- 博客(94)
- 收藏
- 关注
![](https://csdnimg.cn/release/blogv2/dist/pc/img/listFixedTop.png)
原创 Java代码审计&原生反序列化&CC链跟踪分析
观察到decorate方法调用过该构造方法TransformedMap,由此想到可以利用decorate方法间接控制valueTransformer,即控制decorate方法的传参valueTransformer=new InvokerTransformer(),那么执行decorate方法就会触发构造方法设置valueTransformer为InvokerTransformer类对象。总结:无非就是让前面调用方法的类发生更改,控制其等于后面的类,让其调用后面类的方法。
2024-01-24 08:16:15
1627
10
![](https://csdnimg.cn/release/blogv2/dist/pc/img/listFixedTop.png)
原创 Java代码审计&Shiro反序列化&CB1链&source入口&sink执行&gadget链
本文详细介绍了Shiro550 Commons BeanUtils反序列化利用链,以代码审计的角度跟踪分析Commons BeanUtils链的source、sink以及gadget,解释了该链触发反序列化漏洞并最终造成RCE命令执行的根本原因是什么,并且在最后深入分析了Commons BeanUtils链payload的生成逻辑。
2024-01-22 02:17:07
1858
![](https://csdnimg.cn/release/blogv2/dist/pc/img/listFixedTop.png)
原创 Java代码审计&Shiro反序列化&DNS利用链&CC利用链&AES动态调试
本文首先介绍了Java原生反序列化及其漏洞产生的原因,然后以代码审计的角度深入分析了Shiro550生成及验证RememberMe Cookie的流程,总结了Shiro550反序列化漏洞产生的根本原因,测试了URLDNS链,最后提出了一些思考
2024-01-20 07:52:05
1212
![](https://csdnimg.cn/release/blogv2/dist/pc/img/listFixedTop.png)
原创 Java代码审计&FastJson反序列化&利用链跟踪&动态调试&autoType绕过
本文深入分析了FastJson历史版本漏洞的利用链,使用IDEA动态跟踪调试,介绍了各版本不同CC链的关键执行流程及对应Poc的构造思路,另外还介绍了针对FastJson不同版本防御手法的绕过思路等等。
2024-01-16 06:24:13
1464
原创 内网渗透&代理通讯&SOCKS协议&正反向上线
反向:配置reverse_tcp后门,绑定WebServer的192.168.2.11网卡的端口xxxx,上传SQLServer执行,让流量走到WebServer的192.168.2.11网卡的xxxx端口,再在WebServer上将流量转发到WebServer的192.168.196.146网卡的yyyy端口,最后让攻击机CS命令连接yyyy端口即可。这里使用nmap扫描时发现返回不正常,这是因为SOCKS是应用层的协议,而nmap扫描可能使用了某些比较底层的协议比如ICMP,这是SOCKS无法代理的。
2024-05-17 23:35:19
778
原创 云上攻防&对象存储&Bucket桶&任意上传&域名接管&AccessKey泄漏
对象存储是一种用于存储和管理大量非结构化数据的技术,也被称为云存储。它将数据以对象的形式进行存储,并为每个对象分配唯一的标识符。与传统的文件系统不同,对象存储不采用多层级的文件结构,而是采用一个称为"桶(Bucket)"的存储空间,其中包含大量扁平化的对象。对象存储的最大特点是对象名称即为一个域名地址,一旦对象被设置为公开访问,任何人都可以通过访问该地址获取对象。同时,对象存储提供了REST API的方式,使得对象的拥有者可以方便地访问和管理其中的对象。
2024-04-19 20:11:48
985
原创 Android逆向-数据修改&逻辑修改&视图修改
在MT这边Smali代码定位0xbb8(16进制的3000),这里Smali代码将0xbb8赋值给寄存器v2,然后将v2传入调用sendEmptyMessageDelayed方法,猜测就是延迟的毫秒数3000ms。也就是说,如果p0大于等于v0,那么就跳到cond_15,猜测cond_15就是执行三连,于是我们可以考虑将判断条件-ge改为-le,也就是硬币小于等于10才执行三连即可。于是来到MT这边的Smali代码,搜索定位0xa(也就是16进制的10) ,得知寄存器v0值为0xa。
2024-03-29 15:38:23
1131
