
端口扫描器是一种检测服务器或主机虚拟端口是开启或关闭的工具。原理是程序尝试与目标主机建立连接，如果目标主机有回复则说明端口开放。使用python写一个端口扫描器大致可以使用两种方式判断端口是否在开启状态方式一：s = socket.socket()s.connect((‘ip, port))result_code= s.recv(1024)方式二：s = socket.socket()result_code = s.connect_ex((ip, port))在这里我使用了方式二来
2020-10-21 16:21:07
800
2
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人