2023年 第52周 微信公众号精选安全技术文章总览
洞见网安 2023-12-25
0x1 信息窃取恶意软件现在包括 Google 会话劫持
HackSee 2023-12-31T12:31:09 HackSee安全团队
据网络安全公司CloudSEK报道，一种名为Lumma Stealer的信息窃取恶意软件即服务（MaaS）产品自去年11月以来已经具备了操控身份验证令牌的功能，这使得黑客能够在受害者更改密码后仍能持续访问其Google账户。此恶意软件利用了OAuth 2.0协议的安全漏洞，该协议常用于单点登录(SSO)认证。Lumma Stealer被认为是首个采用‘黑盒’策略来隐藏其操作细节的信息窃取器，这增加了检测和防御的难度。此外，这一漏洞利用技术显示了攻击者对谷歌身份验证机制的深入理解和复杂应用。据CloudSEK透露，该漏洞由一个名为PRISMA的攻击者首次披露，并迅速在多个恶意软件组织间传播开来，包括Rhadamanthys、RisePro、Meduza等。此漏洞的利用可导致会话持久性，即使受害者更改密码或中断会话，也能维持有效的认证状态。这为攻击者提供了持续访问受害者Google账户及其关联服务（如云端硬盘、电子邮件等）的机会，可能导致严重的隐私泄露及滥用风险。
信息窃取 身份验证令牌操纵 账户持久性攻击 恶意软件即服务(MaaS) OAuth 2.0安全漏洞 黑盒攻击 网络犯罪市场 零日漏洞利用 会话劫持
0x2 [工具推荐]Xray替代被动扫描器
信息安全中转站 2023-12-31T12:10:22 Xluo
本文主要推荐一款名为wscan的被动扫描器，作为Xray的替代品。文章指出被动扫描器在渗透测试中的优势，如无需设置cookie、灵活性和针对性扫描等。同时，文章也提到了使用被动扫描器时需要注意避免测试敏感操作，如数据插入和短信轰炸。wscan工具解决了Xray在自定义web通用漏洞扫描POC和针对特定参数扫描漏洞时的局限性，并提供了详细的插件编写指南。此外，wscan还集成了机器学习功能和多种报告生成形式，如Xray和AWVS等，被认为是功能强大的工具。文章鼓励读者去尝试这个工具，并附带了一个项目地址供读者进一步了解。
网络安全工具 渗透测试 被动扫描 Web漏洞扫描 机器学习 开源项目
0x3 zico2靶机渗透记录
Cyb3rES3c 2023-12-31T11:00:46 ©
本文是关于zico2靶机的渗透测试记录。作者首先声明了使用本文信息的责任自负，并提醒遵守相关法律法规。渗透测试开始于网络模式设置为NAT，攻击机使用Debian和Windows系统。通过nmap扫描，确定了靶机IP为192.168.4.129，并发现其开放了22和80端口。进一步的信息收集揭示了Apache版本和Linux操作系统版本。作者发现了一个文件包含漏洞，并通过该漏洞读取了/etc/passwd文件。在dbadmin目录下，作者利用弱口令登录并解密了用户凭证。随后，作者利用数据库的远程代码注入漏洞，通过创建特殊的数据库和表，成功执行了php代码。最终，通过脏牛漏洞（DIRTYCOW）实现了操作系统版本2.6.32的提权，并找到了wordpress配置文件中的数据库凭证，通过SSH连接成功。文章总结了渗透过程中的关键点和技巧，如留意配置文件、利用历史漏洞、文件包含漏洞的识别和绕过下载限制的方法。
渗透测试 文件包含漏洞 数据库漏洞 提权 反弹Shell Web应用安全
0x4 免杀对抗-内存加载-shellcode转换-UUID+MAC+IPV4
小黑子安全 2023-12-31T08:26:12 © xiaoheizi
本文介绍了一种将shellcode转换为UUID、MAC地址和IPv4地址的方法，以实现免杀目的。首先，通过Python代码将C语言的shellcode转换为UUID类型，然后使用C++或C#编写的加载器将UUID类型的shellcode加载到内存中并执行。接着，文章介绍了将shellcode转换为MAC地址的方法，并提供了Python和Go语言的加载器代码，用于加载MAC类型的shellcode。最后，文章还介绍了将shellcode转换为IPv4地址的方法，并提供了Go语言的加载器代码。文章指出，这些转换方法可以配合编码、加密、分离、垃圾数据等免杀手段，进一步提高shellcode的隐蔽性，从而绕过杀软检测。
