安全知识
文章平均质量分 64
usertony
这个作者很懒,什么都没留下…
展开
-
metasploit更新
git clone git://github.com/rapid7/metasploit-framework原创 2014-03-27 12:20:19 · 1089 阅读 · 0 评论 -
UAC
查看文章 win7 UAC bypass2010-04-15 15:25fireworm同学的翻译:原文在http://www.pretentiousname.com/misc/win7_uac_whitelist2.html我只翻译了其中关于原理的一小部分,有兴趣的可以自己去看看。Win7的UAC与Vista不同,鉴于前作糟糕的设计,为了减少UAC提示的次数,微软已经给予了三组组件绕过UA原创 2013-10-25 15:14:37 · 758 阅读 · 0 评论 -
服务应用程序如何访问当前登录用户的信息
以服务权限,即SYSTEM帐户启动的程序是无法取得用户的profile的,比如startup文件夹的路径。首先,Shell函数是不行的:SHGetSpecialFolderPath取得的是C:\Windows\system32\config\systemprofile\其次,环境变量也得不到。GetEnvironmentVariable返回203( ERROR_ENVVAR_NOT_FOUND)注原创 2013-10-25 15:14:27 · 1261 阅读 · 0 评论 -
傀儡进程
#include "stdafx.h"#include windows.h>typedef long NTSTATUS;typedef NTSTATUS (__stdcall *pfnZwUnmapViewOfSection)( IN HANDLE ProcessHandle, IN LPVOID BaseAddress );BOOL CreateIEPr原创 2013-10-25 15:14:10 · 1298 阅读 · 0 评论 -
改写PEB在傀儡进程执行代码
方法来源于shadow3,我整理下;#include #include #pragma comment(lib,"ntdll.lib")typedef long NTSTATUS;typedef struct _ChildProcessInfo { DWORD dwBaseAddress; DWORD dwReserve; } CHILDPROCESS, *PCHILDPROCESS;NTSY原创 2013-10-25 15:14:07 · 1024 阅读 · 0 评论 -
主流邮箱的反垃圾邮件技术
主流邮箱的反垃圾邮件技术2010-04-21 16:46浅析主流邮箱的反垃圾邮件技术引言随着国际互联网Internet的发展和普及,互连网的规模呈现几何级数爆炸式增长,电子邮件(e-mail)以其方便、快捷、低成本的独特魅力成为人们日常生活中不可缺少的通信手段之一。但电子邮件给人们带来极大便利的同时,也日益显示出其负面影响,那就是我们每天收到的邮件中有很大一部分是那种“不请自来”的,它们或者是推销原创 2013-10-25 15:14:01 · 8978 阅读 · 0 评论 -
Base64算法原理
Base64算法原理 收藏Base64算法将输入的字符串或一段数据编码成只含有{''A''-''Z'', ''a''-''z'', ''0''-''9'', ''+'', ''/''}这64个字符的串,''=''用于填充。其编码的方法是,将输入数据流每次取6 bit,用此6 bit的值(0-63)作为索引去查表,输出相应字符。这样,每3个字节将编码为4个字符(3×8 → 4×6);不满4个字符的以原创 2013-10-25 15:13:57 · 613 阅读 · 0 评论 -
针对卡巴斯基2010的免杀研究
文章作者:chinafe 卡巴斯基2010在针对数字签名和系统文件防护变的非常严格,注册表更不说,经过这么多年的升级基本上没有可以利用的价值,卡巴斯基2010之前版本可以通过修改感染系统文件进行启动,绕过监控,只需要给PE文件添加一个数字签名,由于卡吧监控并不严格只是判断是否加了签名,而没有判断签名是否正确,所以给很多马留了生存空间。但是,卡巴2010后的版本就没有这么幸运了,对系统目录文原创 2013-10-25 15:13:46 · 913 阅读 · 0 评论 -
恢复IE口令:理论与实践
介绍: 没人会质疑Internet Explorer是当今社会使用最为广泛的浏览器这一事实。据统计,大约70%的网络用户只愿意使用这个程序。关于它的优缺点的争论大概永远不会停止;但是,毋庸置疑,该浏览器依然是其领域内的老大。IE中内置了一些使普通用户使用起来更为简单的技术。其中一项技术,称为IntelliSense,是用来帮助执行一些常规的任务,例如自动保存的网页地址,自动原创 2013-10-25 15:13:37 · 1142 阅读 · 0 评论 -
poison ivy 脱壳
