- 博客(39)
- 收藏
- 关注
RSS订阅原创 36 NoSQL 注入
它是一个开源项目，提供各种模块和插件，用于自动检测和利用 MongoDB、CouchDB、Redis 和 Cassandra 等各种数据库中的 NoSQL 注入漏洞。然而，它们也容易受到 SQL 注入攻击，攻击者可以利用这种攻击执行恶意 SQL 语句，获取敏感数据的访问权限，甚至控制数据库。然而，与其他数据库一样，Elasticsearch 也容易受到攻击，包括 NoSQL 注入。然而，它们也容易受到 NoSQL 注入攻击，这种攻击可能造成与 SQL 注入攻击类似的后果，包括数据窃取和应用程序入侵。
2025-08-25 23:48:10
978
原创 35 HTB Manager 机器 - 中等难度
GenericAllBloodHoundNTLMNTLM：可视化域内权限关系，识别攻击路径。：查询 LDAP 信息（用户、组、SPN 等）。：枚举域对象（如：通过 SMB/WinRM 横向移动（传递哈希或密码）。：通过 WinRM 服务执行远程命令。（PowerView）：将用户添加到高权限组。：通过 GPO 创建计划任务提权。：Kerberoasting 攻击获取服务账户哈希。：DCSync 攻击导出域哈希。：提取内存中的凭据或执行 Pass-the-Hash。：通过管理员权限执行远程命令。
2025-08-18 16:45:43
919
原创 34 HTB Cat 机器 - 中等难度
然后，将猫咪名称（cat_name）替换为 HTML 实体编码的 XSS 攻击载荷，同时调整图片文件：保持 PNG 文件头有效性（Magic Bytes：‰PNG），确保服务器校验通过；（重定向到 /uploads/）返回 403 Forbidden，这里可能是上传的图片存放的位置。而事实证明，这恰恰是攻击路径。其中，$cat['photo_path'] 的值无法控制，但 $cat['cat_name'] 是可以操控的（只要它通过了黑名单过滤）。<>()\\[\\]\\/\\:] 的字符都应该被拒绝。
2025-08-16 22:57:43
864
原创 31 HTB Union 机器 - 中等难度
用不同的名字试下，有的能可以check成功，有的不成功回包里包含<a href="/challenge.php">
2025-08-16 13:34:11
821
原创 32 如何检测SQL注入攻击
SQL注入（SQL Injection）是一种常见的Web应用程序漏洞，攻击者通过构造恶意SQL查询来操纵数据库，可能导致数据泄露、篡改或删除。SQL注入仍然是严重的安全威胁，检测方法包括手动测试（单引号、UNION、时间延迟）和自动化工具（SQLmap、Burp Suite）。SQL注入发生在应用程序未正确过滤用户输入，导致攻击者能够插入恶意SQL代码并执行非预期的数据库操作。，观察是否返回数据库错误（如MySQL、MSSQL、Oracle的错误信息）。如果页面响应延迟5秒，说明可能存在SQL注入。
2025-08-16 10:33:27
433
原创 30 HTB Soccer 机器 - 容易
注意到9091也是一个web页面ffuf 试下80端口soccer.htb：可以再试下9091端口找子域名，仍然没有收获。打开页面长这样查看源代码，这页没有链接再查看下404页：没有收获。用feroxbuster："feroxbuster -u http://soccer.htb"注意到两个网页：/tiny/uploads先看下/tiny“Tiny File Manager” 在网上搜一下，是 web-based PHP file manager，也可以搜到一些漏洞利用信息。
2025-08-13 15:57:42
992
原创 29 HTB Forest 机器 - 容易 （2）
使用bloodhood加载数据，“Queries” - “Find Shorter Paths to Domain Admin”从当前拥有的svc-alfresco账户权限提升至域管理员组（Domain Admins）中的Administrator账户，需要完成两次权限跃升。
2025-08-08 12:52:18
1006
原创 28 HTB Forest 机器 - 容易 （1）
我的本地机器已安装 BloodHound（若未安装，可通过 git clone https://github.com/BloodHoundAD/BloodHound.git 获取）。是一款专为渗透测试设计的 Windows 远程管理（WinRM）工具，用于通过 WinRM 协议与目标 Windows 主机交互，提供类似 Shell 的操作环境。（2）将BloodHound收集的结果文件（20191018035324_BloodHound.zip）复制到攻击者的 SMB 共享目录。
2025-08-07 15:32:06
781
原创 26 HTB Code 机器 - 容易