0x5 用Go实现一个带缓存的REST API服务端
二进制空间安全 2023-12-30T20:51:28 ©
本文介绍了一个使用Go语言实现的带缓存的REST API服务端的设计和实现。文章首先解释了REST API的原理，包括REST架构风格、资源、表现层、状态无关性、统一接口和缓存机制等关键概念。接着，作者详细展示了如何使用Go语言设计一个REST API服务端，包括定义文章数据结构、实现获取所有文章、获取单篇文章、创建文章和删除文章的接口功能。文章中还包括了具体的代码实现，以及如何在main函数中初始化数据、创建路由器、定义路由处理程序并启动服务器。最后，作者通过实际的API调用结果展示了服务端的功能，包括获取所有文章、通过文章ID查询文章、创建新文章和删除文章等操作。
API安全 缓存安全 Go语言安全 Web服务安全 数据保护
0x6 Billu_box靶机渗透记录
Cyb3rES3c 2023-12-30T12:29:44 © Mall0c
本文记录了对名为Billu_box的Ubuntu靶机进行渗透测试的过程。文中首先声明了使用文内信息的责任归属，并概述了使用的靶机和攻击机的配置以及网络环境。渗透测试开始于信息收集阶段，利用nmap工具扫描目标网段并识别出靶机上的开放服务，包括SSH和Web服务。通过对Web服务的进一步探索，发现了多个潜在的安全漏洞，如任意文件下载、SQL注入、文件上传以及本地文件包含等。利用这些漏洞，渗透测试者能够下载网站源代码，进一步分析出数据库凭证、文件上传机制中的弱点，并最终获取了服务器的webshell。通过webshell，测试者尝试提升权限，并成功利用已知的Linux内核漏洞获得了root权限。此外，还展示了如何通过SSH直接利用泄露的凭据登录服务器并获得root权限。文章最后强调了信息收集在渗透测试中的重要性。
渗透测试 信息收集 漏洞分析 权限提升 Web安全 系统安全
0x7 打靶练习11-HL
道玄网安驿站 2023-12-30T12:09:20 ©
本文是关于一次网络安全打靶练习的详细记录。作者首先通过常规扫描发现了一个靶机的IP和80端口开放的admin页面。在admin页面中，通过查看图片源码发现了一个提示和一个隐藏的superadmin.php目录。作者使用steghide工具解压图片，发现了base64编码的线索，解码后找到了新的攻击点。在尝试命令执行时，遇到了WAF拦截，但通过base64编码绕过成功执行命令并反弹shell。进一步探索靶机，作者发现了隐藏文件并获取了密码，但最终发现需要使用find命令提权。文章最后总结了靶机的难度和作者在命令执行和提权方面的学习经验，并强调了网络安全技术的合法使用。
命令执行 端口扫描 目录扫描 隐写术 编码解码 Web漏洞利用 提权 绕过WAF 权限维持 信息搜集
0x8 免杀对抗-无文件落地和分离拆分-文本提取+加载器分离+参数协议化+图片隐写
小黑子安全 2023-12-30T08:37:39 © xiaoheizi
本文详细介绍了无文件落地&分离拆分的内存免杀技术，该技术通过将shellcode直接加载进内存执行，绕过文件扫描策略的查杀。文章首先解释了内存免杀的基本原理，即通过渐进式申请可读写内存，然后在运行时将其改为可执行状态。为了进一步提升免杀效果，文章提出了分离免杀的思想，包括对特征和行为的分离，将shellcode从程序中分离出来，通过分块传输和拼接的方式执行。文章还介绍了多种实现内存免杀的方法，包括Python-File方法，通过将shellcode从文本中提取并转换为byte流数据，然后使用Python脚本加载并执行；Python-Argv方法，将shellcode与加载器分离，通过参数形式传递执行；Python-Http方法，将shellcode用远程协议加载，通过远程服务器获取并执行；以及Python-Images方法，将shellcode隐写进图片内，通过解码图片来执行shellcode。这些方法都有效地实现了内存免杀，绕过了杀软的检测。
无文件攻击 内存免杀 分离免杀 shellcode Python编程 文件操作 命令行工具 隐写术 远程加载 恶意软件技术
0x9 Apache OFBiz RCE漏洞复现（CVE-2023-51467）
影域实验室 2023-12-29T14:57:56 © OidBoy_G
