根据数据监控机构Neustar发布的2017年第一季全球DDoS攻击研究报告，通过对1010个组织的调查发现，有84%的在今年一季度遭受过DDoS攻击，而其中又有85%遭受到一次以上的攻击。5月4日，暴雪服务器出现登陆困难问题，其中涉及了《守望先锋》、《炉石传说》等多款游戏，用户在登陆账号之后提示“暴雪服务器今天很忙”的字样，随后便是等待登陆状态。去年10月，Mirai僵尸网络针对DNS服务供应商Dyn的大规模袭击，导致美国东海岸出现大规模断网。……DDoS攻击从偶发事件变成常态，且呈逐年扩大的趋势。根据A10 Networks的调查，今年DoT(DDoS of Things)已经达到临界，每次攻击都会利用数十万台联网设，而且中国是最受网络犯罪分子的关注，占攻击量的47.78%。如何有效应对成为国内业界亟待解决的问题?DDoS攻击的原理DDoS又称分布式拒绝服务，全称是Distributed Denial of Service。DDoS是当前网络攻击的最大威胁，其有意制造大量无法完成的请求来快速耗尽服务资源，导致服务器拒绝对外提供服务，严重威胁业务系统安全和稳定，并且此类攻击的手段与方式也在不断变化，攻击峰值在不断被刷新，特别是应用层CC攻击，经常在防御攻击者同时也拦截了正常访客，影响了平台服务体验和业务发展。DDoS攻击也在发展演变，攻击者并不会利用拒绝服务来敲诈或者报复他们的目 ...继续阅读 (13)

▼点击下方收听音频Radware：复杂DDoS攻击日益肆虐，您的企业够安全吗？来自百度VRDNS水刑攻击、SSL泛洪攻击、勒索DoS攻击、高级持续性DDoS攻击、应用泛洪攻击......各类攻击每天都在发生。您的安全解决方案能够检测并拦截这些攻击吗？您能完全阻断IoT僵尸网络攻击吗？利用高级持续性DDoS攻击活动，黑客可以发起多矢量混合攻击活动，这些攻击活动中包含更高流量的网络攻击以及更复杂的应用攻击。此外，近期的IoT威胁也催生了史上最大规模的DDoS攻击，进入了1Tbps DDoS时代。鉴于这些新的高级威胁，确保您的DDoS防护解决方案可以有效保护企业、应用以及客户免遭当前及未来的复杂攻击的侵扰变得更为重要。黑客发现可威胁到现有缓解技术的新攻击类型•由于企业中IoT设备应用的大幅增加，可以创建强大的僵尸网络。因此，IoT僵尸网络成为了企业面临的最大威胁之一。其中最引人注目的就是Mirai僵尸网络，此僵尸网络在2016年秋季发起了史上最大规模的DDoS攻击。该僵尸网络利用了在基于BusyBox的IoT设备中查找到的60多个出厂默认凭证，并生成了迄今为止最为强大的僵尸网络。Mirai引入了包括通用路由封装(GRE)洪水攻击和DNS水刑攻击等在内的新的复杂攻击方式。2017年，Hajime和BrickerBot等更多僵尸网络不断被披露出来，这表明僵尸网络已经开始影响到网络安全。•DN ...继续阅读 (11)

在渗透测试过程中，为了推测局域网内主机品牌，一个简单易行的办法就是通过ARP协议获取主机MAC地址列表，再通过互联网手动查询其所属厂商。笔者分享的工具实现了在ARP命令（arp -a）输出文件上自动添加相应厂商信息的功能。工具虽小，但是解决了实际需求。（工具下载地址：Github）1  基础知识网卡物理地址（MAC地址）共有6个字节48位组成，前三个字节由网卡制造商从IEEE组织申请获得，后三个字节由网卡制造商自行编制。前三个字节又称为组织唯一标识符（OUI，Organizationally unique identifier），IEEE组织发布的oui.txt文件（下载地址）中记录着世界上所有网卡制造商与MAC地址前三个字节的对应关系。图 1 oui.txt部分内容2  实现原理网卡厂商自动识别工具实现流程如图2所示，主要包括两个过程：初始化过程和添加厂商过程。初始化过程完成了组织唯一标识符库（即MAC地址前三个字节与网卡厂商对应关系表）的加载和输入输出流的创建。添加厂商过程主要是逐行检测“arp -a”命令输出文件，针对接口信息行直接输出结果，针对标题行添加ORG列名后输出结果，针对MAC地址行至组织唯一标识符库中检索并添加厂商信息后输出结果。3  使用指南3.1 操作命令C:/Users/Gaearrow> arp -a > ar ...继续阅读 (6)