（1）python建立反弹shell (具体见下文)（2）Hashcat破解hash值： hashcat -m 0 hash.txt /usr/share/wordlists/rockyou.txt（3）检查sudo权限：通过sudo -l命令发现当前用户可以免密码以root权限执行的文件（4）检查源代码，绕过过滤：....//（5）提取ssh私钥并利用：cat .ssh/id_rsaecho "<key>" > root.key------------------------ssh -i root
2025-08-07 09:34:14
810
原创 25 渗透测试培训课程第一部分 - 信息收集 内容概要
网络服务：针对性扫描与协议分析Web侦察：深度爆破与会话逻辑分析应用枚举：快速识别CMS与管理系统AD初级侦察：自动化与手动结合的域情报收集。
2025-08-03 15:22:44
475
原创 24 Active Directory基础
Active Directory 是由微软创建的一种目录服务，用于集中管理网络中的用户、计算机和其他对象。
2025-08-03 15:14:32
551
原创 23 Active Directory攻击与防护策略解析
Active Directory是微软的目录服务，用于Windows网络中的用户认证、权限和资源管理。），攻击者通过Responder工具伪造响应，诱骗用户发送NTLMv2哈希，随后用该哈希通过PtH攻击入侵文件服务器。作为通用密码，针对500个AD账户发起认证尝试，最终突破3个未启用MFA的VPN账户，其中包括一名财务部员工。攻击者通过请求SPN（服务主体名称）的服务票据并离线破解服务账户密码，且不触发警报。，攻击者通过Shodan搜索暴露在公网的该设备，上传WebShell后进一步渗透内网。
2025-08-03 11:51:23
728
原创 22 BTLO 蓝队靶场 Countdown 解题记录
1. 暴力破解攻击检测关键日志：Windows 安全事件日志登录失败 /4624登录成功）考察能力通过IP地址（）定位攻击源。识别登录类型（LogonType，如3=Network表示网络登录）。分析攻击时间线（首次成功登录时间）。2. Windows Defender 绕过技术关键操作：通过PowerShell修改Defender排除列表（考察能力理解恶意软件如何利用合法API禁用安全防护。从命令行日志中提取关键参数（如恶意文件路径chroma.exe3. 恶意域名与进程注入分析关键日志。
2025-07-28 16:28:39
835
原创 21 BTLO 蓝队靶场 SOC Alpha 1 解题记录
OS: LinuxTools: ELK 开源日志监控系统, an open-source SIEM alternative.README.txt 提示使用 http://localhost:5601/ 访问 Kibana。
2025-07-27 17:48:07
553
原创 BTL1取证
免费的包括 Phishing Analysis 1, Phishing Analysis 2, Sukana, anakus, piggy, foxy, deepblecli。付费的可在网上找write up或视频学习：Drill Down, -Pretium, -Countdown, and Sticky Situation。我在考试用到的使用都比较简单，不用格外的Cheatsheet。考试一共20题，形式和lab中的题目一样，限时24小时。遗憾的是没有达到90%，不能拿金色的证书了。
2025-07-27 00:03:47
107
原创 19 BTLO蓝队实验室/靶场说明
最近我开始使用蓝队实验室（BTLO）平台，该网站上有近200个实验和挑战，有些难度高，有些则相对简单，之后我会选取一些靶场更新write up文章。下面两张表根据难度、技能将靶场做了区分：难度（Diff）：1-10分，10分为最难。SOC分析员：如果任务涉及更高层级SOC分析员，加“+”。比如，分析实时系统内存镜像或PE可执行文件通常需要更有经验的SOC分析员。技能：所需工具、OS。
2025-07-24 16:07:46
501
原创 18 BTLO 蓝队靶场 Countdown 解题记录
背景：在倒计时行动中，目标是识别从查获的笔记本电脑中的通信内容，进而发现潜在的炸弹威胁将在何时何地发生。虽然普通的安全运营中心（SOC）分析师永远不会面临炸弹威胁，但用于识别答案的许多方法在取证调查中都很常见。泽里试图使用Eraser软件清除痕迹，但这一操作并未完全奏效，因为聊天记录和其他关键信息仍存储在设备上。倘若泽里在被捕前多采取一个步骤——在虚拟机中进行恶意活动，或是彻底清除设备操作系统，那么取证分析将会困难得多。
2025-07-24 15:55:31
668
原创 17 BTLO 蓝队靶场 Pretium 解题记录