Apache OFBiz是一个用于构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类应用系统的电子商务平台。该平台存在身份验证机制缺陷，允许未授权用户通过绕过标准登录流程获取后台访问权限。攻击者可构造恶意请求绕过身份认证，利用后台接口执行groovy代码，导致远程代码执行。影响版本为Apache Ofbiz < 18.12.110。建议升级至最新版本以修复漏洞，或暂时限制对该系统的访问，仅允许来自可信网络或已验证的用户进行访问。
0xa 浅谈jenkins后渗透
黑熊安全 2023-12-29T14:13:20
何为jenkinsjenkins是一个自动化服务器，支持开发者在软件开发过程中自动化各种任务，如构建、测试和
0xb 为期四年的后门 iphone 使用未记录的硬件功能
HackSee 2023-12-29T10:05:42 HackSee安全团队
本文揭露了一起长达四年的iPhone后门攻击事件，攻击者利用未记录的硬件功能漏洞对数十部至数千部iPhone进行了后门攻击，其中包括莫斯科卡巴斯基员工的设备。攻击者通过iMessage文本传递恶意软件，无需用户采取任何行动即可感染设备。恶意软件能够录音、窃取照片、地理位置和其他敏感数据。研究发现，攻击者利用了四个零日漏洞，这些漏洞存在于iPhone、Mac、iPad等设备中。攻击者可能通过逆向工程或固件版本中的意外披露了解到这些硬件功能。尽管苹果修补了这些漏洞，但攻击者仍能在设备重启后通过发送新的恶意iMessage文本来维持攻击。研究显示，攻击者利用了硬件寄存器中的漏洞，绕过了旨在保护设备系统完整性的高级内存保护。卡巴斯基的研究人员还发现，攻击者可能利用了苹果工程师或工厂用于调试或测试的未知硬件功能。事件可能与美国国家安全局有关，但卡巴斯基表示没有证据支持这一说法。攻击的复杂性表明，即使是基于硬件的高级保护措施也可能被绕过。
iPhone后门攻击 零日漏洞 硬件漏洞 间谍软件 漏洞利用链 逆向工程 安全公司攻击 网络间谍活动 苹果安全漏洞
0xc 免杀对抗-java-shellcode免杀-源码修改+打包exe
小黑子安全 2023-12-29T09:23:00 © xiaoheizi
本文详细介绍了如何通过修改和打包Java Shellcode来绕过杀毒软件的检测，实现免杀。首先，通过使用msfvenom生成Java Shellcode，并通过修改msf生成的shellcode jar包的源码，来避免被火绒等杀毒软件检测。具体步骤包括使用jd-gui反编译msf.jar，修改其中的IP和端口，然后重新打包。此外，文章还介绍了如何将Java JAR包打包成可执行的EXE文件，以绕过需要Java环境的要求。提供了使用exe4j和inno工具的打包方法，并说明了在不同环境下的打包策略。
Java Shellcode 免杀技术 逆向工程 木马分析 安全工具 网络攻击 Java安全 Windows安全
0xd 免杀 ｜ 一文教你如何写自己的反沙箱工具
闻道安全攻防实验室 2023-12-29T08:43:43
本文主要介绍了如何编写自己的反沙箱工具，以学习网络安全知识。文章首先声明了测试目的仅限于学习，并提醒读者不要未授权进行渗透测试。接着，文章解释了反沙箱技术的概念，即检测虚拟环境运行软件的技术。通过一个漏洞实例，作者展示了如何使用一个反连平台来识别沙箱环境，并提供了制作一个Python脚本并将其打包为exe文件的步骤。文章中详细介绍了如何编写一个简单的反沙箱代码，该代码通过检查当前用户的whoami值来判断是否在沙箱环境中运行。此外，文章还提到了其他可以用来识别沙箱环境的特征，如环境变量和系统信息。最后，文章鼓励读者举一反三，探索更多可能的特征。
网络安全研究 漏洞利用 Python编程 渗透测试 免杀技术
0xe TryHackMe · Windows 权限提升の二
走在网安路上的哥布林 2023-12-28T23:14:19 © GOWLSJ125