原创 模拟器App抓包 - 证书双向验证绕过手段
总的来说推荐使用方案一,可以在 BurpSuite 方便查看,但是有时会绕不过。方案二基本上是通杀,但是只能 WireShark 查看,个人不是很习惯。方案三也是一种思路,成功与否主要在于 Apk 能否反编译拿到密钥。
2024-03-26 20:27:03
1843
2
原创 夜神模拟器如何配置BurpSuite抓包及安装Xposed框架
夜神模拟器安卓 7 以上直接安装证书是无法成功抓取 App 的 HTTPS 数据包的,因为安卓 7 默认不再信任用户安装的证书,此时就需要使用 adb 将证书导入系统进行安装,下面以夜神安卓 7 64bit 版本为例。
2024-03-25 09:28:49
1215
原创 关于模拟器App无法抓包情况及绕过手段
App无法抓包总的来说分为App有没有做限制,当App没有做限制抓不到包时,可能是工具(BurpSuite、Charles等)证书没有配置好,或者有的数据包走的不是http/https协议,这时可以选用Wireshark、科来等能抓其他协议数据包的工具,这是比较好解决的一种情况。1、反模拟器调试2、反证书检验3、反代理或VPN。
2024-03-25 00:51:15
2278
原创 关于Linux环境下的LXD及Docker提权
Docker是一个开源的容器化平台,它建立在LXC之上,并提供了一套更高级别的工具和API,使得容器的构建、分发和运行变得更加简单。LXD主要面向系统级容器,可以运行完整的操作系统镜像,并提供类似于虚拟机的环境。上述提权方案只是对宿主机目录有了操作权限,如果此时反弹 shell 得到的权限将是容器内的 root 权限,而非宿主机的 root 权限,显然不是我们想要的。拉取镜像,创建容器,将宿主机的根目录 "/" 挂载到容器中的 "/mnt" 目录,进入 /mnt/root 目录查看便可得到 flag`
2024-03-22 00:18:36
1728
原创 Vulnhub - Hacker_Kid
Base64解码,发现admin账户密码,注释说是设置运行python的密码,联想起信息收集知道目标主机开放9999端口Tornado服务,而Tornado是一个基于Python的Web框架和异步网络库,所以猜测这里admin账户密码很可能是9999端口网站的。获取当前环境不同二进制文件的Capability,发现/usr/bin/python2.7的权限为cap_sys_ptrace+ep,允许跟踪所有进程,那么就可以考虑类似Windows进程注入的操作,注入root用户运行的进程,获取其权限。
2024-03-20 02:22:03
722
原创 Vulnhub - Raven2
usr/lib/mysql/plugin/是因为当前权限是www-data,大概率是不够的,这里是通过MySQL的root用户权限将/tmp/udf.so导出到了/usr/lib/mysql/plugin/目录。得知当前MySQL版本为5.5.6>5.2,secure_file_priv为空代表可以写入,插件路径为/usr/lib/mysql/plugin/,综上所述,符合UDF提权条件。Kali开启nc监听4444端口,访问/shell.php,成功收到会话,权限为www-data。
2024-03-18 08:33:36
677
原创 Vulnhub - Symfonos
发现attention.txt,将其下载到本地并查看,其内容为Zeus叫员工停止使用'epidioko', 'qwerty', 'baseball'这三个密码,被他发现就要炒鱿鱼了,那看来Zeus应该是个老板哈哈哈。其中Sharename为共享文件夹的名称:print$为打印机驱动程序的共享文件夹,helios为用户helios个人共享文件夹,anonymous为匿名共享文件夹,IPC$为IPC服务的共享文件夹。访问以下路径发现刚才的邮件已经写进去了,这里没有webshell代码是正常的,说明被执行了。
2024-03-17 09:45:17
1232
原创 Vulnhub - Jarbas
Nmap扫描目标主机,发现开放22、80、8080、3306端口,分别运行OpenSSH 7.4、Apache httpd 2.4.6、Jetty、MariaDB服务,目标操作系统为Linux。因开放3306端口,猜测可能为MySQL账号密码,尝试连接但失败。对于类Github的中间件,比如上个靶场Devguru的Gitea,都可以去寻找有没有命令执行的地方,然后尝试反弹shell。将bash反弹命令追加到后面去,Kali这边nc监听5555端口,等待一段时间,成功收到会话拿到root权限和flag。
2024-03-16 05:01:06
357
原创 Vulnhub - DevGuru
