- 博客(137)
- 收藏
- 关注
RSS订阅原创 域渗透——DCSync
0x00 前言DCSync是域渗透中经常会用到的技术，本文会对开源的资料进行整理，结合自己的经验，总结利用和防御检测的方法。0x01 简介本文将要介绍以下内容：·利用DCSync导出域内所有用户hash的方法。·利用DCSync在域内维持权限的方法。·自动化检测DCSync后门的方法。0x02 利用DCSync导出域内所有用户hash的方法DCSync是mim...
2019-07-31 19:30:46
7087
原创 JS变异小技巧：使用JavaScript全局变量绕过XSS过滤器
什么是JavaScript全局变量？JavaScript全局变量在函数外部声明或使用window对象声明，它可以通过任何函数访问。假设你的目标Web应用程序容易受到映射到JavaScript字符串或JavaScript函数中的XSS的攻。例如，下面的PHP脚本：echo"<script>varmessage='Hello".$_GET["name...
2019-07-31 19:20:20
457
原创 Linux本地提权漏洞(CVE-2019-13272)预警
2019年07月20日，Linux正式修复了一个本地内核提权漏洞。通过此漏洞，攻击者可将普通权限用户提升为Root权限。漏洞描述当调用PTRACE_TRACEME时，ptrace_link函数将获得对父进程凭据的RCU引用，然后将该指针指向get_cred函数。但是，对象struct cred的生存周期规则不允许无条件地将RCU引用转换为稳定引用。PTRACE_TRACEME获取父进...
2019-07-31 19:15:10
2478
原创 本文从现代WAF的基本原理讲起，涵盖WAF指纹识别、多种WAF绕过技术（下）
今天我们来接着上一篇，讲讲WAF绕过技术的其他几个方面。Unicode标准化让Unicode标准化是Unicode的一个功能，用于比较看起来相似的Unicode符号。例如,符号“ª”和“ᵃ”有不同的代码，但肉眼看起来非常相似。标准化之后他们都将看起来像一个简单的'a'，并且被认为是相同的。标准化允许将一些复杂的unicode符号转换为更简单的代替符号。有一个Unicode规范化表，其中...
2019-07-31 19:11:58
475
原创 信息窃取器概述：如何从浏览器窃取百万数据
用户数据是黑客最感兴趣的之一，原因很简单就是因为可以变现获利。比如，窃取的数据可以用于转账到犯罪分子的账号、预订商品和服务，还可以在黑市售卖。2019年上半年，有超过94万用户被收集用户数据的恶意软件攻击。而2018年同期，只有不到60万用户被攻击。这种威胁称作Stealer Trojans(信息窃取器木马)或Password Stealing Ware (PSW，密码窃取恶意软件)，是一类专门从...
2019-07-31 19:08:55
2343
原创 实战：CyBRICS CTF Quals 2019 Web Writeup
前言周末参加了LCBC主办的2019 CyBRICS CTF Quals，在金砖五国中，获得了top5的成绩，以下是web的题解。Bitkoff Bank点一次mine btc，获得0.0000000001 BTC，而购买auto-miner需要0.1 USD。购买auto-miner后，我们的网页会多出这样一个script，每秒帮我们点击1000次，但实际上并非1秒能获得这么...
2019-07-31 19:03:56
464
原创 Shade+Spelevo Exploit Kit，一种隐秘的点击欺诈手段
摘要本文主要介绍Cybereason团队观察到的漏洞利用工具包Spelevo，并细述其漏洞利用、感染方法，以及传播Shade勒索软件的过程。介绍Cybereason团队注意到，今年以来针对日本的漏洞利用工具包（EK）开发活动呈增长趋势，原因可能是因为在日本老旧的操作系统相对较多。此次观察到的新工具包于今年三月初发现。有报告称，EK开发人员的投入和回报往往不成正比，相比较他们投入的时...
2019-07-31 19:02:01
997
原创 通过Rust编写操作系统之内存的分页与管理介绍（上）
Rust是一门系统编程语言，专注于安全，尤其是并发安全，支持函数式和命令式以及泛型等编程范式的多范式语言。Rust在语法上和C++类似，但是设计者想要在保证性能的同时提供更好的内存安全。 Rust最初是由Mozilla研究院的Graydon Hoare设计创造，然后在Dave Herman, Brendan Eich以及很多其他人的贡献下逐步完善的。 Rust的设计者们通过在研发Servo网站浏览...