本文详细介绍了在 Windows 系统中利用危险权限进行提权的多种方法。首先，文章讨论了 SeBackup 和 SeRestore 权限，这些权限允许用户绕过 DACL 读取和写入系统文件，通常由 Backup Operators 组拥有。攻击者可以利用这些权限备份 SAM 和 SYSTEM 注册表配置单元，从而获取本地管理员的密码哈希，并执行 Pass-the-Hash 攻击。其次，文章阐述了 SeTakeOwnership 权限的重要性，该权限允许用户获取系统上任何对象的所有权，攻击者可以通过替换 utilman.exe 为 cmd.exe 来获取 SYSTEM 权限的命令提示符。此外，文章还介绍了 SeImpersonate 和 SeAssignPrimaryToken 权限，这些权限允许进程模拟其他用户，攻击者可以利用 RogueWinRM 漏洞来模拟 SYSTEM 用户并获取反向 shell。最后，文章探讨了利用未打补丁的软件进行提权的方法，以 Druva inSync 6.6.3 为例，展示了如何通过 RPC 漏洞以 SYSTEM 权限执行任意命令。文章还推荐了 WinPEAS、PrivescCheck 和 WES-NG 等工具，用于识别和利用系统中的提权漏洞。
0xf 打靶练习10-GlasgowSmile-v1.1
道玄网安驿站 2023-12-28T18:32:18 ©
本文描述了一个名为'GlasgowSmile-v1.1'的打靶练习，重点在于水平提权的过程。文章中提到，通过扫描端口22和80，使用dirsearch和joomscan工具发现目标系统运行的是Joomla CMS，并找到了可能的SQL注入点，但未成功利用。通过用户名和密码爆破最终登录到了后台管理系统。之后，在模板目录下找到了上传点并植入了一句话木马，成功获取了Web Shell。进一步尝试提权过程中，作者使用了Linpeas.sh脚本但未能找到有效漏洞。最终，通过分析数据库和文件系统中的线索，作者依次获得了从一个用户到另一个用户的访问权限，即从joomla用户提权至rob用户，再至abner用户，最后至penguin用户，并在每个阶段获取了相应的flag或密码。作者还简要介绍了如何解决文件权限问题以及如何设置反弹Shell来获取更高级别的访问权限。文章结尾强调了该练习的价值在于提升信息收集能力和水平提权技巧，并提醒读者合法使用相关知识。
端口扫描 目录扫描 Joomla漏洞利用 暴力破解 上传漏洞利用 反弹shell 水平提权 密码学 权限维持 信息收集
0x10 某后台管理系统加密参数逆向分析
蚁景网络安全 2023-12-28T17:39:27 © 小广同学
本文针对某后台管理系统的加密参数进行了逆向分析。文章首先介绍了在日常渗透测试中遇到加密处理的账号密码等登录信息的挑战，随后通过一个带验证码的后台实站案例，详细分析了前端加密机制对渗透测试的影响。作者通过对登录框的抓包和数据分析，找到了密码加密的JavaScript函数，并通过分析发现该函数使用了webpack打包技术。文章进一步解释了webpack的工作原理，并详细描述了如何通过逆向webpack打包文件，找到并使用加密模块，最终绕过前端加密机制进行暴力破解。文章还涉及了如何通过补全缺失的模块和调用加密函数来获取加密值。最后，文章提到了原创稿件征集的信息，并鼓励读者投稿参与。
0x11 JWT认证绕过的几种基操
汤池杂货铺 2023-12-28T12:19:36 © Gundam3389
也许正真的美猴王早已死在真假之争中，六耳猕猴成功转型成了未来的斗战胜佛。
0x12 Mallox 勒索软件被发现使用新的 PowerShell 脚本逃避 AMSI 检测
HackSee 2023-12-28T11:00:31 HackSee安全团队
Mallox 勒索软件组织自 2022 年以来主要针对印度公司，其攻击链中关键的 PowerShell 脚本最近更新，增加了绕过 AMSI 检测的代码。AMSI 是 Windows 系统中用于扫描脚本的接口，允许杀毒软件在执行前检测恶意脚本。Mallox 使用的 PowerShell 脚本通过导入 Kernel32.dll 和 Amsi.dll，初始化相关 API，然后利用 shellcode 覆盖 Windows Defender 注册的 MpOav.dll 中的函数，从而绕过 AMSI 检测。脚本成功绕过检测后，会继续执行下载恶意软件的任务。文章强调了了解和防御此类绕过技术的重要性，并推荐使用如 K7 Total Security 等可靠的安全产品来保护设备。