脱壳对象是Poison Ivy远控Poison Ivy是一款强大的远控,非常黄非常暴力,可以生成10KB以下的服务端,应该是世界上最牛逼的木马,可以不加“之一”。0 && image.height>0){if(image.width>=700){this.width=700;this.height=image.height*700/image.width;}}" class=blogi原创 2013-10-25 15:13:35 · 2158 阅读 · 0 评论 -
voip知识手册——voip术语解析
voip知识手册——voip术语解析第一部分: 1.什么是voip? VoIP(Voice over Internet Protocol)是一种以IP电话为主,并推出相应的增值业务的技术。VoIP最大的优势是能广泛地采用Internet和全球IP互连的环境,提供比传统业务更多、更好的服务。 VoIP可以在IP网络上便宜的传送语音、传真、视频、和数据等业务,如统一消息、虚拟电话、虚拟语音/传真邮原创 2013-10-25 15:14:40 · 1575 阅读 · 0 评论 -
如何禁止Windows文件保护(WFP)
如何禁止Windows文件保护(WFP)分类: 操作系统2009-10-19 14:56 393人阅读 评论(0) 收藏 举报如何禁止Windows文件保护(WFP)。我们先来了解下WFP是如何工作的。相关的文件是sfc_os.dll(2000下是sfc.dll,在xp下也有sfc.dll文件,但都是调用sfc_os.dll的功能)和 Winlogon.exe 。Winlogo进程通过调用sfc原创 2013-10-25 15:15:13 · 1732 阅读 · 0 评论 -
转载CVE-2013-2551利用技巧分析
CVE-2013-2551利用技巧分析转载自:http://hi.baidu.com/4b5f5f4b/item/33d5c21e33ed12181994ec6c北欧知名网络军火商VUPEN近日发表博文公布了其在PWN2OWN上,搞掂IE10+WIN8所使用的漏洞原理及高级利用技巧。之前对WIN8系统新加入的诸如HiASLR、v-table Guar转载 2013-11-17 10:11:38 · 2464 阅读 · 0 评论 -
利用FS寄存器获取KERNEL32.DLL基址算法
利用FS寄存器获取KERNEL32.DLL基址算法分类: 技术文章2008-01-09 22:52 2452人阅读 评论(0) 收藏 举报算法cparametersexceptionlistexeFS寄存器指向当前活动线程的TEB结构(线程结构)偏移 说明000 指向SEH链指针004 线程堆栈顶部008 线程堆栈底部00C SubSystemTi转载 2014-03-26 15:52:14 · 1022 阅读 · 0 评论 -
关于动态获取API地址
关于动态获取API地址有些时候,我们需要动态获取一些API的VA,然后才能调用它们.比如在对PE可执行文件进行二次开发或编写注入shellcode时,这时很有可能我们想调用的API没有被该PE文件导入,或者其所处的DLL根本没被该PE引用载入.这时,我们的解决方法可以是(罗云彬的>和>都是用的这个方法,具体细节有点不同):(1)动态获取kernel.dll载入基地址转载 2014-03-26 15:14:48 · 1046 阅读 · 0 评论 -
WinRar 4.20 - File Extension Spoofing (0Day)
# Exploit Title: WinRar File extension spoofing (0Day)# Date: 23/03/14# Exploit Author: Danor Cohen (An7i) (http://an7isec.blogspot.co.il/) (https://twitter.com/An7i21)# Vendor Homepage: http://w转载 2014-03-26 09:09:52 · 1131 阅读 · 0 评论 -
WebGoat介绍
WebGoat项目简介:WebGoat是OWASP组织研制出的用于进行web漏洞实验的应用平台,用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上,当前提供的训练课程有30多个,其中包括:跨站点脚本攻击(XSS)、访问控制、线程安全、操作隐藏字段、操纵参数、弱会话cookie、SQL盲注、数字型SQL注入、字符串型SQL注入、web服务、O转载 2014-04-17 14:11:30 · 2670 阅读 · 0 评论 -
Chrome安全架构的进化
Chrome安全架构的进化12月13-14日,SyScan首次登陆北京,携手奇虎360合力举办SyScan360国际前瞻信息安全会议。此次活动为期两天,将涵盖Windows、Android、iOS、浏览器、软件漏洞挖掘攻击等各个方向互联网安全话题,为国内外从事互联网安全领域的研究同行们提供良好的交流与合作的平台。同时本次大会还将汇集国际安全领域最新的研究成果,共享最新的安全转载 2014-03-31 20:41:20 · 1512 阅读 · 0 评论 -
本文介绍Google Native Client的设计思路.