2019-07-31 19:00:20
733
原创 iMessage漏洞致iPhone上任意文件读取
CVE-2019-8646漏洞http://txc248.com/Google Project Zero安全研究人员Natalie Silvanovich5月发现了苹果iMessage的一个漏洞CVE-2019-8646，并报告给了苹果。远程攻击者利用该漏洞可以在没有用户交互的情况下远程读取iOS设备上保存的文件内容。Silvanovich的PoC只在iOS 12及更高版本上运行，而且只...
2019-07-31 18:58:22
446
转载 内网全局代理工具及特征分析
简介端口转发是点对点的方式，代理是点对面的方式，如果我们只需要访问主机的特定的端口，使用端口转发就够了，但通常在渗透进内网之后，我们还需要对整个内网进行横向渗透，这时代理必然是一个高校的方法。代理分为正向代理和反向代理，正向代理常适用于外网可以直接访问到web服务器的情况下，反向代理适用于服务器可以出网，但是外部无法直接访问服务器的情况，针对大型企业，现在几乎都是CDN，负载均衡等设备，所以个...
2019-07-29 13:41:33
1458
转载 挖洞经验丨敏感信息泄露+IDOR+密码确认绕过=账户劫持
本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。今天分享的这篇Writeup是作者在HackerOne上某个邀请测试项目的发现，目标网站存在不安全的访问控制措施，可以利用其导致的敏感信息泄露(auth_token) +密码重置限制绕过，以越权（IDOR）方式，实现网站任意账户劫持（Takeover）。整个测试过程是一次最基本...
2019-07-29 13:38:18
1372
转载 在Kubernetes中创建与部署蜜罐
每周，我们都会收到大量关于新数据或个人数据泄露的消息。这使得网络安全也成为了任何IT项目的首要任务。黑客的攻击模式和工具不断创新和改进。因此，密切关注新的威胁防护工具显得尤为重要。保护网络安全的方法之一是设置蜜罐。在本文中，我们将向你展示如何在Kubernetes集群中创建，配置和部署一个蜜罐诱饵。我们将继续与你分享我们与Kubernetes的工作经验，Kubernetes是一个用于部...
2019-07-29 13:36:27
641
转载 Topinambour：Turla再次更新工具集
Turla也被称作Venomous Bear, Waterbug, Uroboros，是一个自2014年开始活跃的俄罗斯黑客组织，研究人员分析发现其最早的攻击活动可以追溯到2004年。Turla是个主要针对中东、欧洲、北美和南美以及前苏联国家外交和政府相关目标发起攻击的复杂网络攻击平台。2019年开始，Turla不断更新攻击工具集。但其开发者仍然在使用类似的代码风格来开发新的工具。本文介绍其中...
2019-07-29 13:26:49
382
转载 揭秘CISA——保护关键基础设施免受网络威胁的新联邦机构
2018年10月，网络安全与基础设施安全局（简称CISA）法案获参议院通过，并最终正式获得美国总统签署成为法律。该法案将国家保护与计划局（简称NPPD）重组为网络安全与基础设施安全局（简称CISA），以识别威胁，共享信息并协助事件响应，以保护国家的网络和关键基础设施安全。CISA的定义CISA全称为“网络安全和基础设施安全局”（The Cybersecurity and Infrastru...
2019-07-29 13:24:42
2235
转载 勒索组织INDRIK SPIDER半路分家，DoppelPaymer应运而生
CrowdStrike研究团队近日确定了BitPaymer勒索软件的一类新变种，并将其命名为DoppelPaymer。自2019年6月以来，DoppelPaymer涉及了一系列恶意勒索活动，其中就包括美国德克萨斯州埃德库奇市和智利的农业部的袭击事件。DoppelPaymer与BitPaymer大部分代码是相同的，不过也存在许多差异。BitPaymer之前一直由INDRIK SPIDER恶意组织...
2019-07-29 13:21:44
1357
转载 SLUB最新变种分析：仅靠 Slack进行C2通信
4个月之前，研究人员发现一起使用一款新出现的恶意软件SLUB的攻击活动。SLUB利用CVE-2018-8174 VBScript引擎漏洞来进行传播，使用GitHub和Slack作为恶意软件与控制器和控制器之间的通信工具。7月9日，研究人员发现一个新的SLUB变种通过了一个水坑网站进行传播。该恶意站点使用了IE 漏洞CVE-2019-0752。这是研究人员从4月开始发现该漏洞之后首次发现在野漏洞...