勒索软件 PowerShell 恶意使用 AMSI 绕过 恶意软件防御 Remcos RAT Mimikatz 使用
0x13 攻击者利用已有6年历史的 Office 漏洞传播间谍软件
金瀚信安 2023-12-28T10:38:27 工业互联网安全
据Dark Reading网站消息，有攻击者正利用已存在6年的微软Office 远程代码执行 (RCE) 漏
0x14 一套火绒高级威胁防护HIPS规则
黑白之道 2023-12-28T10:20:18
本文介绍了基于MITRE ATT&CK™框架和恶意软件行为特征编写的火绒高级威胁防护（HIPS）自定义规则。这些规则旨在检测、阻止和拦截各类恶意软件和高级持续性威胁（APT）的攻击，包括无文件攻击、漏洞攻击和加密勒索等。规则具有较高的可扩展性和可维护性，便于社区开发者使用。文章详细说明了规则内容，包括Office漏洞攻击防护、勒索软件防护、无文件攻击防护以及流行恶意软件家族防护等。同时，提供了导入和使用自定义规则的步骤，并提醒用户在更新规则时手动删除旧规则。最后，强调了文章中的技术、思路和工具仅供安全学习交流，禁止非法用途和盈利行为。
安全防护 恶意软件防护 高级持续性威胁防护 漏洞防护 勒索软件防护 无文件攻击防护 自定义规则 社区开发者友好 网络安全工具
0x15 K8s攻击案例：组件未授权访问导致集群入侵
黑白之道 2023-12-28T10:20:18
本文详细分析了K8s集群中常见的组件未授权访问漏洞及其攻击场景和过程。文章首先介绍了API Server未授权访问的情况，包括8080和6443端口的配置不当可能导致的安全风险。接着，文章分析了kubelet未授权访问的风险，包括匿名用户和授权模式的配置错误。此外，文章还讨论了etcd未授权访问的漏洞，以及kube-proxy和Dashboard的不安全配置可能导致的集群入侵。文章通过具体的攻击场景和攻击过程，展示了攻击者如何利用这些漏洞来接管K8s集群。最后，文章提醒读者，这些技术、思路和工具仅供安全学习交流使用，禁止非法用途和盈利目的。
Kubernetes Security API Server Vulnerability Kubelet Security etcd Security Kube-proxy Vulnerability Dashboard Security Intrusion Detection Misconfiguration Vulnerability Attack Scenario Analysis
0x16 免杀对抗-C+go语言-混淆+防反编译+分离
小黑子安全 2023-12-28T10:06:53 © xiaoheizi
本文详细介绍了如何生成和上线C#语言编写的shellcode，并探讨了免杀对抗技术。首先，使用Metasploit的msfvenom工具生成C#语言的shellcode，指定目标系统、监听地址和端口。其次，通过C#代码加载shellcode，利用Windows API函数执行shellcode。接着，介绍了混淆和加密技术，使用自定义加密算法对shellcode进行加密，并提供了相应的解密代码。此外，文章还介绍了使用ConfuserEx工具对生成的exe程序进行保护，防止反编译检测。最后，探讨了使用Go语言生成和加载shellcode的方法，包括AES加密和参数分离技术，以绕过杀毒软件检测。整个过程涉及多个步骤和技术，旨在帮助网络安全学习者理解和掌握shellcode的生成、上线和免杀技术。
0x17 【已复现】Apache OFBiz 未授权远程代码执行漏洞（CVE-2023-51467）
安恒信息CERT 2023-12-27T19:08:45
近日，安恒信息CERT监测到Apache OFBiz存在一个未授权远程代码执行漏洞（CVE-2023-51467），该漏洞允许攻击者绕过身份验证，通过后台接口执行代码，从而控制服务器。目前该漏洞的技术细节和PoC尚未公开，但安恒研究院已成功复现。Apache OFBiz是一个基于Java的企业应用套件，广泛应用于多个行业。该漏洞的CVSS3.1评分为9.8，属于严重等级。官方已发布修复版本，建议用户尽快升级。安恒信息有多款产品可检测和防护此漏洞，受影响资产分布在全球多个国家，其中中国国内资产占比253。
远程代码执行 Apache OFBiz 未授权访问 Java应用安全 应急响应 漏洞修复 网络安全监测 网络空间资产测绘
