最近，一种利用Powershell的挖矿病毒在企业网络中频繁爆发，该病毒其利用了WMI+Powershell方式进行无文件攻击，并长驻内存进行挖矿。
Windows系统被入侵后，通常会导致系统资源占用过高、异常端口和进程、可疑的账号或文件等，给业务系统带来不稳定等诸多问题。一些病毒木马会随着计算机启动而启动并获取一定的控制权，启动方式多种多样，比如注册表、服务、计划任务等，这些都是需要重点排查的地方。另外，需要重点关注服务器日志信息，并从里面挖掘有价值的信息。
写在前面的话 近期，我一直在我客户的网络环境中分析PowerShell攻击，根据我的分析以及研究结果，我发现了几种方法来帮助研究人员检测潜在的PowerShell攻击。这种方法主要利用的是Windows的事件日志，首先我们需要了解攻击者是如何使用PowerShell来实施攻击的，然后我们再来看一看相关的检测和防御机制。 PowerShell如何被用于网络攻击之中 PowerShell的能力大家有目共睹，近期也有越来越多的攻击者开始在攻击活动中使用PowerShell了。PowerShell是Window
Cmdlets 用于服务器的管理方面主要体现在4个方面：服务、日志、进程、服务器管理器。
一位日本的安全研究者MalwareMustDie发现一种基于Poison Ivy的新型APT攻击，经过他的逆向分析，发现了一些关于攻击厂商的有趣发现。 本文将介绍他是如何发现这种隐匿极深的APT攻击回
到目前为止，已经学过了如何在有漏洞的目标上获取立足点的方法，接下来将继续学习后渗透相关的知识，这一节就来学习学习 beacon 的管理、会话传递等。
在 Windows 系统环境中，存在许多需要用户进行身份认证的场景，比如 Outlook 登录、提升授权（用户账户控制）或者锁屏需要解锁时，通过模拟这类场景，很容易让用户上当并且不易被发现。
近期一款名为幻兽帕鲁的游戏爆火，以迅雷不及掩耳之势拳打csgo，脚踢dota2，登顶steam同时在线第一名。
我们在后渗透中时常会遇到这样的环境，即使成功拿到了目标机器的Admin/System权限后也不能添加用户和管理员组，出现这种情况的原因有很多，如：UAC、WAF、反病毒软件或者是net.exe降权和安全组策略中的软件限制、应用程序控制策略等。
通常的钓鱼邮件场景中office的安全问题一直都受到关注，恶意宏文档制作简单，兼容性强，并且攻击成本较小，所以整体占比较大。但是使用恶意宏进行攻击，往往需要用户进行交互，攻击的隐蔽性不强，结合Powershell的攻击方式二者结合还是可以搞一点大事情的。
横向移动是从一个受感染的宿主移动到另一个宿主的过程。渗透测试人员和红队人员通常通过执行 powershell.exe 在远程主机上运行 base64 编码命令来完成此操作，这将返回一个信标。问题在于攻击性 PowerShell 不再是一个新概念，即使是中等成熟的商店也会检测到它并迅速关闭它，或者任何半体面的 AV 产品都会在运行恶意命令之前将其杀死。横向移动的困难在于具有良好的操作安全性 (OpSec)，这意味着生成尽可能少的日志，或者生成看起来正常的日志，即隐藏在视线范围内以避免被发现。这篇博文的目的不仅是展示技术，但要显示幕后发生的事情以及与之相关的任何高级指标。我将在这篇文章中引用一些 Cobalt Strike 语法，因为它是我们主要用于 C2 的语法，但是 Cobalt Strike 的内置横向移动技术是相当嘈杂，对 OpSec 不太友好。另外，我知道不是每个人都有 Cobalt Strike，所以在大多数示例中也引用了 Meterpreter，但这些技术是通用的。
深埋在您的 Microsoft 服务器 （2008年、 2008 R2 和 2012年的版本） 的范围内是最强大的 Web 服务器可用。 它只等待你来发挥其全部潜力。 您的目标是要从家里运行一个 WordPress 站点或部署和管理大型、 高度可用的 Web 场为您的公司，IIS 胜任这项任务。 若要开始使用 IIS，您应该有一个"实践"服务器。 这应该是一个你可以一遍又一遍垃圾无需担心后果。 它应该是它自己的网络，从生产环境中安全地隔离。 您可以在您的便携式计算机上使用 Windows 8，但您应该考虑使
及时对游戏存档进行备份，可以避免由于各种意外导致的游戏进度丢失，毕竟你也不想找不到自己的帕鲁吧。本节内容将为大家提供如何对游戏存档进行备份与恢复。 如果您还
Cobalt Strike是一款渗透测试神器，常被业界人称为CS神器。Cobalt Strike已经不再使用MSF而是作为单独的平台使用，它分为客户端与服务端，服务端是一个，客户端可以有多个，可被团队进行分布式协团操作。 Cobalt Strike集成了端口转发、扫描多模式端口Listener、Windows exe程序生成、Windows dll动态链接库生成、java程序生成、office宏代码生成，包括站点克隆获取浏览器的相关信息等。