在GitHub找到Gitea源码,在该存储库下搜索关键字"pbkdf2",其使用pbkdf2算法进行加密,生成长度为50的hash值,迭代次数为10000,Salt就是之前的Bop8nwtUiM。MSF搜索Gitea相关漏洞发现CVE-2020-14144,该漏洞需要认证才可使用,我们现在已满足条件,设置好options然后run,成功拿下frank的普通用户权限。访问80端口页面如下。翻阅源码,发现 /config/database.php存在MySQL数据库账号密码泄露,用户为october。
2024-03-14 06:56:02
915
原创 Vulnhub - Toppo
根据/admin/notes.txt中泄露的ssh密码(12345ted123),猜测用户名为ted,使用Xshell成功连接,得到普通用户权限ted。这个靶场个人觉得设计的有点不切实际。另外,辅助探测脚本还检测到NOPASSWD的SUDO命令:/usr/bin/awk(通过cat /etc/sudoers也能查到)直接通过/usr/bin/python2.7反弹shell,Kali这边nc监听反弹,成功拿到root权限和flag。检测到可利用的SUID权限的文件:/usr/bin/python2.7。
2024-03-14 03:30:28
420
原创 Vulnhub - DC-1
Nmap扫描目标主机,发现开放22、80、111、40884端口,分别运行OpenSSH 6.0p1、Apache httpd 2.2.22、rpcbind 2-4服务。MSF搜索Drupal,使用payload:exploit/unix/webapp/drupal_drupalgeddon2,成功拿到Web权限www-data。查询GTFOBins得知find的SUID提权方式如下,启用一个新的root权限的bash。上传综合辅助探测脚本LinEnum.sh至目标主机/tmp目录下,给予执行权限执行。
2024-03-14 02:19:26
388
原创 Vulnhub - Morpheus
得知系统为Debian 11,内核版本为5.10.0,检测到[CVE-2022-0847] DirtyPipe,并给出了EXP下载地址,但MSF收集有这个漏洞,直接搜索即可。MSF搜索CVE-2022-0847,使用payload:exploit/linux/local/cve_2022_0847_dirtypipe。dirbuster扫描80端口网站目录,访问发现/graffiti.php,是一个类似评论的页面。设置session并run,成功拿下root权限,随后得到/root目录下的flag。
2024-03-13 08:42:17
429
原创 VulnHub - DarkHole
得知系统为Ubuntu 20.04,内核版本为5.4.0,检测到[CVE-2021-4034] PwnKit,并给出了EXP下载地址,但MSF收集有这个漏洞,直接搜索即可。MSF搜索CVE-2021-4034,使用payload:exploit/linux/local/cve_2021_4034_pwnkit_lpe_pkexec。登录admin用户,尝试上传webshell,但此处存在黑名单限制,利用特殊后缀.phtml成功绕过。Wappalyzer显示编程语言为PHP,操作系统为Ubuntu。
2024-03-13 07:17:28
420
原创 VulnHub - Lampiao
得知系统为Ubuntu 14.04,内核版本为4.4.0,检测到[CVE-2016-5195] dirtycow,并给出了EXP下载地址,我这里用的EXP是另外从EXP监控项目里找的。DirSearch扫描网站目录,发现/CHANGELOG.txt等多个敏感文件和目录,其内容显示Drupal版本为7.54。上传dcow.cpp至目标主机/tmp目录下,c++编译为目标文件dcow,python切换为pty环境执行dcow。Wappalyzer显示CMS为Drupal 7,编程语言为PHP。
2024-03-13 06:27:32
432
原创 Java代码审计&鉴权漏洞&Interceptor&Filter&Shiro&JWT
本文深入探讨了当前主流的鉴权方式,包括Interceptor、Filter、Shiro和JWT,并提供了相应的审计思路。作者以实际项目为例,详细介绍了Interceptor鉴权、Filter鉴权、Shiro鉴权和JWT鉴权的审计过程,强调了审计时的关键步骤和代码追溯方法。以NewbeeMall、华夏ERP、Tumo博客和FastCMS为案例,展示了在不同项目中的具体应用。文章突出强调了审计中的关键点,如Interceptor中preHandle方法、Filter中doFilter方法、Shiro配置信息、J
2023-12-26 20:51:30
1660
原创 Java代码审计&Mybatis注入&文件上传&下载&读取