0x18 打靶练习9-tre
道玄网安驿站 2023-12-27T17:03:14 ©
论文摘要是学术写作中的重要组成部分，它为读者提供了了解论文内容和价值的窗口。撰写高质量的摘要需要简洁、准确地概括全文的主要内容，同时保持客观性，不加解释或评价。自然科学类论文的摘要通常包括研究目的、方法、结果和结论四个部分。在字数控制方面，一般学术期刊的小论文和本科毕业论文的摘要应控制在300字以内，而硕士和博士的毕业论文摘要则可适当延长至1000字以内。为了提高摘要的质量，作者应精炼文字，避免包含未定义的缩写、不必要的方法细节以及过去文献的讨论。此外，使用一些技巧如单词改造（word-smithing）可以帮助减少摘要的字数而不丢失关键信息。
端口扫描 目录扫描 漏洞利用 信息收集 弱口令测试 密码破解 SSH登录 提权 反弹shell 安全研究
0x19 TryHackMe · Windows 权限提升の一
走在网安路上的哥布林 2023-12-27T13:55:28 © GOWLSJ125
在进入实际技术之前，先看看 Windows 系统上不同的账户类型。Windows UsersWindows
Windows 安全 账户权限管理 凭证窃取 配置文件分析 Powershell 安全 Web 服务器安全 远程访问安全 计划任务利用 安装程序利用 服务安全配置 服务漏洞利用
0x1a 利用DNS重绑定在Chrome、Edge和Safari中实现瞬间DNS重绑定的攻击技术
天津恒御科技有限公司 2023-12-27T08:00:22
本文介绍了在Chrome、Edge和Safari中实现可靠的DNS重绑定的新技术，并讨论了绕过本地网络限制的
0x1b 免杀对抗-PowerShell-混淆+分离
小黑子安全 2023-12-27T07:34:07 ©
本文介绍了如何通过混淆技术对抗安全软件对PowerShell脚本的检测。首先，演示了两种PowerShell脚本的生成和执行方式：一种是直接执行PS1文件，另一种是执行TXT文件中的命令。然后，展示了如何通过手工混淆和项目混淆两种方法来绕过安全软件的检测。手工混淆包括对变量进行Base64编码和解码，以及添加垃圾数据来干扰安全软件。项目混淆则介绍了使用Invoke-Obfuscation工具进行脚本混淆的步骤，包括加载模块、设置脚本路径、选择编码方式和输出文件。文章最后指出，即使是使用混淆技术，知名的混淆项目也可能被安全软件记录并检测到，因此需要不断更新和改进混淆技术以提高绕过检测的能力。
PowerShell 混淆 免杀技术 网络安全 恶意软件 代码执行
0x1c 铭说｜GoTitan僵尸网络针对ActiveMQ的漏洞利用攻击
聚铭网络 2023-12-26T17:08:23
最近披露的影响 Apache ActiveMQ 的重大安全漏洞正被威胁者积极利用，以传播一种名为 GoTitan 的基于 Go 的新型僵尸网络，以及一种名为 PrCtrl Rat 的 .NET 程序，该程序能够远程控制受感染的主机。
0x1d 打靶练习8-btrsys
道玄网安驿站 2023-12-26T16:35:19 ©
本文详细记录了一次针对WordPress网站的渗透测试过程。首先，作者通过全端口扫描确定了目标服务器开放的21、22和80端口，并重点扫描了这些端口。在FTP服务上发现匿名登录，但未获得有用信息。随后，使用dirsearch扫描到了WordPress站点，并通过wpscan工具枚举用户名和暴力破解密码，成功以admin/admin登录。在WordPress后台，作者尝试寻找上传点或编辑文件以实现反弹shell，最终通过MSF生成反弹shell并成功获取目标服务器的shell。接着，使用linpeas.sh脚本进行系统枚举，并尝试利用本地编译的45010漏洞进行提权。此外，作者还提出了通过数据库获取root用户密码的提权思路。文章最后总结了渗透过程，强调了熟悉WordPress框架渗透模式的重要性，并提醒读者应在合法范围内使用这些技术。
0x1e APT集团UAC-0099瞄准乌克兰，利用Winrar漏洞
黑猫安全 2023-12-26T12:04:00 鹏鹏同学