今天下午13:39-13:44开始，我们遭受了更大规模的攻击，4台负载均衡因被攻击被阿里云云盾屏蔽。在成为流量攻击受害者的同时，也成为阿里云的罪人，因影响阿里云网络稳定性的罪名被关入阿里云的大牢——云盾黑洞。受这次被攻击被屏蔽影响的站点有：www.cnblogs.com ，ing.cnblogs.com ，home.cnblogs.com ，job.cnblogs.com ，kb.cnblogs.com ，由此给您带来很大的麻烦，请您谅解。当收到阿里云云盾屏蔽的通知时，我们惊呆了：您的IP:x.x.x.x受到攻击流量已超过云盾DDoS基础防护的带宽峰值，服务器的所有访问已被屏蔽，如果150分钟后攻击停止将自动解除否则会延期解除。要被屏蔽2个半小时，5月10号的时候还是屏蔽30分钟，现在因为屡次犯罪（被攻击）而被从严5倍处理，而且防护阈值也大大降低。我们现在如履薄冰，只要稍微的攻击，就会随时被关进阿里云的大牢。这让我们想到了一个比方，我们在商场租了一个门面开店，被人抢劫，结果商场因为抢劫可能会危及其他店家的安全而强制把我们的店面关闭了。而唯一的解决方法竟然是向商场交保护费，然后商场会派保安保护，而且保护费是分等级的。如果对付10个人的抢劫，交多少保护费；如果对付20个人的抢劫，交多少保护费。如果你交了10个人的保护费，结果来了11个人，商场继续关你的店面，保护费白交。这果然是被保险公 ...继续阅读 (11)

信息安全公司Verisign刚刚发布了2017年第一季度的分布式拒绝攻击（DDos）趋势报告。该报告介绍了该公司在今年头几个月内观察到的DDoS攻击频率，大小和类型的变化。统计数据显示，今年第一季度，DDoS攻击次数比上个季度下降了23%。然而，平均攻击峰值规模已经增加了近26%，使得它们在占用网站和关键的在线基础设施方面更有效率。该报告还指出，攻击本质上是复杂的，并使用几种不同的攻击类型来占用网站资源。其中，43%的攻击者只使用一个攻击载体，25%的攻击者使用两个，6%的攻击者使用五个。Verisign的报告还谈到公司在第一季度发现的最大规模DDoS攻击。这是一个峰值达到120 Gbps的多向量攻击，吞吐量为90 Mpps，其目标受到60 Gbps攻击的时间超过15个小时。攻击者非常坚持试图通过每天发送攻击流量超过两个星期来破坏受害者的网络。攻击主要由TCP SYN和不同数据包大小的TCP RST组成，并采用与未来IoT僵尸网络相关的攻击。该次攻击还包括UDP洪水和IP片段，增加了攻击的数量。简而言之，攻击者使用了几种不同的攻击类型，他们能够长时间维持攻击。这表明攻击者有资源创建或租用这种大小的僵尸网络，并在两周内维持攻击。DDoS攻击效能提高的事实并不奇怪，因为攻击者可以很容易地将不安全的物联网（IoT）设备劫持到到他们的僵尸网络中。 ...继续阅读 (8)

DDoS 攻击与防护实践DDoS 攻击的实现方式主要有如下两种：自建 DDoS 平台现在有开源的 DDoS 平台源代码，只要有足够机器和带宽资源，随时都能部署一套极具杀伤力的 DDoS 平台，如下图的第三种方案。发包工具下面提供一款常用 DDoS 客户端的发包代码，可以看到攻击方式非常丰富，ip、端口、tcp flag、包大小都是自定义的。def func():os.system(“./txDDoS -a “+type+” -d “+ip+” -y “+port+” -f 0x10 -s 10.10.10.10 -l 1300″)ifname== “main“:pool = multiprocessing.Pool(processes=int(nbproc))for i in xrange(int(nbproc)):pool.apply_async(func)pool.close()pool.join()讲完了 DDoS 攻击的实现方式，下面介绍如何从 iptables、应用自身和高性能代理等角度去防御 DDoS 攻击。iptables 防护sysctl -w net.ipv4.ip_forward=1 &>/dev/null#打开转发sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null#打开 syncook ...继续阅读 (16)