2019-07-29 13:19:06
1118
转载 下一代安全运营中心之智能安全编排
0x00、前言网络安全市场永远不缺新概念，最近几年Gartner 在安全领域又抛出了MDR、xDR、Next-Gen SOC、MSSP等概念。但是这概念和产品最终的目的是降低我们处理企业安全风险的处理速度和成本。可以通过MTTI（Mean Time to identify）和 MTTR（Mean Time to Response）来衡量其效果。经过公有云线上应急响应的实践得出，发现风险的能...
2019-07-29 13:16:01
3610
转载 JS变异小技巧：使用JavaScript全局变量绕过XSS过滤器
什么是JavaScript全局变量？JavaScript全局变量在函数外部声明或使用window对象声明，它可以通过任何函数访问。假设你的目标Web应用程序容易受到映射到JavaScript字符串或JavaScript函数中的XSS的攻。例如，下面的PHP脚本：echo"<script>varmessage='Hello".$_GET["name...
2019-07-29 13:12:13
641
转载 PTF：一款多模块渗透测试框架
The PenTesters Framework (PTF)The PenTesters Framework (PTF)是一个针对Debian/Ubuntu/ArchLinux开发设计的Python脚本，在PTF的帮助下，研究人员可以根据自己的需要创建一个专用于渗透测试的小型发行版系统平台。作为渗透测试人员，我们通常会有自己习惯使用的工具集或者/pentest/目录，与此同时我们也希望这些...
2019-07-29 13:08:58
1230
转载 微软RDP服务高危UAF漏洞分析（CVE-2019-0708）
一、简介CVE-2019-0708经微软披露已经有一个多月了，本文将主要围绕以下几个方面介绍该漏洞。1、 经过分析验证该漏洞是一个UAF漏洞，引发UAF漏洞的指针是由何时创建以及为何该指针在Free之后又被使用，是本文重点关注的地方。2、 该漏洞属于RDP协议实现方面的漏洞，文中会列举与该漏洞相关的RDP协议知识。二、RDP协议介绍2.1 协议简介远程桌面协议（RDP, R...
2019-07-26 20:04:36
250
转载 Gorgon黑客组织再显新招：通过在线网盘发起“三重奏”攻击
概述近日，奇安信威胁情报中心红雨滴团队在日常的样本监控过程中，发现了一个以微软名称命名的攻击文档，并在随后的关联分析中发现，此次攻击活动疑似来自一个名为Gorgon的攻击组织，而Gorgon是一个被认为来自南亚某国家的攻击组织，PAN公司的Unit42团队将该攻击活动命名为Aggah。本次活动中涉及的样本，除了使用该活动的招牌手段：Blogspot博客页面隐藏恶意载荷之外，还使用...
2019-07-26 20:02:27
509
转载 fuzz CVE-2019-1118
这篇来分析一下CVE-2019-1118，问题为stack corruption in OpenType font handling due to negative cubeStackDepth漏洞复现搭建环境，简单复现一下git clone https://github.com/adobe-type-tools/afdkocd afdkogit checkout...
2019-07-26 20:00:09
623
转载 开始公开叫卖了...美国公司正在出售武器化的BlueKeep漏洞利用
2019年05月15日，微软公布了5月的补丁更新列表，在其中存在一个被标记为严重的RDP（远程桌面服务）远程代码执行漏洞，攻击者可以利用此漏洞远程无需用户验证通过发送构造特殊的恶意数据在目标系统上执行恶意代码，从而获取机器的完全控制。从补丁分析，到漏洞分析，再到POC发布，然后是EXP视频发布，时间已经过去了2个月+10天。而本系列也迎来了第4弹。第一弹：点远程桌面服务远程代...
2019-07-26 19:57:42
217
转载 收下这张小贴士，填补那些年在HQL注入留下的坑
前言SQL注入是一种大家非常熟悉的攻击方式，目前网络上有大量存在注入漏洞的DBMS（如MySQL，Oracle，MSSQL等）。但是缺少针对hibernate查询语言的相关资源，以期本文能给在渗透测试时能给各位多提供一条路。HQL查询并不直接发送给数据库，而是由hibernate引擎对查询进行解析并解释，然后将其转换为SQL。为什么这个细节重要呢？因为有两种错误消息来源，一种来自hiber...