本文以 Ruoyi、Inxedu、Oasys、Tmall 等项目案例介绍了Mybatis注入、文件上传&下载&读取的代码审计,介绍了审计思路:1、寻找并测试文件上传功能点,抓包得到对应路由等信息,从而定位到功能实现的具体代码(代码溯源),然后审计其是否存在漏洞;2、通过搜索 Java 文件操作常用函数,定位到功能点对应代码段,审计其是否存在漏洞(常规审计思路)。此外,详细介绍了审计流程,如何跟进等等。
2023-12-22 13:05:46
2015
1
原创 浅尝 Nuclei POC 编写
本文讲解了如何使用 YAML 语言编写漏扫工具 Nuclei 的 POC,以两个不同类型的 CVE 为例,介绍了匹配结果和匹配交互的两种情况该如何编写 POC,最后引入并介绍了一款辅助生成 Nuclei POC 模板的 BurpSuite 插件(Nuclei Template Generator Plugin)
2023-12-21 14:01:58
4102
2
原创 JWT介绍&空加密&暴破密钥&私钥泄露&密钥混淆&黑盒
本文介绍了什么是 JWT,并将基于 Token 的验证方式与 Cookie+Session 的验证方式对比,介绍了 JWT 三个组成部分(Header、Claims、Signature)及 JWT 流量特征(eyJ)。着重讲解了 JWT 的漏洞利用方式(空加密算法、爆破密钥、私钥泄露、密钥混淆),最后总结了黑盒下 JWT 漏洞的测试思路。
2023-12-21 13:30:23
4561
1
原创 Actuator内存泄露及利用&Swagger未授权&自动化测试实现
本文主要介绍了Actuator和Swagger的未授权访问导致的漏洞利用。Actuator提供了一系列端点用于监控和管理Spring Boot应用程序,但配置不当可能导致敏感信息泄露。Swagger是一个方便开发人员进行接口开发和测试的工具,可用于自动化接口漏洞安全测试。使用Postman、BurpSuite和Xray进行工具联动,自动化测试Swagger接口,可大大提升效率。
2023-12-20 14:34:11
2878
原创 SpringBoot框架介绍&数据库操作&Mybatis注入&JDBC注入
本文主要介绍了 SpringBoot 如何实现请求/响应以及数据库操作,以 Hello-Java-Sec 靶场案例总结了JDBC注入/Mybatis注入漏洞产生原因及特点,最后展示了因酷时代 Inxedu 在线教育系统的Mybatis注入代码审计案例
2023-12-20 14:16:45
890
原创 JNDI注入&Log4j&FastJson&白盒审计&不回显处理
本文介绍了JNDI的概念和作用,以及LDAP和RMI两个常用的协议,Log4j / FastJson 简介及其Maven仓库配置,着重介绍了漏洞利用,以迷你天猫购物项目 Tmall 做了 Log4j / FastJson 漏洞的代码审计,最后介绍了不回显情况的处理方法。
2023-12-19 13:48:18
1698
原创 Java反射机制&类对象&成员方法&构造方法&攻击链
本文主要介绍了 Java 反射机制,如何利用反射获取 Class 对象类、Field 成员变量类、Method 成员方法类、Constructor 构造方法类,最后介绍由反射造成的命令执行。Java反射是一种强大的机制,能够在运行时获得程序或程序集中每一个类型的成员和成员的信息,从而动态地创建、修改、调用、获取其属性,而不需要事先知道运行的对象的具体细节。
2023-12-19 13:39:05
894
原创 Servlet&Filter&Listener&Mybatis&预编译&生命周期
本文介绍了Java Web 请求的三大组件 Servlet、Filter、Listener,以案例代码讲解其如何实现自身功能, 还介绍了 JDBC/Mybatis 数据库及 SQL 预编译的原理。Servlet是Web服务器上运行的程序,用于处理来自Web浏览器或其他HTTP客户端的请求。Filter是用于拦截和处理Web资源的组件,可用于实现权限控制、敏感词过滤等功能。Listener是一种特殊类,用于监听Web应用中的事件,如会话的创建和销毁。
2023-12-19 13:30:55
826
原创 第126天:内网安全-隧道技术&SSH&DNS&ICMP&SMB&上线通讯Linux&Mac
【代码】第126天:内网安全-隧道技术&SSH&DNS&ICMP&SMB&上线通讯Linux&Mac。
2023-08-04 00:40:40
1671
原创 第125天:内网安全-隧道技术&SMB&ICMP&正反向连接&防火墙出入规则上线
拓扑图:在前一次的基础上,win2008做了入站限制(只让访问Web服务),win2012也做了入站限制(只让访问打印机)思路:win7还是有外网出口的,正向tcp/反向tcp都能直接拿下;拿下win7后,生成正向tcp,让win7主动连接拿下win10(也可以反向,但需要在win7的11网卡上设置监听器,转发上线win10);