可怕的 DDoS出于打击报复、敲诈勒索、政治需要等各种原因，加上攻击成本越来越低、效果特别明显等趋势，DDoS 攻击已经演变成全球性的网络安全威胁。危害根据卡巴斯基 2016Q3 的调查报告，DDoS 攻击造成 61% 的公司无法访问其关键业务信息，38% 的公司无法访问其关键业务，33% 的受害者因此有商业合同或者合同上的损失。趋势总结来看，现在的 DDoS 攻击具有以下趋势：1. 国际化现在的 DDoS 攻击越来越国际化，而我国已经成为仅次于美国的第二大 DDoS 攻击受害国，而国内的 DDoS 攻击源海外占比也越来越高。2. 超大规模化由于跨网调度流量越来越方便、流量购买价格越来越低廉，现在 DDoS 攻击的流量规模越来越大。在 2014 年底，国内曾有云服务提供商遭受过高达 450Gbps 的攻击。3. 市场化市场化势必带来成本优势，现在各种在线 DDoS 平台、肉鸡交易渠道层出不穷，使得攻击者可以以很低的成本发起规模化攻击。按流量获取方式进行的对比可参考下表：DDoS 攻击科普DDoS 的攻击原理，往简单说，其实就是利用 tcp/udp 协议规律，通过占用协议栈资源或者发起大流量拥塞，达到消耗目标机器性能或者网络的目的。下面我们先简单回顾 TCP “三次握手” 与 “四次挥手” 以及 UDP 通信流程。TCP 三次握手与四次挥手TCP 建立连接：三次握手1.client: ...继续阅读 (11)

NfSpy简介NfSpy是一个开源的Python库，当我们加载一个NFS文件共享服务时，它可以自动伪造出NFS凭证。该工具包含下面两个子程序：1.    nfspy：nfspy使用了用户空间文件系统（FUSE）库在Linux平台中加载NFS文件共享服务。这将允许我们使用类似grep和find这样的常规文件搜索和操作命令来查询NFS所export出去的数据结构。2.    nfspysh：nfspysh是一个类FTP的交互式Shell，可以用来查询NFS export。它不需要使用FUSE库，因此它可以在非Linux平台上运行。漏洞利用v4版本之前的NFS依赖于服务器主机对身份验证机制的信任关系。NFS服务器会信任那些通过相同用户ID（与共享文件系统的UID相同）进行身份验证的客户端设备，这种机制适用于NIS、NIS+和LDAP域，但只有这些设备没有受到攻击或身份并非伪造的前提下这种验证机制才有效，因为NFS协议所使用的唯一的身份验证因素就是客户端设备传递过来的UID或GID（Group ID）。这也就意味着，如果我们能够伪造客户端设备的访问ID，我们就能够绕过NFS服务器的身份验证了。NfSpy下载【下载地址】NfSpy的使用下面这条命令可以显示出用户的可选操作项（查看帮助）：nfspy –help使用 ...继续阅读 (18)

本文以TPYBoard开发板为例讲解了利用micropython进行HID设备测试的主要方法，使用mt7681模块进行了一个简单的实验，实现了手机摇控键盘输入的测试。0×01引言Micropython即运行在微控制器上的Python，只要你懂python3.x，就可以让你像使用arduino那样进行硬件开发。随着micropython的发布，已经有越来越多的人研究和利用其进行项目开发。本人也进行了一些研究，发现利用python进行操作确实很方便，很简单。目前支持micropython的开发板有很多，如pyboard、pyMagic、TPYBoard等。PYmagicpyboard 1.0tpyboard V102最近从网上搞了一块TPYBoardV101（官网www.micropython.net.cn）进行了一下研究，特别是对其自身的USB-HID功能进行了测试，令人惊喜的是，你可以在仅懂python的情况下，进行HID虚拟键盘的测试。0×02 TPYBoardV101模拟键盘该板子的使用方法入门，本文中略过，有兴趣的可以查看其网站http://www.micropython.net.cn/support_category.php?id=2。TPYBoardv101中，在进行键盘模拟时，每次发送了8个字符，只要搞清楚了这8个字符的含义，就能够进行HI ...继续阅读 (10)

工具下载1、Python2.6和pywin32安装包(注意都是32位的，不然会导致调用dll payload文件失败)：复现python和pywin32安装包 （分流下载：http://pan.baidu.com/s/1jHKw0AU密码：kuij）2、Shadowbroker放出的NSA攻击工具https://github.com/misterch0c/shadowbroker3、中招检查工具中招检查工具 （分流下载：http://pan.baidu.com/s/1dETugox密码：una3）注：检查工具已重写了（各有所需，你可以根据自己需要修改）一、 漏洞复现1.    前期准备攻击系统信息列表如下：IP系统信息用途备注192.168.0.102Windows 7旗舰版攻击机器需安装python2.6.6&pywin32192.168.0.104Kali linux 2用于生成攻击payload(反弹shell等)和控制反弹的shell会话生成reverse shell 的dll192.168.0.103Windows xp p3靶机开启SMB服务，445端口(默认开启,默认防火墙已经过滤该类攻击，建议关闭系统防火墙后测试）在攻击机器中安装好python 2.6.6和pywin32,并设置好python的环境变量，以便 ...继续阅读 (8)

