灼剑（Tsojan）安全团队-CSDN博客

原创 heapdump 攻击面利用

简单了解了一下OQL和MAT，我们前面使用的直接搜索类的对象部分，其实是在各个对象的引用列表中穿梭查看。对于给定一个对象，通过MAT可以找到引用当前对象的对象，即入引用（Incomming References），以及当前对象引用的对象，即出引用（Outgoing References）。PK开头的明显是压缩包，而其他的又很明显是HTTP请求包，于是我开始挨个右击->Copy->Save Value To File（注意，这里尽量不要直接复制值，因为1. 会有无法显示的字符导致看起来不够美观；

2022-10-28 14:49:50 2566 1

原创 ThinkPHP 5.1反序列化分析和poc

最近挖不出漏洞了，所以来学习一下反序列化。毕竟测试的系统连个页面也没有，只给了十几个接口。之前对反序列化只停留在基础的原理层面，所以这次着重一下分析思想和如何写poc上面。所以就拿最经典的分析。...

2022-07-22 15:21:25 986

原创 UAC绕过学习-总结

UAC用于允许管理员用户不对每个执行的进程授予管理员权限这是作为管理员UAC提升执行，如果成功完成，特权令牌用于创建进程。这里为了区分低权限高权限的进程，微软使用了强制性完整性控制MIC查看自己当前的完整性级别接下来我们以该级别创建一个文件现在我们以管理员cmd给予test.txt最高的系统权限可以看见我们对该文件是有FULL权限的，但是由于mic完整性校验控制我们当前是中level所以对高level的不能完全控制也就是这里说的。...

2022-07-21 22:43:07 1609

原创 new_floor、updatexml、extractvalue报错注入浅析

常见报错语句：通过concat函数连接注入语句与floor(rand(0)*2)函数，实现将注入结果与报错信息回显的注入方式。floor函数的作用就是返回小于等于括号内该值的最大整数。rand()可以产生一个在0和1之间的随机数直接使用rand函数每次产生的数值不一样，但当我们提供了一个固定的随机数的种子0（官方的单词是seed）之后，每次产生的值都是相同的，这也可以称之为伪随机。floor(rand(0)*2）就是对rand(0)产生的随机序列乘2后的结果，再进行取整。配合上floor函数就可以产

2022-07-03 10:28:31 288

原创入侵光猫盒子

0x00 换了个光猫盒子事情是这样的，最近家里换光纤换成了联通的宽带。安装师傅拿了一个看起来就是二手的盒子来给我安装。大概长的是这个样子的，除了贴纸是新的其他看着就很老旧。打开界面是这个样子的，好家伙，首页还写着2013，看样子这个盒子的确是高寿了。登录需要账号秘密，一般都是写在盒子背面的，果不其然，在盒子背面发现了。然后就这样登录了进去，里面只有一些配置光猫的东西。0x01 扫着扫着发现个Telnet想着这种老盒子一般都是有漏洞的，先去扫一波看看开放了什么端口。好家伙竟然开启了23端口，直接telnet试

2022-07-03 10:12:05 727

原创网络攻防｜一次实战中的向日葵 RCE Bypass 360

点击上方蓝字关注我们在做攻防项目的时候发现了一个外网的向日葵命令执行但由于存在杀软，无法执行命令下面就来说一下我是如何绕过杀软拿到shell的自己搭了一个虚拟机，也是存在漏洞的向日葵命令执行，环境配置和目标一样，但没装360（后面会说是如何获得目标系统信息的）开始测试，发现首先我通过向日葵和杀软允许的命令判断确认是存在命令执行漏洞的通过网上搜索各种文章，晓得是利用向日葵不禁止命令，然后通过进行目录穿越来执行任意命令的。目标机器上的杀软实际上是禁止调用和等危险的进程，其他exe程序并没有禁止所以我们可以利用或

2022-07-03 08:56:28 1219

原创 cs架构下抓包的几种方法

点击上方蓝字关注我们burp+Proxifier进行抓包安装证书安装完证书配置主机代理，可以直接从chrome进入要注意选择安装在受信任的根证书颁发机构下Proxifier设置burp的代理因为用的burp所以放过java的包，其他包走代理这种方法并不能抓取到登陆包然后再关闭代理，登录完成后进行Proxifier的流量转发Fiddler Everywhere+burp使用安装Fiddler Everywhere证书设置全局代理（Fiddler Everywhere会自动配置，最好检查一下）某钉设置浏览器代理

2022-06-29 21:57:54 367

原创域安全｜Net-NTLM Relay Attack

作者： 0xYyy免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 基本原理1、正常的NTLM认证2、重放攻击的NTLM认证过程（1） Client端还是正常向服务端发送登录请求，由于client端此时并不知道攻击者的存在，它以为请求是发送给了server端，但实际上它是先发给了攻击者；（2）然后攻击者再拿着这个用户名伪装成client端发送给server端，此时server端正常返回一个challenge（挑战码）；（3）攻击者拿到这个challe.