2023-08-02 00:39:43
2051
原创 第120天:免杀对抗-防朔源&防流量&防特征&CDN节点&SSL证书&OSS存储&上线
1 、防朔源拉黑-CDN节点-上线当设置木马远程连接的地址是本机真实ip时,对方可以用火绒剑等工具看到网络外联,当其拉黑ip后我们便不能正常通信了使用cdn节点让木马远程连接地址是我们注册的域名时,就算其拉黑某个cdn节点的ip,其他的cdn节点ip也会顶替上来,还是能够正常通信可在godaddy上注册域名(便宜),在cloudflare上注册cdn(免费) 2 、防特征审计-SSL证书-上线默认上线使用的是cs自带的SSL证书,有明显的cs特征。
2023-07-30 00:06:11
469
原创 第119天:免杀对抗-二开CS&Shellcode函数修改&生成模版修改&反编译重打包(下)
【代码】第119天:免杀对抗-二开CS&Shellcode函数修改&生成模版修改&反编译重打包(下)
2023-07-26 00:47:08
464
原创 第118天:免杀对抗-二开CS&上线流量特征&Shellcode生成机制&反编译重打包(上)
魔改(二次开发)CS,目的是修改其特征防溯源,或是替换模板让其生成的payload直接达到免杀效果今天的内容主要涉及以下几个方面:(修改前提是将CS的jar文件反编译,修改完后再打包替换) 1 、表面配置特征消除修改CS端口(没改的是50050端口,可修改成其他的端口)修改CS证书配置修改CS加载文件配置 2 、上线流量特征消除采用默认http(s) 的CS请求url为4位字符串(如aaa9),将这4位字符串作为传入,通过算法checksum8会得到92(93) ,蓝队可以以此判定为CS连接器。
2023-07-25 16:24:46
938
原创 第117天:免杀对抗-反VT沙盒&反虚拟机&反调试&进程APC注入&项目保护
"反VT反调试" 大致实现流程为:先检测是否在虚拟机或沙箱中运行,若不是则执行shellcode,反之则不执行。
2023-07-24 01:24:25
854
原创 第116天:免杀对抗-EDR&Syscall-hook&DLL反射注入&白加黑&隐写分离&加载器
之前介绍的是exe,现在讲的是"dll加载",当然exe的免杀技巧也可以用到dll加载上,比如加密混淆、分离等dll加载主要涉及以下几种方式:1、自写DLL调用加载:由于dll无法直接执行,所以可以写一个py文件打包成exe,其只是用来调用dll,而dll中写有shellcode2、DLL劫持-白加黑-导入加载:利用进程工具获取白应用执行要加载哪些dll,将其中某个dll导入pe工具添加恶意dll函数,然后替换原来的dll,最后运行白应用3、DLL劫持-白加黑-导出编译:(适用某些会检测dll
2023-07-23 17:45:27
939
原创 第115天:免杀对抗-特征码定位&添加花指令&加冷门壳&加反VT保护&资源修改
之前针对的是没有打包成exe的代码做文章,现在是对打包好了的exe做文章今天针对打包好的exe免杀,介绍了以下几种技术: 1 、通用跳转法:主要思想:通过跳转至其他代码区域执行代码,而不是按照原始代码的顺序线性执行,难以被静态查杀。利用工具(VirTest)检测特征码的位置,然后将特征码区域汇编移动到全0区域(即空白区),先jmp到移动后的区域,然后再jmp回来继续执行。2 、花指令改入口:花指令就是一些垃圾汇编指令(无实际操作的指令),可以使结构更加混乱,增加查杀难度,但单纯的花指令效果一般。
2023-07-22 20:32:36
748
原创 第113天:免杀对抗-内存加载&API封装&UUID标识&MAC地址&IPV4地址&各语言
这里讲的是通过UUID、MAC、Ipv4实现内存加载免杀通常情况下,我们是开辟一块内存,然后直接将shellcode写入到对应的内存中,并且该内存是可读可写可执行的状态,但这种方式太容易被杀软所查杀但如果是利用Windows自身提供的API来将加密或者封装好的shellcode写入到内存执行的话,将会大大增加查杀的难度参考连接:https://www.anquanke.com/post/id/262666。
2023-07-21 23:22:39
427
原创 第112天:免杀对抗-加载器分离&无文件落地&图片隐写&SOCK管道&参数协议化
之前的课程讲了C/C++、Python、C #、Go、Powershell、Java、ASM等的shellcode混淆加密免杀技术 现在讲的是 "无文件落地&分离拆分" 的免杀,目的是让杀软即使反编译逆向,也无法在源代码中直接看到shellcode。
2023-07-21 18:44:56
625
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人