场景：In this scenario, a user interacted with a link from an email which找这个恶意invoice, File -> Export Objects -> HTTP。
2025-07-21 18:03:49
926
原创 16 BTLO 蓝队靶场 Drill Down 解题记录
2. 问题：Run “vol.py -f infected.vmem --profile=Win7SP1x86 psscan” that will list all processes. What is the name of the suspicious process?3.问题：What is the parent process ID for the suspicious process?主要考察Valatility 用法。psscan 搜索隐藏或中止的进程。pslist 搜索正在运行的进程。
2025-07-21 17:08:08
328
转载 15 TryHackMe 靶场 Exploring SPL
有关以下命令的使用：chart\timechart生成表格化输出, dedup 去重, head/tail, sort, table, top/rare,
2025-07-11 17:50:14
38
原创 14 TryHackMe 靶场 Wireshark: The Basics
是人为添加到数据包中的元数据，用于标记、分类或记录额外信息。：服务器为每个资源（如网页、图片）生成唯一字符串（如。请求头携带E-Tag，服务器比对后决定返回。：通过唯一E-Tag标识用户身份。（未变更）或新内容。：探测服务器是否返回。来确认文件是否存在。
2025-07-11 16:39:53
1032
原创 13 Splunk练习 Boss of the SOC V1
（2）漏扫 => 可能被墙拦截，sourcetype选防火墙，action=blocked搜索条件不变，查看msg。查看URL 字段。应该是受害服务器请求解析，src_ip=192.168.250.70提交密码，一般用post，目的地址是192.168.250.70。前三个访问量高，可能有密码爆破攻击。分别查看/joomla/index.php/component/search/ 应该是搜索用，没发现输入用户名和密码/joomla/index.php 邮件相关。
2025-07-08 22:04:19
998
原创 12 Splunk Cheat Sheet
搜索请求可通过关键词、引号短语、布尔表达式、通配符、字段名/值对和比较表达式构建，搜索项之间默认以。搜索命令用于过滤事件、提取信息、计算数值、转换数据及统计分析索引数据。子搜索会独立执行一个搜索，并将结果作为参数值返回给父命令。若需跨数据类型搜索的场景较少，可将数据分至不同索引（如Web数据与防火墙数据分别存储）此搜索会检索包含“error”的网页活动事件，并返回出现频率最高的5个URI值。返回第一个匹配.org结尾的recipient值索引。将recipients字段的多个值合并为单个值。
2025-07-05 19:56:20
805
原创 9 Windows取证分析工具
快速收集和分析取证数据（如注册表、浏览器历史），然后使用其他工具（如 Eric Zimmerman 的工具，可以作为 KAPE 中的模块集成）对其进行分析。：从内存转储（.dmp文件）或硬盘镜像中提取关键证据，例如电子邮件地址、信用卡号、URL 等。：对磁盘镜像进行数字取证分析（文件恢复、时间线分析、关键词搜索等）。：查看/编辑SQLite数据库（如浏览器历史、手机应用数据）。记录取证调查过程的软件，结构化记录证据、时间线、嫌疑人信息。专业磁盘分析、数据恢复、文件签名校验。：分析恶意软件或恢复损坏文件。
2025-07-05 17:46:22
671
原创 8 Windows取证之程序执行
功能说明： 记录应用程序用于打开OpenSaveMRU键中文件的具体可执行程序。此外，每个值还会记录该应用程序最后访问的文件目录位置。存储位置C:\Users<用户名>\NTUSER.DAT注意事项： 跟踪记录用于打开OpenSaveMRU中文件的应用程序可执行文件及最后使用的文件路径。分析发现： LastVisitedPIDlMRU似乎会在任何可执行程序通过Windows资源管理器打开文件时生成记录。目前仍在研究其是否确实与OpenSaveMRU键中的条目存在关联。
2025-07-04 16:14:57
809
原创 7 Windows取证之网络
通过分析可获取网络连接的域名、MAC地址和SSID等信息，这些数据甚至足以对接入点的物理位置进行地理定位。{973F5D5C-1D90-4944-BE8E-24B94231A174} = Windows网络数据使用监视器。{DD6636C4-8929-4683-974E-22C046A43763} = Windows网络连接使用情况。：记录30至60天的系统性能历史数据，包括：运行过的应用程序、操作用户账户、每小时各应用程序的流量收发情况。： 用于确定系统连接过的无线网络，并通过网络特征识别地理位置。