2019-07-26 19:54:59
286
转载 恶意软件Agent Tesla分析：揭密SWEED多年来的恶意活动
概述Cisco Talos团队近期发现了大量正在进行中的恶意软件分发活动，这些活动与我们称之为“SWEED”的威胁行为者相关联，而他们在此前发布了包括Formbook、Lokibot和Agent Tesla等一系列恶意软件。根据我们的研究，SWEED恶意组织自2017年至今以来一直在运营，主要使用窃取工具和远程访问木马针对目标发动攻击。在发送带有恶意附件的鱼叉式网络钓鱼邮件时，SWEED选...
2019-07-26 19:54:24
1779
转载 数据说话：关于软件供应链的真相
开源组件可以帮助开发人员更快地进行创新，但有时也需要付出高昂的代价。企业环境（以及商业软件公司）中的开发人员已经意识到，为了快速提供产品功能，没有比利用一些代码重新构建属于自身的软件更方便快捷的方法了。因此，他们开始越来越多地通过在其代码库中混合和匹配开源软件组件的方式来构建属于他们的软件，以最大限度地缩短其软件开发时间，留出精力编写真正能够为其应用程序增加价值和差异性的组件。这种对开...
2019-07-26 19:53:05
1567
转载 FasterXML Jackson-databind远程代码执行漏洞
近日，FasterXML Jackson-databind远程代码执行漏洞的利用方式公开。此漏洞利用FasterXML Jackson-databind的logback-core类建立JDBC连接,加载插入恶意代码的sql文件,获取服务器权限,实现远程代码执行漏洞的利用。FasterXML Jackson-databind介绍FasterXML Jackson是美国FasterXML公司的...
2019-07-26 19:52:27
7114
转载 Hawkeye逃避机制和反调试技术分析
介绍“Hawkeye Keylogger”是一款在暗网上出售的信息窃取软件，自2013年以来一直在不断发展，也增加了许多新的功能和技术。它的主要功能就是从各种应用程序（主要是电子邮件客户端、Web浏览器和FTP客户端）处收集凭据，并通过协议（如FTP，HTTP和SMTP）将它们发送给威胁行为者。Cybaze-Yoroi ZLAB将通过最近的Hawkeye样本对其逃避机制和利用Visual ...
2019-07-26 19:48:40
531
转载 六款可以在线保护用户隐私的浏览器
浏览器用户争夺战中最近又出现了一个新的红海领域：用户隐私领域，火狐(Firefox)最近将其“增强型跟踪保护”功能作为默认功能，而苹果(Apple)则紧随其后，继续在其Safari浏览器中增加注重隐私的功能。这些公司比以往任何时候都更清楚，为了真正保护人们，他们需要建立一个新的标准，将用户的隐私放在首位。PHP大马背景知介绍今年，Firefox在推出了一项“增强型跟踪保护”功能，该功能...
2019-07-25 14:19:39
7081
转载 Comodo杀毒软件爆多个漏洞
Comodo是一家位于美国的软件公司，总部设在新泽西州泽西城，成立于1998年，是世界著名的IT安全服务提供商和SSL证书的供应商之一。研究人员在Comodo Antivirus / Comodo Antivirus Advanced等产品中发现多个漏洞，CVE编号为CVE-2019-3969、CVE-2019-3970、CVE-2019-3971、CVE-2019-3972、CVE-2019...
2019-07-25 14:18:48
978
转载 IcedID恶意软件原理分析（一）：脱壳、挂钩和进程注
概述IcedID是一种银行木马，该木马在浏览器上执行Web注入，并作为监测并操纵流量的代理。该木马能够窃取受害者的信息，例如凭据。然后，会将被窃取的信息发送到远程服务器。最近，FortiGuard Labs团队开始对一些IcedID样本进行分析。在本系列文章中，我将详细分析新的IcedID恶意软件样本，本系列将分为三个部分。·第一部分：脱壳、挂钩和进程注入·第二部分：IcedI...
2019-07-25 14:17:25
821
转载 隐藏在Chakra引擎中的一个RCE漏洞
Chakra （JScript引擎）是一个由微软为其Internet Explorer 9、Internet Explorer 10、Internet Explorer 11和Microsoft Edge等网页浏览器开发的JavaScript引擎。其特色是，它在一个独立的CPU核心上即时编译脚本，与浏览器并行。该引擎也能够访问电脑的图形处理器(GPU)，特别是对3D图形和视频的情况。Chakr...