系统架构 一个NaCl应用程序由许多可信和不可信NaCl模块组成,每个模块都在一个进程中单独运行。假想一个基于NaCL实现的,用于管理和分享图片的应用,它由两个组件构成,一个用javascript实现的用户界面接口,运行在web浏览器中,另一个是图片处理库,作为一个Native Client模块实现。在这个场景,两者都是不可信的。浏览器组件通过浏览器执行环境进行限制,而图片处理库转载 2014-03-31 20:28:21 · 797 阅读 · 0 评论 -
windows 环境下 Shellcode 总结
说到shellcode可能都有些迷茫,不知它是什么东西,可能觉得也很神秘,对于它的专业解释也很少有人提及,今天我们就从以下几个方面来对windows下的shellcode做一个全剖析:1. shellcode的发展历史以及定义2. 现今常见的windows下的shellcode种类3. 编写shellcode流程4. shellocode举例5、shellcode编码6、测转载 2014-03-13 08:53:55 · 1552 阅读 · 0 评论 -
Windbg实用手册
Windbg实用手册Windbg工作中用的不多,所以命令老是记不住,每次使用都要重新查命令,挺烦。趁这次培训的机会好好测试和总结了一下,下次再用就方便多了。在这里一起共享一下,如果有错误,请指正。基本知识和常用命令(1) Windbg下载地址http://msdn.microsoft.com/en-us/windows/hardware/gg4630转载 2014-02-27 11:57:14 · 1093 阅读 · 0 评论 -
【分享】Windbg的各种符号服务器
通常使用windbg都是用MS的符号,但是如果你去搞别的东西,比如调试firefox,符号何来?给大家提供一些常见符号服务器的地址Microsoft – http://msdl.microsoft.com/download/symbolsFirefox – http://symbols.mozilla.org/firefoxChrome – http://chromi原创 2013-11-06 21:31:26 · 2995 阅读 · 0 评论 -
打开电脑3389号大门
tscrack<!-- [1] [2] [下一页] -->原创 2013-10-25 15:13:29 · 675 阅读 · 0 评论 -
根据PE文件格式获取LoadLibraryA()/GetProcAddress()地址
本节与PE文件格式相关的术语以>为准([13]),不再强调该点。winnt.h中定义了部分相关数据结构,后面如未单独注明来自哪个头文件,均隐指来自winnt.h。执行vulnerable_0.exe,进入windbg调试状态。> !list -t _LIST_ENTRY.Flink -x "dd" -a "+18 L1" 241ec000241ed8 0040000000241f30 77f5原创 2013-10-25 15:13:16 · 1259 阅读 · 0 评论 -
证书和签名--试用微软提供的证书测试工具系列
在VS安装后发现路径**VC7\Common7\Tools\Bin\下有许多小工具,我对带有Cert的文件比较感兴趣。经过研究,发现是有关证书和签名的,当然,该证书未被证书认证机构认可。下面列出这些工具和我的使用心得。 1。Makecert.exe ---证书创建工具 2。Cert2Spc.exe ---发行者证书测试工具 3。Signcode.exe ---文件签名工具 面对原创 2013-10-25 15:13:48 · 629 阅读 · 0 评论 -
利用PStore获取帐号信息
1.简介:什么是PStore? PStore的全称为:Protected Storage。在系统服务中我们可以看到它(9x没有)。它的作用就是为应用程序的安全保存做一个接口。在它里面记录了一些隐密的信息,比方说: 1. Outlook 密码 2. 删除的Outlook帐号密码 3. IE 密码保存站点密码 4. MSN登陆密码 5. IE 自动保原创 2013-10-25 15:13:39 · 1541 阅读 · 0 评论 -