简介本文是对16年的blackhat大会上PinDemonium通用动态脱壳工具介绍。通用脱壳工具简介通用脱壳工具可以通过以下方法实现：-debuggers-kernel modules-hypervisor modules-Dynamic Binary Instrumentation (DBI) frameworks其中PinDemonium采用的就是DB的方法。采用DBI主要原因是：1. DBI 提供了对待分析二进制文件非常细粒度的控制，可以全面控制程序执行的代码，深入分析程序做了什么2. 对反调试和反汇编技术免疫3. 有丰富且文档完备的API集合用于从运行的程序中提取出信息，能改变程序运行时的行为PinDemonium原理通常，程序的一个内存地址要么可写，要么可执行，满足Write xor Execution (WxorX)规则。但是加了壳的软件会违反这条规则。通用脱壳工具原理：加壳的可执行文件必需在运行时脱壳。脱壳过程中会向内存中写入新的代码，然后执行写入的代码。利用上述特性来构建通用脱壳工具。通用脱壳工具必须解决的两个问题：1. 找到Original Entry Point(OEP)；2. 修复Import Directory来重构可执行的版本。第一个问题只能通过启发式的方法解决，因为脱壳过程什么时候结束是不可判定的。PinDemonium 综合多个文献中提出的启发式方法 ...继续阅读 (8)

本文我将手把手的带大家来，构建一个高交互型的蜜罐。我们将会利用到两款开源工具sysdig和falco，来帮助我们快速构建这个系统。在正式开始之前，让我们对什么是高交互型蜜罐？以及sysdig和falco做个简单的了解！高交互型蜜罐一个高交互蜜罐是一个常规的计算机系统，如商用现货（commercial off-the-shelf ，COTS）计算机、路由器或交换机。该系统在网络中没有常规任务，也没有固定的活动用户，因此，除了运行系统上的正常守护进程或服务，它不应该有任何不正常的进程，也不产生任何网络流量。这些假设帮助检测攻击：每个与高交互蜜罐的交互都是可疑的，可以指向一个可能的恶意行为。因此，所有出入蜜罐的网络流量都被记录下来。此外，系统的活动也被记录下来备日后分析。相较于低交互型蜜罐，高交互型蜜罐由于运行着带有所有漏洞的真实的操作系统，没有使用仿真，攻击者可以与真实的系统和真实的服务交互。因此，允许我们捕获大量的威胁信息，同时也更难被攻击者发现。Sysdig和Falcosysdig是一款开源的工具，可以捕获并保存当前正在运行的Linux的系统状态及活动。因此这对于我们进行相关进程、网络和I/O活动的离线分析，提供了极大的便利。Sysdig falco是一个活动行为监视器，用于检测和发现应用程序中的异常活动。Falco可以检测和警告涉及使Linux系统调用的任何行为。借助于 ...继续阅读 (9)

0×00：前言信息收集为渗透测试环节一个非常重要的阶段，它关系到后序列策划攻击的成功性。快速收集目标服务信息则需要测试人员熟练运用指纹识别技术。0×01：指纹识别概念组件是网络空间最小单元，Web应用程序、数据库、中间件等都属于组件。指纹是组件上能标识对象类型的一段特征信息，用来在渗透测试信息收集环节中快速识别目标服务。互联网随时代的发展逐渐成熟，大批应用组件等产品在厂商的引导下走向互联网，这些应用程序因功能性、易用性被广大用户所采用。大部分应用组件存在足以说明当前服务名称和版本的特征，识别这些特征获取当前服务信息，从而进行一系列渗透测试工作。0×02：指纹识别方式网上描述指纹识别方式的文章很多，以下是我在实际测试中使用的几种方式1.特殊文件的md5值匹配2.请求响应主体内容或头信息的关键字匹配3.请求响应主体内容或头信息的正则匹配4.基于Url关键字识别5.基于TCP/IP请求协议识别服务指纹不同应用组件的指纹识别方式有所不同，例如Web应用程序和数据库。0×03：指纹识别详解相关厂商下的cms（内容管理系统）程序文件包含说明当前cms名称及版本的特征码，如Discuz官网下robots.txt文件。2.计算网站所使中间件或cms目录下静态文件的md5值，md5码可以唯一地代表原信息的特征。静态文件包括html、js、css、image等， ...继续阅读 (18)