APT集团UAC-0099持续对乌克兰进行网络攻击，利用WinRAR软件的高危漏洞CVE-2023-38831传播LONEPAGE恶意软件。该组织自2022年年中起便针对乌克兰，特别关注在境外工作的乌克兰员工。2023年5月，乌克兰CERT-UA警告UAC-0099对国家组织和媒体代表进行网络间谍攻击。8月初，该组织通过ukr.net邮箱服务，冒充利沃夫市法院发送含恶意附件的钓鱼邮件。攻击链通过HTA、RAR和LNK文件附件，最终部署VBS恶意软件LONEPAGE，该软件能检索键盘记录器和信息窃取器等额外有效载荷。Deep Instinct报告指出，UAC-0099利用WinRAR漏洞，该漏洞的POC在GitHub上可获取。WinRAR 6.23版本于2023年8月2日发布，修复了该漏洞。报告强调，尽管感染媒介不同，UAC-0099依赖于PowerShell和创建计划任务来执行VBS文件。WinRAR的手动更新特性使得许多用户可能仍在使用易受攻击的版本。
APT攻击 恶意软件 网络钓鱼 漏洞利用 社会工程学 信息窃取
0x1f 免杀对抗-Python-混淆算法+反序列化-打包生成器-Pyinstall
小黑子安全 2023-12-26T07:58:21 ©
本文详细介绍了多种Python脚本免杀对抗技术，包括直接使用MSF生成的shellcode、通过Base64编码和AES加密来混淆shellcode、以及使用反序列化技术来隐藏shellcode。文章首先展示了如何使用Python和ctypes库直接生成和执行shellcode，然后介绍了如何使用MSF工具生成shellcode并使用Python脚本执行。接着，文章探讨了如何通过Base64编码和AES加密来保护shellcode，使其不易被检测。此外，还介绍了如何使用Python的反序列化功能来隐藏shellcode。最后，文章讨论了使用Pyinstall打包器将Python脚本打包为exe文件，以提高免杀效果。文章中提供了具体的代码示例和命令行操作步骤，帮助读者理解和实践这些免杀技术。
Python脚本安全 Shellcode 免杀技术 加密算法 反序列化攻击 打包工具 Windows系统安全 安全工具使用 安全漏洞利用
0x20 基于时间侧信道的linux内核堆泄露攻击方法
数缘信安社区 2023-12-26T07:00:43 © 刘铮
本文探讨了基于时间侧信道的Linux内核堆泄露攻击技术，该技术利用了SLUB分配器在不同分配路径上消耗时间存在差异的特性，通过构造特定场景来提高基于堆的漏洞利用的成功率。SLUB分配器是Linux内核默认的堆内存管理机制，负责小对象的内存分配。攻击者可以通过测量分配新对象所需的时间，判断是否触发了最慢的分配路径（即创建新slab），进而推测堆内存的分配状态。文中以Out-Of-Bounds (OOB) 漏洞为例，展示了如何利用时间侧信道提高OOB攻击的成功概率。此外，文章还提出了两种防御措施：一是均匀化SLUB分配对象所需的时间，但这会带来较大的性能开销；二是随机化SLUB最慢路径的调用，此方法可以在几乎不影响性能的情况下有效抵御此类攻击。最终，论文证明了基于时间侧信道的方法能显著提升堆内存漏洞的利用成功率，并提出了有效的防御策略。
0x21 利用 SeroXen RAT 针对 .NET 开发人员的恶意 NuGet 软件包
水网火安 2023-12-25T15:24:23
网络安全公司Phylum发现了一个针对.NET开发人员的恶意NuGet软件包，名为Pathoschild.Stardew.Mod.Build.Config。这个恶意软件包伪装成合法软件包的篡改版本，用于部署SeroXen RAT远程访问木马。攻击者还发布了其他六个伪装成加密服务库的软件包，累计吸引超过210万次下载。恶意软件包通过tools/init.ps1脚本启动，该脚本在不触发警告的情况下执行代码。Phylum分析发现，该脚本用于从远程服务器下载一个混淆的批处理脚本，最终部署SeroXen RAT。这一攻击链利用了Visual Studio对init.ps1脚本的认可，即使在JFrog弃用后，该脚本仍会在安装NuGet软件包时运行。
恶意软件包 软件供应链攻击 RAT（远程访问木马） NuGet软件包管理器 PowerShell脚本 加密服务库 下载量分析
0x22 打靶练习7-potato
道玄网安驿站 2023-12-25T12:42:30 ©