免杀之路
(一)、免杀应注意的事项: 1.免杀的测试(在线杀毒、杀毒软件上报、世界反毒网:(http://www.virustotal.com/zh-cn/) 在这里我建议大家不要上传自己的马到这样的网站上去.一上传不要多久就会被杀了.大家还是把杀软装在自己的电脑,然后测试比较好. 2.一个好的免杀木马要过文件、内存、行为、主动防御等一些专杀软件. 3.目前一些常用的杀软有:Ahnla原创 2013-10-25 15:13:26 · 1726 阅读 · 0 评论 -
ARP Spoof&DoS攻击编程实战
ARP Spoof&DoS攻击编程实战2006-11-05 21:00关于讨论ARP哄骗的文章,黑防在第8期的《小窥ARP协议》和第9期《ARP SPOOF DoS攻防详谈》均有介绍,不过,俗话说,授人鱼,不如授人以渔,更多的读者也许期待的是如何将其原理和编程实现结合。本文的着笔点正是出于这样的目的,更是对上述两篇文章的一个补充,希望能给读者们真正理解ARP攻击的实质,原创 2013-10-25 15:13:20 · 1239 阅读 · 0 评论 -
Windows下的身份验证----NTLM和KerberosV5
Windows下的身份验证----NTLM和KerberosV5 [ 2006-10-23 11:26:21 | 作者: 天凉好个秋 | 分类: 计算机类 ] 一、概述身份验证是一个验证客户端身份的过程,通常采用指定的第三方授权方式。客户端可能是最终用户、计算机、应用程序或服务。原创 2013-10-25 15:13:05 · 1889 阅读 · 0 评论 -
关于免杀世界反毒网所有杀软的思路
申明:此原创综合了免杀技术各位前辈高手的相关技术.并且本人很懒,坚决反对无休止的定位特征码,定完这个定那个,要定过世界反毒网,估计下辈子不知道是否能行,呵呵废话多了!下面开始思路. 1:生成无壳木马服务端(地球人都知道) 2:去头加花,要求,新建区段,把原入口写入新区段,然后再建区段,再建新头,跳回新区段的老入口,就是头前头,然后老入口不要直接回执行,再跳入空白处再加花指令,然后再回去原执行处原创 2013-10-25 15:12:42 · 922 阅读 · 0 评论 -
飞速学会手工注入
现在的网络,脚本入侵十分的流行,而脚本注入漏洞更是风靡黑客界。不管是老鸟还是新起步的小菜,都会为它那巨大的威力和灵活多变的招式所着迷! 正是因为注入攻击的流行,使的市面上的注入工具层出不穷!比较出名的有小竹的NBSI、教主的HDSI和啊D的注入工具等等!这大大方便的小菜们掌握注入漏洞!可是,工具是死的,注入的手法却是活的,能否根据实际情况灵活地构造SQL注入语句,得到自己想要的信息,是[被屏原创 2013-10-25 15:12:37 · 570 阅读 · 0 评论 -
PcShare过360服务监控
ASM汇编 这个是最舒服的,用OD打开已经配置好的马,找0区(也可以用TOPO加空段)要很大一片哦!右击,选择“二进制”→“编辑”,在ASCII中输入“Cmd /c REG add HKLM\SOFTWARE\360Safe\safemon /v MonAccess /t REG_DWORD /d 0 /f”记下写入命令的改动的第一个地址,假设为401180。 再找一个小空段,记下地址,假设为原创 2013-10-25 15:12:35 · 621 阅读 · 0 评论 -
木马免杀技术大盘点
木马免杀技术大盘点 【 分 享 】木马免杀技术大盘点下面分析一下目前木马躲杀几种手段,主要针对文件查杀和内存查杀! 1.加壳免杀 大家应该都会,建议你选择一些生僻壳、强壳、新壳,或者加多重壳。 2.修改壳程序免杀 主要有两种:一是通过加花指令的方法把壳伪装成其它壳或者无壳程序。二是通过reloc类软件修改壳的区段入口点。 3.修改文件特征代码免杀 此方法的针对性是非常强的,原创 2013-10-25 15:12:18 · 1317 阅读 · 0 评论 -