dnscat2（https://github.com/iagox86/dnscat2）是一个DNS隧道，旨在通过DNS协议创建加密的命令和控制（C＆C）通道。dnscat2分为两部分：客户端和服务端。dnscat2客户端采用C语言编写，服务器端采用ruby语言编写。后来又有安全研究人员使用PowerShell脚本重写了dnscat2客户端dnscat2-powershell（https://github.com/lukebaggett/dnscat2-powershell）。
大家在macOS上或者Linux上使用SSH远程连接服务器、使用npm启动nodejs服务器进程、使用Java启动j封装了tomcat的Springboot项目，是不是都或多或少用到Terminal呢？那么Windows上有没有用过Powershell呢？
F5研究员发现了一种新型Apache Struts 漏洞利用。这种恶意行动利用NSA EternalBlue 和 EternalSynergy两种漏洞，运行于多个平台，目标为内部网络。 研究人员将其命名为“Zealot”，因为其zip文件中包含有NSA所发布的python脚本。随着研究的深入，此文章会进一步更新，目前我们所知道的有： 新型Apache Struts 目标为Windows和Linux系统 Zealot的攻击复杂，多平台，且及其模糊 Zealot利用的服务器均有以下两种漏洞 CVE-2017
近期看了一篇不错的横向移动的文章，觉得不错就简单翻译了一下(谷歌翻译哈哈哈哈！) 原文地址：https://posts.specterops.io/offensive-lateral-movement-1744ae62b14f
近期，火绒监测到“LemonDuck”（柠檬鸭）蠕虫病毒感染量正在持续增加。该病毒入侵用户电脑后，会执行挖矿模块，同时还会通过多种方式在网络中进行横向传播。该病毒在2019年被首次发现，至今依然在不断扩大其影响范围。火绒安全软件（个人版、企业版）可查杀该病毒。
声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
本文转载自https://msdn.microsoft.com/zh-cn/library/ff384253.aspx，主要内容是对msdn中对AppFabric介绍内容的整合以及一些自己的理解。
当目标机器重启之后，驻留在```cmd.exe、powershell.exe```等进程中的 Beacon payload 就会掉，导致我们的 Beacon Shell 掉线。
首先介绍此次渗透的环境：假设我们现在已经渗透了一台服务器PAVMSEF21，该服务器内网IP为10.51.0.21。扫描后发现内网网络结构大概如图所示，其中PAVMSEF21是连接外网和内网的关键节点，内网其他服务器均不能直接连接。
登录轻量云控制台的对象存储。点击创建存储桶，输入存储桶名称（例如，palgame2）。注意：一定要选择与轻量应用服务器同样的地域。
专注是做事成功的关键，是健康心灵的特质。当你与所关注的事物融为一体时，就不会让自己萦绕于焦虑之中。专注与放松，是同一枚硬币的两面而已。一个人对一件事只有专注投入才会带来乐趣。一旦你专注投入进去，它立刻就变得活生生起来。
1、原本将幻兽帕鲁部署在自己本地的 Windows 电脑里，但自己只要一关机，帕鲁就会说拜拜，现在你想要把幻兽帕鲁搬到云上，让帕鲁24小时为自己打工；
本文档概述了如何在生成服务器上使用 .NET SDK 及其工具。 .NET 工具集既能以交互方式运行（当开发人员在命令提示符处键入命令时），也可以自动运行（当持续集成 (CI) 服务器运行生成脚本时）。 命令、选项、输入和输出都相同，可通过提供的唯一内容来获取用于生成应用的工具和系统。 本文档重点介绍了 CI 工具获取方案，并提供了有关如何设计和构建生成脚本的建议。
作为一个加密货币挖矿软件，StripedFly常年隐藏在一个支持Linux和Windows的复杂模块化框架后面。它配备了一个内置的TOR网络隧道，用于与命令控制（C2）服务器通信，同时通过可信服务（如GitLab、GitHub和Bitbucket）进行更新和交付功能，所有这一切都使用自定义加密归档。可以说，创建这个框架所付诸的努力确实十分了不起，同样地，它所披露的真相也相当惊人。
想要部署属于自己的幻兽帕鲁服务器（Dedicated Server），您首先需要拥有一台服务器，服务器是幻兽帕鲁运行的基础。部署完成后，您和您的朋友便可以登入专属的游戏服进行体验。使用云服务器搭建幻兽帕鲁服务器，便可以让您与您的朋友在一个相对独立且私密的空间中进行游戏，确保获得更加畅快的游戏体验。