2022-04-06 20:25:22 3655

原创域安全｜AD CS Relay—ESC8

作者： 0xYyy免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 前言国外安全研究人员在6月份已经披露过攻击手法—通过证书进行中继从而来达到攻击域控的目的。https://www.exandroid.dev/2021/06/23/ad-cs-relay-attack-practical-guide/0x02 AD CS作用1、证书颁发机构（CA）：可以向用户、机构和服务颁发证书。2、CA WEB注册：用户可以通过web浏览器申请证书。3、联机响应程序.

2022-03-24 11:41:39 7442

原创域安全｜非约束委派攻击 & Exchange 2013的安装

作者： 0xYyy免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。写在前面此文章其实可以分为两篇，只不过为了让大家更好的在本地测试的情况下，堪称保姆级别指导来安装exchange 2013（为了除printbug方法外）利用PrivExchange 方法在域内进行横向移动or攻击域控。为了在本地完美复现国外安全研究员Dirk-jan Mollema博客中的 "Relaying" Kerberos - Having fun with unconstrained deleg.

2022-01-13 11:17:05 3689

原创 Redis数据库的漏洞靶场演练

作者：村里的小四免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 前言以前只知道redis有未授权访问，redis未授权访问的利用看文章，但自己没有亲手做过，最近接触了一个postgresql的远程命令执行漏洞，我在数据库漏洞利用这块不熟悉，信安之路最近开了数据库的课程，在此记录数据库靶场演练的学习，并分享给大家。0x02 数据库的安装2.1 redis安装下载地址：https://github.com/microsoftarchive/redis/rel.

2022-01-10 22:33:18 1069

原创漏洞复现｜PrintNightmare（CVE-2021-1675）复现

作者：飞天魔鬼免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 简介Windows Print Spooler是Windows的打印机后台处理程序，广泛的应用于各种内网中，攻击者可以通过该漏洞绕过PfcAddPrinterDriver的安全验证，并在打印服务器中安装恶意的驱动程序。若攻击者所控制的用户在域中，则攻击者可以连接到DC中的Spooler服务，并利用该漏洞在DC中安装恶意的驱动程序，完整的控制整个域环境。环境准备一个普通权限的域账户目标开启.

2022-01-05 22:09:27 5139

原创 UAC学习之路

作者： Crlt_TT豆免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 什么是uac？UAC 用于允许管理员用户不对每个执行的进程授予管理员权限这是作为管理员UAC提升执行，如果成功完成，特权令牌用于创建进程。这里为了区分低权限高权限的进程，微软使用了强制性完整性控制MICMIC介绍查看自己当前的完整性级别whoami /groups接下来我们以该级别创建一个文件现在我们以管理员cmd给予test.txt最高的系统权限可以看见我们对该文件是有.

2021-12-31 12:00:00 587

原创白盒审计工具codeql的安装（踩坑）

作者： Beard_Lin免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 简述最近想学习下代码审计，但是奈何语言底子太差，还没办法捉到手搓代码的地步，只能靠一些辅助工具来协助审计。因为是想学以下java的审计，从github上找工具时发现了codeql。他是github发布的开源白盒审计工具，可以审计多种语言，因为是开源的原因其中有很多大佬们提交的扫描规则，同时也能用ql语言写出要用的规则。安装codeqlCodeql 可执行文件：https://gi.

2021-12-30 20:44:16 4040 5

原创 WEB安全 | CSRF的原理及防御

作者： 1e0n免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言之所以写CSRF是因为最近都是各种RCE，偶然看到CSRF，觉得大脑一片空白，于是赶紧恶补了一下，写下来也算是加深一下印象。话不多说，进入正题。WEB安全 | CSRF的原理及防御1.CSRF的原理2.CSRF简单实验3.CSRF的防御0x01 CSRF漏洞的原理1.1 什么是CSRF？跨站请求伪造（英语：Cross-site request forgery），也被称为 one-cl.

2021-12-28 20:42:36 1199

原创移动端安全｜Drozer针对Sieve渗透示范

作者：不染免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言在平时的Android客户端的渗透中，drozer这一工具较为广泛利用，这里就简单介绍以下drozer渗透android客户端的教程。0x01 环境准备需要安装Python、Android、Java环境，drozerPC端和agent端（版本须保持一致）先进行PC端的端口转发，连接drozer服务adb forward tcp:31415 tcp:31415 //端口转发，连接drozer服.