2019-07-25 14:15:29
331
转载 减少Rust开发的闭源项目中的调试信息
Rust是一门系统编程语言，专注于安全，尤其是并发安全，支持函数式和命令式以及泛型等编程范式的多范式语言。Rust在语法上和C++类似，但是设计者想要在保证性能的同时提供更好的内存安全。由于Rust有几千行代码，所以我无论如何都不能自称是Rust专家，但这并不妨碍我对Rust的理解。我非常喜欢Rust的语法，与其他许多语言相比，Rust的具体语法和C，C++类似，都是由花括号限定代码块，还有一...
2019-07-24 21:13:28
1868
转载 本文从现代WAF的基本原理讲起，涵盖WAF指纹识别、多种WAF绕过技术（上）
前言WAF（Web应用防护系统）最近变得非常流行，针对从小型企业到大型企业的不同客户，WAF供应商也设计了许多有针对性的解决方案。 WAF之所以很受欢迎，是因为它是保护Web应用程序的复杂解决方案，涵盖了所有防护任务。这就是为什么Web应用程序开发人员可以在某些安全方面依赖WAF的原因。尽管如此，WAF还是存在某些漏洞，它并不完美。PHP大马那么，WAF应该如何证明它在项目中的实现...
2019-07-24 21:12:00
808
转载 红蓝对抗攻防实战：寻找COM对象
概述渗透测试人员、红蓝对抗的蓝军（攻击方）、恶意行动者经常会选择COM对象来实现横向移动。此前，一些安全研究人员陆续针对COM对象开展研究，包括Matt Nelson（enigma0x3）在2017年发表了一篇关于COM对象的博客文章。其中，一些COM对象也被添加到了Empire项目中。为了提升红蓝对抗中蓝军的具体实践，FireEye也针对Windows 7和Windows 10操作系统上的可...
2019-07-24 21:09:54
1410
转载 代码审计入门：MiniCMS详细分析
写在之前MiniCMS体积小，代码短小易读，可以详细分析其执行流程。通过学习可以大致熟悉MVC框架的构造，对Web server的后台处理有一个基本了解。简介MiniCMS是由达达设计编写的一个针对个人网站设计的微型内容管理系统。它的特点是：1.不需要数据库在支持，只需要一个可以运行PHP的Web环境。2.只针对个人网站设计，没有复杂的成员管理和权限设置。3.没有分类...
2019-07-24 21:05:58
632
转载 新型勒索软件MegaCortex的分析
英国网络安全公司Sophos在今年5月发现了一种名为MegaCortex的新勒索软件，根据当时的监测情况，MegaCortex已在美国、加拿大等多地区传播，该病毒攻击目标为大型企业，其通过域控服务器下发勒索病毒。在加密计算机时，勒索软件会给加密文件附加一个扩展名，有时候是.aes128ctr。也就是说名为marketing.doc的文件将被加密并重命名为marketing.doc.aes128...
2019-07-24 21:04:05
1170
转载 Sodinokibi勒索病毒利用Flash漏洞强势来袭
自GandCrab宣布停止运营以来，勒索病毒攻击事件并没有随着GandCrab的退出而减少，全球各地每天仍有用户因为数据遭到加密而损失惨重。在后来居上的各个勒索病毒家族中，Sodinokibi勒索已经成为了现在全球最流行的勒索病毒之一，也叫称为GandCrab的”接班人”。Sodinokibi勒索病毒的部分变种在加密后会将受害主机的屏幕设置成深蓝色，因此也被称为“DeepBlue”勒索，早在该...
2019-07-24 21:02:53
420
转载 APT34利用LinkedIn钓鱼，其武器库中再添三类恶意软件
背景APT34被认为是一个为伊朗的国家利益服务的黑客组织，主要侧重于网络间谍活动，至少从2014年开始就一直处于活跃状态。这个组织已经广泛地针对各个行业，包括金融、政府、能源、化工和电信，并且主要集中在中东地区。随着中东地缘政治紧张局势的加剧，伊朗对战略情报的需求也变得越来越迫切。我们预计，伊朗在未来将大幅增加网络间谍活动的规模和范围，且很可能从政客和核心组织入手来填补这一空白。这一点从其...
2019-07-24 21:01:07
343
转载 反混淆神器！CyberChef助你秒解混淆脚本
1.概述CyberChef是一款强大的编码转换器，地址在：https://gchq.github.io/CyberChef/，简单易懂易上手，它集成了多种编码转换的功能，如：base64加解密、hex转换、char转换、正则表达式等，能辅助大家方便快捷地解密出恶意的脚本。其界面如下图，最左边的Operations是转换工具集，把你挑选好的工具经过DIY组合及排序拖拽到Recipe中，就可...
2019-07-24 20:59:30
3780
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人