*本文原创作者：Shun，项目维护Wester(sina weibo@西风微雨_Wester) && Martin (sina weibo@Mart1n_ZHOU) ，本文属FreeBuf原创奖励计划，未经许可禁止转载项目介绍Scanners-Box是来自github平台的开源扫描仪的集合，包括子域枚举，数据库漏洞扫描程序，弱密码或信息泄漏扫描仪，端口扫描仪，指纹扫描仪和其他大型扫描仪，模块化扫描仪等。对于其他众所周知的扫描工具，如：Nmap，w3af，brakeman将不会包含在收集范围内。安全行业从业人员常用工具指引，包括各类在线安全学习资料和安全检测工具，欢迎大家持续贡献！入门指南https://wizardforcel.gitbooks.io/web-hacking-101/content/                  Web Hacking 101 中文版https://wizardforcel.gitbooks.io/asani/content/           ...继续阅读 (20)

为了防范潜在的 DDOS 攻击，避免经济损失，我在近期升级了本博客的服务器。更新后，服务器实装了 Nginx 自建的 HTTP 限流模块，配合 fail2ban 封杀恶意 IP，可以有效抵御大量并发请求对服务器的干扰。Nginx 部分在 Nginx 上配置 HTTP 限流模块，分为两个步骤：创建一个管理区域（以下称 zone）将 zone 应用于指定的文件路径（location）我曾在文章本博客现已启用全站 HTTPS 加密通讯中贴出了配置文件nginx.conf的代码片段。简明起见，那篇博客省略了配置文件的根节点。实际上，整个文件的结构是这样子的：# 进程设定 ... http { # 逻辑服务器设定 server { listen 80; ... # 文件路径映射 location / { root /var/www/html; } ... } server { listen 443 ssl; ... } # 其它设定 -- TCP SSL 日志 压缩等 ... }Nginx 的每个 zone 记录了一套管理规则。这个规则会在开启了该 zone 的 location 上 ...继续阅读 (10)

今天给大家介绍的是一款名叫PwnBack的Burp插件，它可以利用WaybackMachine来为我们生成一个网站的站点地图（sitemap）。工具下载【下载地址】设置与要求PwnBack的运行需要PhantomJS支持【下载PhantomJS】。如果你想知道为什么需要PhantomJS的话，可以参考这个章节【传送门】。在使用插件之前，用户需要根据自己所使用的硬件来进行设置。# of PhantomJS WebDrivers定义Firefox（HeadlessBrowser）的打开数量，这里需要注意BurpSuite的内存设置。# of HTTP Response Parsers这个选项可以设置用来解析请求（由WebDriver生成）的解析器数量，请不要盲目增加这个数量。Start Year设置你所要遍历的网站历史深度。End Year设置查询终止时间。PhantomJS LocationPhantomJS代码的存储位置。Output Folder设置用于保存输出结果的目录路径。Domain设置需要爬取的域名，例如example.com或example.org等等。CA Bundle设置PhantomJS所使用的CA证书，一般情况下我们不会用到这个选项。如果插件无法正常生成数据的话，请参考文章结尾的疑难问题解答部分。插件安装在BurpSuite主程序中打开Extender标签页，点 ...继续阅读 (17)

过去一周，勒索软件“WannaCry”给全球许多使用旧版 Windows 操作系统的机构和普通用户带来了惨痛的经历。尽管微软早于 2017 年 3 月发布了安全补丁，但仍有许多未及时更新的用户中招。如果不能在限定时间内支付等值 300 美元比特币的赎金，他们只能眼睁睁地看着被加密的资料丢失。万幸的是，一位名叫 Marcus Hutchins 的研究人员，通过某个“自杀开关”成功阻止了该恶意软件的传播。图片来自：Gillian Hann（via Twitter）其在分析了恶意软件代码后发现，被 WannaCry 感染的计算机会尝试与某个“由一长串无意义字符组成的域名”通信。于是在好奇心的驱使下，白帽黑客尝试注册了该域名，结果竟然意外阻断了该恶意软件的传播。不过最新消息是，幕后黑手仍然试图让 WannaCry 死灰复燃，其策略是利用各种可能的手段来攻击上文所述的这个“无意义域名”—— 比如分布式拒绝服务（DdoS）攻击。小哥的推特据《连线》报道，僵尸网络已经向这个“自杀开关域名”发起了一波又一波的 DDoS 攻击。当前我们暂不知道幕后主使的身份，但有研究人员认为这是一帮以牺牲无辜者的利益来取乐的人。最后，某位法国安全研究人员在几天前找到了一个或许有助于修复被 WannaCry 勒索软件加密文档的方法，并且推出了一款名叫“wannakiwi”的工具（下载地址）。[编译自：BGR]相关文章 ...继续阅读 (14)