2025-07-04 15:40:13
917
原创 6 Windows取证之File Knowledge
功能说明： 记录应用程序用于打开OpenSaveMRU键中文件的具体可执行程序。此外，每个值还会记录该应用程序最后访问的文件目录位置。存储位置C:\Users<用户名>\NTUSER.DAT注意事项： 记录用于打开OpenSaveMRU中文件的应用程序可执行文件及最后使用的文件路径。分析发现： LastVisitedPIDlMRU似乎会在任何可执行程序通过Windows资源管理器打开文件时生成记录。目前仍在研究其是否确实与OpenSaveMRU键中的条目存在关联。使用Eric Zimmerman开发的。
2025-07-04 15:33:21
629
原创 5 Windows取证之文件/文件夹访问
存储在 AutomaticDestinations 文件夹中的每个数据都将包含一个唯一的文件，该文件以关联应用程序的 AppID 为前缀，并在每个流中嵌入 .LNK 文件。在 Windows XP/Windows 7 上，预取文件限制为 128 个文件，在 Windows 8 和 Windows 10 上，预取文件限制为 1024 个文件。要分析单个感兴趣的预取文件，请运行PEcmd.exe -f，然后输入要解析的 .pf 文件的位置。此外，每个值还跟踪该应用程序访问的最后一个文件的目录位置。
2025-07-03 16:44:37
699
原创 4 Windows取证之文件下载
遗憾的是，即使使用此实用程序整理 ESE 数据库，我们的输出结果中仍然缺少一些关键的元数据字段，这些字段可以帮助我们识别文件下载，特别是通常会标记下载的。为了查看我的下载历史记录，让我们在 SQLite 数据库浏览器中加载我的 places.sqlite 数据库，并注意以下包含下载历史记录相关信息的表格：moz_anno_attributes、moz_annos 和 moz_places。请注意，这并非文件下载的专属，因为任何使用 Windows Shell 对话框保存文件的应用程序都会被此键跟踪。
2025-07-02 17:17:34
762
原创 2 Windows取证之浏览器
C:\Users <用户名>\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\。C:\Users <用户名>\AppData\Local\Google\Chrome\User Data\Default\Local Storage\。C:\Users <用户名>\AppData\Local\Google\Chrome\User Data\Default\Cache\ - 数据。
2025-07-02 16:52:18
774
原创 1 Windows取证之用户账号
我目前没有任何可以展示以供参考的 Kerberos 身份验证示例，但我正在为即将举行的 Windows 取证研讨会设置一个小型 Windows 环境，并且应该能够在该环境启动并运行后捕获来自该环境的客户端/服务器通信。我目前没有任何远程桌面的示例可供展示，但我正在为即将举行的 Windows 取证研讨会搭建一个小型 Windows 环境，并将收集一些 RDP 的示例。：我们可以通过查看 Services.evtx 文件中的各种事件 ID 来分析对 Windows 服务的修改。
2025-07-02 16:44:57
861
原创 AI, Cybersecurity, SOC 相关概念 - 视频介绍
（后一分钟没字幕，累了不加了）Threat Hunting 威胁捕捉主要用途是在攻击发生前的发现黑客的异常行为，也可以用于告警失效时给出异常信息以供分析，一般根据以下四种信息来捕捉异常：IoC(Indicator of Compromise), IoA(Indicator of Attack), Intel 网上情报，VA 漏洞分析分析人员要做的就是把这四类信息里的几项串连起来，发现黑客活动的迹象。
2023-06-14 23:09:45
390
原创 AI+SOC 安全产品概览（一）IBM QRadar 与 X-Force 系列
（1）漏洞识别、分级服务 X-Force Red offensive security services。（2）事件监测和响应服务 X-Force IR defensive security services。（3）威胁相关服务 X-Force threat intelligence services。监测和响应集中管理 Detection and response center - 略。2. XForce 服务。2. XForce 服务。
2023-06-10 19:12:52
1074
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人