2021-12-23 13:20:04 2718

原创网络攻防｜CVE-2021-42287、CVE-2021-42278域内提权

作者： r0n1n免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 漏洞原理Microsoft Windows Active Directory 域服务权限提升漏洞（CVE-2021-42278、CVE-2021-42287）攻击者可利用该漏洞将域内的普通用户权限提升到域管理员权限，造成风险和危害极大。漏洞情报来源：1、影响版本CVE-2021-42278￮ Windows Server 2012 R2￮ Windows Server 2012 (S.

2021-12-20 21:15:28 2288 1

原创针对系统服务的攻击尝试学习

作者：村里的小四免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 前言在现实环境中，往往通过查看该IP开放了什么端口而判断出开放了什么服务，让我们获得更多信息0x02 常见开放端口的常见服务系统服务端口号端口说明攻击方向22 SSH 远程连接爆破、SSH隧道及内网代理转发、文件传输23 Telnet 远程连接爆破、嗅探、弱口令445 永恒之蓝3389 Rdp 远程桌面连接 Shift 后门（需要 Windows Server .

2021-12-16 15:35:30 278

原创渗透测试｜移动端 nexus 6p 刷入8.1和获取root权限（magisk）

作者： Overture免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言工作内容中有很多需要抓apk包的情况，之前遇到过不少有root检测、ssl pinning以及反虚拟化的apk，模拟器有时候没法测，所以买了个nexus 6p来刷成安卓测试机。0x01 前期准备手机一台这个海鲜市场随便买一个Google的旧款手机就行（最好支持安卓7及以上），买nexus 6p纯粹是因为穷系统镜像在官网下载，版本选择随意，7和8都可以我这里选择.

2021-12-14 21:18:57 4016

原创工具开发｜CobaltStrike插件编写入门（三）

作者：飞天魔鬼免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。引言之前发了两篇关于cs插件编写的基础文章，写的是杀软判断的功能，用到的都是sleep脚本基础语法，这次想写一篇关于sleep脚本的高级用法的文章，那就是使用sleep脚本调用java对象。本篇主要用sleep脚本调用java对象来实现一个powershell_encoder的功能。项目源码：https://github.com/gooderbrother/Sleep_powershell_encoder.

2021-12-09 00:04:01 1307

原创 thinkphp—5.0.24写文件链分析

作者： Nolan免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。前言最近在学习java，很久没有看php了，朋友给了一个此框架源码其中有可控的序列化点，看到网上有5.0.24的链子文章，复习一下php魔术方法1.__construct()类一执行就开始调用，其作用是拿来初始化一些值。2.__desctruct()类执行完毕以后调用，其最主要的作用是拿来做垃圾回收机制。3.__get()方法用于获取私有属性值。（在设置私有属性的时候将会自动调用）【http:/.

2021-12-07 23:28:33 719

原创移动端安全 | Windows11安卓子系统进行APP抓包(踩坑文)

作者： 1e0n免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言当前市面上出现很多款安卓模拟器都可以用于抓包，为什么要选择用才发布没多久的安卓子系统。一切都源于一次模拟器的异常抓包(多次发包无响应，当时误以为是遇到了模拟器检测)。下面是简要的流程说明。一次项目中需要对某APP进行抓包测试(只需要抓取到对应的URL或者IP地址即可)，因为本机环境只能使用逍遥模拟器，遂采用了逍遥模拟器来进行抓包，但是抓包过程中发包后流量丢失。刚好windows11安卓子系统正.

2021-12-02 18:37:13 8705 3

原创工具开发｜键盘记录工具原理及代码实现

作者： Beard林免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 对于键盘记录简述键盘记录一般用在后渗透中，以此方法寻求扩大战果。有些c2工具集成了这个功能，github上也有一些独立的工具，因为开发的语言不一样，大小也不一样，实用性也各不相同。0x02 拆分键盘记录键盘记录工具其实就是设置了一个钩子来获取按键的输入，流程如下：1.工具创建进程2.调用windows API3.利用API钩子获取按键输入4.将获取数据保存用python实现以上要.

2021-11-26 11:46:20 1268

原创权限维持｜linux密码抓取和后门（下）

作者：1e0n免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言上回书说到，在获取到Linux服务器root权限的情况下，如何获取明文密码并维持权限。这次来说一下iptables端口复用后门及其他利用。话不多说，直接开始。iptables端口复用后门tiny shell后门其他可利用的点0x01 iptables端口复用后门1.1 实现原理首先是要用到iptables防火墙，创建iptables规则，并使用ICMP包来触发该规则，从而实现端口复用[.