项目地址：https://github.com/hanc00l/wooyun_public https://github.com/hanc00l/wooyun_public 资源推荐 整理后的：https://pan.baidu.com/s/1o8crh8Y 提取密码 rqxj 更新地址：百度云 备用地址：https://pan.baidu.com/s/1i5HcZhr 提取码 ugee 虚拟机用户密码为 hancool/qwe123 ...继续阅读 (38)

今天给大家介绍的是一款基于PowerShell的GUI工具，这款免费工具可以帮助我们生成HTML或CSV格式的活动目录权限报告。工具下载【下载地址一】【下载地址二】工具介绍这款活动目录（Active Directory-AD）权限分析器的开发者为Robin Granberg（就职于微软公司），你可以从下面这张截图中看到，你根本不会注意到AD ACL Scanner是基于PowerShell开发出来的。不仅如此，你在使用它的过程中也不需要任何的PowerShell技术。但是，如果你想进行高级活动目录权限分析的话，还需要使用到PowerShell脚本，而此时就可能需要你自行编写PowerShell代码了。除了扫描活动目录权限之外，AD ACL Scanner还可以帮助我们设置目录权限。但是，如果你想查看活动目录权限结构，那么你通常还需要使用一款AD报告工具。而AD ACL Scanner的优势就在于，它可以非常方便地列出目标AD的权限结构，这样就可以避免用户去单独操作那些复杂的AD报告工具了。AD ACL Scanner的使用也非常简单，大多数情况下你只需要点击几下鼠标就可以生成AD权限报告了。工具运行你只需要右键点击程序图标，然后选择“以PowerShell运行”即可。如果你在Windows 10电脑上以这种方式运行的话，你无需将你的PowerShell执行策略修改为remotesi ...继续阅读 (12)

很多企业特别是一些中小型企业在日常生产中，时常会因为时间、预算、人员配比等问题，而大大减少或降低在安全方面的投入。这时候，一些好的免费开源安全工具，无疑成为了这些企业降低成本的首选。下面,我将为大家推荐十款不错的免费开源安全工具。NmapNmap（Network Mapper）是一款免费开源的安全扫描工具，主要用于端口扫描、网络探测等。Nmap也是系统和网络管理员的最爱，常被用于监控主机或服务正常运行时间，管理服务升级计划和网络库存等任务。Nmap通常利用原始IP数据包来探测网络上可用的主机，并能为我们获取目标系统的版本及服务等信息。“作为一款专业而强大的安全扫描工具，企业需要掌握更多的技术知识才能充分利用它。该工具专为较大的网络而设计，并可在所有主流的操作系统上运行，Weiner说。”Security Onion(安全洋葱)Security Onion基于Ubuntu，包含了入侵检测、网络安全监控、日志管理所需的Snort、Suricata、Bro、OSSEC、Sguil、Squert、ELSA、Xplico、NetworkMiner等众多工具。“Security Onion是用于网络监控/取证和IDS类型活动的最佳工具之一，同时也是一款能够提升你网络安全意识的工具。当然，Security Onion也与其它工具一样，需要使用人员掌握大量的技术知识，才能从中提取到更多有价值的东西 ...继续阅读 (19)

前言工具名称开山斧0.3.5重要的事情提前说软件跨平台，并且已经开源，不用担心有后门，也可以根据自己的需求进行功能二次开发。或者反馈给他们，作者很靠谱。目前支持语言PHP ASP ASPXGIT开源地址https://github.com/pyqteval/ 功能介绍system/Server.ini  软件配置信息[add_shell]{添加数据时保存默认配置信息}checkbox = 0type_id = 3script = 1coding = 1pass_checkbox = 1[link_except]{链接错误弹出窗口自动关闭时间秒}close_form = 5[Action]{同意软件使用说明}declaraction = 1file_property = 0666_232,232,232|0777_105,105,105|0000_54,54,54     {根据文件属性更改背景色}file_format = .exe_255,0,0|.htm_30,144,255|.html_30,144,255|.jpg_124,252,0     {根据文件后缀更改文字颜色}支持检测防火墙system/firewall.txt样式：eval_safe ...继续阅读 (19)