幻兽帕鲁无疑是近期的游戏大热门。在幻兽帕鲁中，玩家们可以享受到丰富多样的游戏玩法和无尽的神奇生物收集；玩家在游戏中可以充当赛博资本家，让帕鲁完成战斗、种植、建造等多种人物，体验各种不确定性。 幻兽帕鲁提供了官方服务器，还提供了专用服务器的玩法，吸引了大量玩家采用这种模式自建游戏服务。在游戏过程中，玩家需要定时备份存档，以防各种异常导致坏档、丢档的情况。腾讯云轻量对象存储针对这一场景，提供了存档备份的能力，相比整实例快照备份的能力，简化了备份门槛，减少了备份成本，也方便存档迁移到其他服务器上。 本文讲述如何将Windows服务器数据备份到腾讯云轻量对象存储服务（轻量COS），以及如何恢复数据。服务器间的存档迁移，也可以参考本指南，免去手动拷贝数据，直接使用云端数据同步到本地进行恢复。
近日深信服安全团队捕获到一个最新的404 Keylogger木马变种，通过OFFICE文档嵌入恶意宏代码进行传播，盗取受害者浏览器的网站帐号和密码，深信服安全团队对此样本进行了详细分析，并获取到了黑客FTP服务器的帐号和密码，请大家提高安全意识，不要轻易打开未知的邮件附件及文档等。
在内网渗透测试中，信息收集的深度与广度，直接关系到整个内网渗透测试的成败，本篇文章主要对内网信息收集做简单介绍~
前言 闲着无聊，网上随便找了一个菠菜进行简单测试，并做笔记记录，大佬们轻喷，有什么不足之处请指教。 弱口令 访问网站就是一个登录页面，没有验证码直接bp开启，成功爆出弱口令admin/123456，直
钓鱼攻击是网络犯罪团伙常用的一种手段，很多勒索病毒都曾使用邮件钓鱼的方式欺骗受害者打开相应的附件，运行恶意样本，导致受害者被勒索加密，钓鱼邮件攻击也是APT攻击的常用手段之一，如果收到陌生的邮件，千万不要随便点击附件链接或打开邮件附件中的文件。
COM即组件对象模型(Component Object Model，COM) ，是基于 Windows 平台的一套组件对象接口标准，由一组构造规范和组件对象库组成。COM是许多微软产品和技术，如Windows媒体播放器和Windows Server的基础。
近日，火绒安全团队发现名为“TrickBot”的后门病毒正在全球范围内通过仿冒邮件发起新一轮网络攻击，世界范围内多家银行和比特币交易平台（共计269家）的使用者都在此次被攻击范围之内。病毒“TrickBot”目的明确，在于盗取用户的银行账户、比特币账户信息，攫取钱财。
想要部署属于自己的雾锁王国服务器（Dedicated Server），您首先需要拥有一台服务器，服务器是雾锁王国运行的基础。部署完成后，您和您的朋友便可以登入专属的游戏服进行体验。使用云服务器搭建雾锁王国服务器，便可以让您与您的朋友在一个相对独立且私密的空间中进行游戏，确保获得更加畅快的游戏体验。
virus.win32.parite.H病毒的查杀方法
因为这次是从应急响应引出的，所以我将侧重点放在分析病毒本身的存储方式和传播途径，靠逆向分析出防护策略用于帮助后续的应急响应/系统加固/运维。
文章初衷仅为攻防研究学习交流之用，严禁利用相关技术去从事一切未经合法授权的入侵攻击破坏活动，因此所产生的一切不良后果与本文作者及该公众号无任何关联
很多新入门的同学在在拿下一台服务器权限后经常会出现不知道做什么的问题，往往就会不管三七二十一提权 exp 一顿砸，在宕机的边缘疯狂试探。
在Cobalt Strike中，输入“help”命令会将Beacon的命令及相应的用法解释都列出来，输入“help 命令”会将此命令的帮助信息列出来，如图所示。
很多时候，在一些文章中，工具利用中，都会提到管道（pipe）。那么，什么是管道呢？管道能做什么呢？本文以 windows 管道为主，边学习边整理，希望可以给其他感兴趣的人提供帮助。如有不到之处，或是描述错误的地方请大家多多包涵，多多指点。
前文分享了Windows基础，包括系统目录、服务、端口、注册表黑客常用的DOS命令及批处理powershell。这篇文章将详细讲解PowerShell和PowerSploit脚本攻击，进一步结合MSF漏洞利用来实现脚本攻击和防御。希望这篇文章对您有帮助，更希望帮助更多安全攻防或红蓝对抗的初学者，且看且珍惜。本文参考徐焱老师的《Web安全攻防渗透测试实战指南》著作，谢公子博客，并结合作者之前的博客和经验进行总结。
近日，火绒安全团队截获蠕虫病毒“MinerGuard”新变种，严重威胁企业用户。该病毒通过网络服务器漏洞以及暴力破解服务器的方式迅速传播，并且可跨平台（Windows、linux）交叉感染。病毒入侵电脑后，会释放挖矿病毒挖取门罗币。此外，病毒作者可随时通过远程服务器更新病毒模块，甚至利用以太坊（区块链平台）钱包更新病毒服务器地址。
本文将为您提供极简部署幻兽帕鲁服务器的指引，「仅需轻点三次鼠标，即可完成开服」，和自己的朋友一起开心“抓帕鲁”。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