文件类型关联
文件类型关联例子(以.mdb文件为例):------------------------------------------------------------------------------------------------------------------HKEY_CLASSES_ROOT\.mdb = DataBase.Document原创 2013-10-25 15:13:52 · 1041 阅读 · 0 评论 -
http代理服务器工作原理
http代理服务器工作步骤:一、 监听端口。二、 接受连接,创建新线程,并继续监听。三、 在新线程中,接受客户端发送的请求。四、 分析客户端的请求,取出请求方法(GET POST等)、路径(http://www.xx.com/a.htm等)、http协议版本、其它头信息等。五、 在cache中查找,是否有符合条件的目标内容。如果有,发给客户端;否则六、 如果cache中没有符合条件的目标,则连接远原创 2013-10-25 15:13:55 · 1058 阅读 · 0 评论 -
让程序在Vista/Win7下弹出UAC提示来获得管理员方式执行
在Vista和Win7这类新操作系统中,很多程序是以受限用户权限运行,这就导致了有些对系统资源访问的API无法正常工作,比如AcquireWriteLock,以及对注册表的访问API(当然,如果程序运行在ring 0下则没问题). 可以使用如下方法在程序启动时弹出UAC提示来获得管理员执行权限,而不用去设置文件属性: 1.新建一个txt文件,命名为xxx.manifest,里面加入如下内容:原创 2013-10-25 15:14:05 · 737 阅读 · 0 评论 -
HTRAN 2.4终极使用
Htran 用得比较多,但是没注意更新,今天终于发现了个 2.4的HTRAN。 多线程包转发 + Socks5 + 端口重用Socks5 + 反连Socks5 完美版 HTran V2.40 V2.40 功能介绍: 1. 修改代理转发核心超时设置为10分钟。 2. 改进了反连Socks5与Listen连接的稳定性。使用示例: E:\Hac原创 2013-10-25 15:13:09 · 5106 阅读 · 0 评论 -
pwdump2/samdump.c浅析与改进
☆ pwdump2/samdump.c浅析与改进作者:scz 出处:http://www.nsfocus.com日期:2004-03-05☆ pwdump2/samdump.c浅析与改进(txt版全文http://www.opencjk.org/~scz/200401041902.txt)samdump.c调用LsaQueryInformationPolicy()获取主机SID,未调用LsaFre原创 2013-10-25 15:13:07 · 1373 阅读 · 0 评论 -
端口复用
-------------------------------------------------因为在winsock的实现中,对于服务器的绑定是可以多重绑定的,在确定多重绑定使用谁的时候,根据一条原则是谁的指定最明确则将包递交给谁,而且没有权限之分,也就是说低级权限的用户是可以重绑定在高级权限的用户使用端口。例如绑定某个服务的端口上。这意味着什么呢?意味着可以进行如下的攻击:1. 一个木马绑定到原创 2013-10-25 15:12:52 · 1317 阅读 · 0 评论 -
用记事本清除病毒的安全技巧......
用记事本清除病毒的安全技巧...... 电脑中毒后,许多朋友会打开“进程管理器”,将几个不太熟悉的程序关闭掉,但有时会碰到这种情况:关掉一个,再去关闭另外一个时,刚才关闭的那个马上又运行了。再从注册表里先把启动项删除后,重启试试,刚删除的那些启动项又还原了。 由于电脑只装一个操作系统,也没办法在另一个系统下删除这些病毒。上网下载专杀工具后,仍然不能杀掉。 如此翻来覆去,病毒原创 2013-10-25 15:12:29 · 778 阅读 · 0 评论