前段时间，两大知名比特币交易平台 Poloniex 和 Kraken 纷纷表示遭受了严重的分布式拒绝服务（DDoS）攻击，造成了大量用户的直接损失。其中 Poloniex 宣称，在遭受攻击的几分钟时间里，平台正在执行一个大型以太坊销售订单，由于该订单足以影响市场价格，导致大批用户放在追缴保证金里的头寸被迫清算，Kraken 的情况也与 Poloniex 类似。而在两家交易所遭受攻击的这段时间里，平台均无法正常运作，许多用户无法直接登录交易平台管理自己的账户和资金。然而对于交易所给出的解释，很多用户都认为这只是他们的推托之词，实际上自己已经成为了交易所之间暗箱操作以及内幕交易的受害者。随后这些用户找到了 Berns Weiss LLP 法律事务所进行相关的法律咨询，事务所表示，如果交易所或是和交易所有关的人员（如工作人员）违反了法律，账户的所有者因为这种违法行为受到了侵害，交易所就必须对用户的损失做出补偿。面对来自用户和律师事务所的质疑，Poloniex 在一份关于用户需要了解的最近情况的声明中做出了回应：最近一段时间里，Poloniex 平台数字货币交易的火爆程度超乎想象，从今年 1 月份到现在，在线活跃的交易用户数已经增长了超过 600%。与此同时，平台也一度提醒了用户（尤其是新加入的用户）需要重视其中常见的风险因素，例如在交易过程中可能面临的破坏性操作威胁。这些入侵者采用 DD ...继续阅读 (10)

由于物联网僵尸网络的兴起，DDoS攻击也变得普遍起来。根据A10公司的网络调查显示，今年由物联网而引起的DDoS攻击已经达到了有史以来的最高纪录，在每次攻击中，都有数十万台连接到互联网的家用设备被DDoS攻击利用。不过，面对DDoS的越来越迅猛的攻击之势，我们对它的防御明显还很不足。这可以从几个环节中一窥得知，对于物联网设备供应商来说，他们虽然已经开始在自己的产品中加强信息安全方面的保护了，但是很明显效果不是很明显。不过，我们还是在打击DDoS的方面做出了一些比较有影响的事件，比如安全专家布莱恩•克雷布斯(Brian Krebs)通过不懈的努力，可能已经找到了去年物联网僵尸网络Mirai发动的大规模DDoS攻击背后的开发者，除此之外，今年2月，一名英国籍男子在伦敦卢顿机场被捕，因为德国警方已经确认就是他去年攻击了德国电信公司，导致近１００万用户家庭网络服务中断。如果罪名成立，此人将在德国面临最高10年监禁。从目前的发展趋势来看，DDoS发起者的主要目标还是赚钱。所以，银行和各种金融机构仍然是最有吸引力的目标。 DDoS攻击往往最后以受害者交付赎金而结束，不过交付赎金之后不见得攻击就能停止。本季度趋势DDoS攻击在今年年初的攻击趋势和我们过去五年中观察到趋势是一致的，就是在第一季度是这些黑客的工作淡季。我们猜想，这可能是由于这些攻人正在度假或者是客户的需求较少。这与2016年第四季度 ...继续阅读 (13)

这两年蜜罐技术被关注的越来越多，也渐形成低交互、中交互、高交互等交互程度的各类蜜罐，从web业务蜜罐、ssh应用蜜罐、网络协议栈蜜罐到系统主机型蜜罐的各功能型蜜罐。小到一个word文档的蜜标，到一个系统级的服务蜜罐，再到多功能蜜罐组成的蜜网，大到包含流控制重定向分布式蜜网组成的蜜场。随着虚拟化技术的发展，各种虚拟蜜罐也得到发展，可以通过虚拟机来实现高交互蜜罐，以及通过docker实现的业务型蜜罐，不再像是以前需要昂贵硬件设备的部署支撑，这也大大减少了蜜罐的部署成本，一台主机就可以实现整个集数据控制，数据捕获和数据分析于一体多功能多蜜罐高交互蜜网的体系架构。也已经产生了一些不错的开源蜜罐产品或项目，比如MHN(现代蜜网)、HoneypotProject。MHN现代蜜网简化了蜜罐的部署，集成了多种蜜罐的安装脚本，可以快速部署、使用，也能够快速的从节点收集数据。国外也有很多公司做基于蜜罐的欺骗技术产品创新。蜜罐高保真高质量的数据集把安全人员从以前海量日志分析的繁琐过程中解脱出来，对于蜜罐的连接访问都是攻击信息，并且不再像以前的特征分析具有一定的滞后性，可以用于捕获新型的攻击和方法。前段时间作者就通过高交互蜜罐捕获了ssh自动化爆破工具，能够针对整个互联网进行爆破尝试，并能够自动识别某些低交互蜜罐。现在各功能蜜罐这么多，虽然MHN简化了各蜜罐的部署过程，但还是需要手动安装多个系统senso ...继续阅读 (17)