2021-11-24 17:19:00 2973

原创工具使用｜神器Sqlmap tamper的使用介绍

作者：村里的小四免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 前言从开源软件Sqlmap学习字符的篡改，现在的web网络环境参数出入处基本都会过滤某些字符串，我们在进行sql注入时，Sqlmap这款Sql注入神器的插件就可以帮助我们（Tamper）篡改字符，实现绕过，以下为实战中常用的Tamper，建议收藏。Sqlmap下载地址：https://github.com/sqlmapproject/sqlmap0x02 常用Tamper用法这里就不过多介绍了.

2021-11-21 10:15:47 3284

原创攻防靶场｜Vulnstack2靶场之CS实战

作者：不染免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 简介最近学点攻防，拿靶场练练手，大佬轻喷哈。靶场简介：红队实战系列，主要以真实企业环境为实例搭建一系列靶场，通过练习、视频教程、博客三位一体学习。本次红队环境主要Access Token利用、WMI利用、域漏洞利用SMB relay，EWS relay，PTT(PTC)，MS14-068，GPP，SPN利用、黄金票据/白银票据/Sid History/MOF等攻防技术。Bypass UACWind.

2021-11-19 17:26:44 4111

原创网络攻防｜内网代理之SSH服务

作者： r0n1n免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x01 前言进行内网渗透时，在其他代理无法执行的情况下，可以尝试使用Linux系统自带SSH服务去进行代理转发。0x02 SSH内网代理的三种情况一般使用第三种动态端口转发一、本地端口转发：（攻击机执行命令）攻击机执行命令：ssh -L 9530:20.20.20.40:22(内网主机)-fN [email protected] (边界服务器)-p 22例子：ssh -L 9530:2.

2021-11-18 00:10:50 1100

原创网络攻防｜XSS Flash弹窗钓鱼

作者： Overture免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言xss弹出flash更新是一种常见的钓鱼手法，本文介绍一下整体思路和部分技术细节。注意：任何未经授权的渗透都是违法行为，本文仅用于技术讨论，切勿用于违法途径前期准备服务器及域名flash页面免杀木马前提条件：目标网站存在存储型xss漏洞或者已经getshell能够修改源码，通过请求你插入的js代码触发flash升级弹窗，跳转到准备好的flash下载界面下载安装，触发木马上线cs.

2021-11-15 20:05:21 2646

原创基础知识点｜命令执行漏洞相关总结

作者： h0we777免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 简介命令执行漏洞是指攻击者可以随意执行系统命令。它属于高危漏洞之一，也属于代码执行的范畴。命令执行漏洞不仅仅存在于B/S架构中，在C/S架构中也常常遇到。简单的说，用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，导致在没有指定绝对路径的情况下就执行命令，可能会允许使用者通过改变$PATH或程序执行环境的其他方面来执行一个恶意构造的代码。0x01 原理命令执行漏洞是指应用有时.

2021-11-10 22:17:38 8105

原创 GO工具开发｜基于网站API的子域名与IP反查工具（二）

作者：墨阳免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言上一篇实现了一个简单的子域名查询和ip反查工具，但是当我们的目标比较多时，一个一个查询体验并不友好，和网站查询没啥区别。这篇文章改造一下小工具。0x01 实现1、函数部分修改首先设想一下输入，可以有两种输入方式，命令行手动输入，适用于目标比较少的。另一种是从文件读取，这里需要写一个读取文件的函数：func ReadTarget(filename string) []string { va.

2021-11-09 22:16:45 424

原创 GO工具开发｜基于网站API的子域名与IP反查工具（一）

作者：墨阳免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。0x00 前言最近开始学习GO语言，希望可以摆脱脚本小子的苦恼，在需要的时候可以根据需要写一些小工具。在做信息搜集的时候无意间发现了一个网站，提供了API接口，于是产生了通过脚本来方便的获取数据的想法。脚本很简单也比较基础，需要的功能百度一下就可以找到实现方法，学习完基本语法就可以来写些小工具啦。由于只用到了一个网站，所以数据肯定是不全面的，后续有需要可以自行添加。本文中用到的网站是dnsgrep.cn，提供了A.

2021-11-08 22:46:59 974

原创基础知识｜反序列化命令执行漏洞

这里写自定义目录标题欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入欢迎使用Markdown编辑器你好！这是你第一次使用 Markdown编辑器所展示的欢迎页。如果你想学习如何使用Mar

2021-11-04 22:13:53 2947

空空如也

空空如也