本文是作者在进行网络安全打靶练习时的记录。作者首先通过扫描端口发现靶机仅开放了22、80端口，并在80端口上发现了一个登录页面。尝试万能密码和爆破登录均未成功，但通过nmap扫描全端口后，发现了一个未被注意到的2112端口，该端口为FTP服务，允许匿名登录。在FTP中，作者找到了备份文件，其中含有密码信息，但尝试登录依然失败。进一步分析登录判断语句，作者发现使用strcmp函数进行用户名和密码的比较，并通过搜索发现该函数存在漏洞，可以通过传入数组绕过登录。成功登录后，作者尝试利用命令执行漏洞，但未能成功，转而发现日志功能存在文件包含漏洞，通过fuzzing和尝试不同的payload，最终成功利用该漏洞。通过查看passwd文件，作者发现webadmin用户有密码，并使用john工具爆破成功。最后，作者通过查看历史命令发现/bin/nice命令，利用该命令的提权漏洞，创建了一个shell脚本并提权成功。文章最后提醒读者，扫描端口要全面，利用OWASP十大漏洞获取权限时需要多尝试，提权过程相对常规。作者强调所有操作均在实验环境下进行，不得用于非法用途。
文件包含漏洞 命令注入 权限提升 密码破解 目录遍历 端口扫描 FTP匿名登录 安全绕过 OWASP Top 10 网络安全教育
0x23 免杀对抗-ShellCode上线+回调编译执行+混淆变异算法
小黑子安全 2023-12-25T10:47:07 ©
本文详细介绍了ShellCode的免杀对抗技术，包括ShellCode的基本概念、生成方法、上线测试以及免杀对抗策略。文章首先解释了ShellCode的定义和作用，以及为什么使用ShellCode进行攻击。接着，文章介绍了在Windows环境下调用ShellCode的五种原生态方式，并通过CS和MSF工具生成ShellCode并进行上线测试。随后，文章重点介绍了免杀对抗策略，包括绕过火绒安全软件的检测方法，如使用Callback_Shellcode_Injection项目进行回调执行ShellCode。此外，文章还探讨了ShellCode的变异和混淆技术，如Xor、Aes、Hex、Rc4和Rsa等加密算法，以及如何将这些算法应用于ShellCode的加密和混淆。最后，文章通过具体的代码示例展示了如何使用这些技术来绕过杀毒软件的检测，确保ShellCode能够成功执行。
Shellcode 免杀技术 逆向工程 C/C++编程 Windows系统安全 漏洞利用 安全测试 加密算法
0x24 『漏洞复现』记 Openfire 身份认证绕过漏洞导致 RCE
黑白之道 2023-12-25T10:05:31
本文介绍了Openfire身份认证绕过漏洞（CVE-2023-32315）的详细分析。Openfire是一款开源的实时协作服务器，基于Java语言开发，广泛应用于企业内部通讯和社交平台。本文首先介绍了Openfire的基本功能和漏洞影响范围，包括不同版本的受影响情况。接着，作者详细描述了漏洞环境搭建过程，包括使用vulhub漏洞环境启动Openfire服务器。然后，通过漏洞复现步骤，展示了如何利用该漏洞绕过身份认证，创建未授权用户，并最终实现远程代码执行（RCE）。文章还提供了加固建议，包括及时更新、强化安全设置、检查插件和扩展以及定期进行安全审计，以提高Openfire系统的安全性。最后，作者强调了文章内容仅供安全研究与讨论之用，严禁用于非法用途。
Openfire 漏洞 身份认证绕过 远程代码执行（RCE） 漏洞复现 Java 应用安全 开源软件安全 安全加固
0x25 Windows系统 微信分身（多开）
玄武盾网络技术实验室 2023-12-25T09:30:50 南方以南
本文详细介绍了在Windows系统中实现微信分身（多开）的步骤。首先，通过复制微信快捷方式的路径，创建一个新的文本文档，并将路径粘贴到文档中，修改为以start开头的命令，以便同时打开多个微信。接着，保存文档为.bat格式，以便自动运行。运行该批处理文件后，可以打开微信的登录界面，并分别输入账号和密码登录。此外，文章还提供了如何修改批处理文件的图标和名称的详细步骤。最后，声明了文章内容的来源和版权声明。
操作系统安全 软件安全 脚本安全 多开软件安全 用户权限安全 文件操作安全 快捷方式安全
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