RedSnarf是一款由Ed William 和 Richard Davy开发的，专门用于渗透测试及红队的安全工具。RedSnarf通过OpSec技术，从Windows工作站，服务器和域控制器中检索散列和凭据。RedSnarf的主要任务包括以下两项：不在入侵/渗透的主机上留下任何证据 – 包括文件，进程和服务；不对主机造成不适当的损害，即强制主机重启YouTube演示：https://youtu.be/oLmpOol8NV8为什么要使用RedSnarf？其实除了RedSnarf，还有许多优秀的后渗透利用工具；例如smbexec和Metasploit就拥有强大的后渗透利用模块。那么既然如此，我们为什么还要选择使用RedSnarf呢？下面，让我来列举几点RedSnarf的不同之处：使用起来更加简便占用更小的空间内存（工具代码量小于500行）减少服务器上的操作频率模块化线程化RedSnarf功能包括：检索本地SAM散列枚举当前以系统权限运行的用户及其相应的lsa密码；检索MS缓存凭证；Pass-the-hash；快速识别弱口令和可猜测用户名组合（默认为admin/Password01）;跨区域检索哈希Credsfile将接收由空格分隔的pwdump，fgdump和纯文本用户名和密码的混合；Lsass转储以用于Mimikatz的离线分析；使用NTDSUtil ...继续阅读 (16)

如果你想要拿到所有WhatsApp用户的手机号码、头像、以及状态信息，那么我告诉你，这其实是一件非常简单的事情，而且这些用户甚至都不需要将你添加到他们的通讯录里面。大概在几年之前，WhatsApp开始允许我们在Web浏览器中使用WhatsApp了。这是一种提升用户体验度的绝佳方法，因为与那手机屏幕里还没巴掌大的九宫格键盘相比，使用键盘来输入信息会更加的方便，而且复制粘贴或者添加附件也非常的简单。虽然优点如此之多，但缺点也肯定会有。坏消息就是，从技术角度出发，我们将有可能利用WhatsApp的Web接口来创建一个庞大的WhatsApp用户数据库。需要注意的是，可能只有一小部分用户不会受到影响：即那些没有修改隐私设置的用户（但WhatsApp并不鼓励这种不修改隐私设置的行为）。接下来，我会给大家演示如何利用WhatsApp的API接口来收集大量有趣的用户信息。简单介绍Web版WhatsApp需要通过用户的手机号来与WhatsApp服务器进行连接。简而言之，也就是浏览器只需要根据一个特定的手机号就能让后台服务器返回所有与该手机号有关的信息。可能返回的信息如下：1.    用户头像；2.    与用户状态相关的文本信息，例如“嗨，我正在使用WhatsApp”等等；3.    ...继续阅读 (13)

鉴于各位厂家都比较自持，不肯发布简单易用的批量扫描工具，在这里就代发了。各位苦逼网管，你们尽情在自己地盘扫吧。特别鄙视一下360，只给付费用户发放批量检测工具。关于永恒之蓝（MS17-010）漏洞如果攻击者向 Windows SMBv1 服务器发送特殊设计的消息，那么其中最严重的漏洞可能允许远程执行代码。使用方法-h 192.168.4.4-n  192.168.4.0/24下载地址https://share.weiyun.com/bcda174a97b896094b9af905ce764ca0解压缩密码： 123123（请自主检查工具安全性）*本文作者：李小明，转载请注明来自FreeBuf.COM ...继续阅读 (12)

精易模块[永久免费] V5.7【2017.05.03】 百度网盘地址：https://pan.baidu.com/s/1dFGJVdn 密码: bd49 　　　　　　　天翼云盘：http://cloud.189.cn/t/uUvauyauAnI3 ...继续阅读 (15)

Nginx 499状态码的成因分析27 Apr 2017Reading time ~1 minute工作时遇到一个疑似被DDOS的情况，查看网站日志发现Nginx有大量的499状态码，但是正常用浏览器访问网站却能访问，没有任何问题。所以搜索了一些资料，找到了原因并复现了该现象。猜想499 状态码是 Nginx 自己定义的特殊返回码，查看资料，Nginx源码中是如下规定的：ngx_string(ngx_http_error_495_page), /* 495, https certificate error */ ngx_string(ngx_http_error_496_page), /* 496, https no certificate */ ngx_string(ngx_http_error_497_page), /* 497, http to https */ ngx_string(ngx_http_error_404_page), /* 498, canceled */ ngx_null_string, /* 499, client has closed connection */字面上的意思是客户端关闭了连接导致的。我的理解是客户端在发送HTTP请求后，不接收返回包，也不等服务器响应，立即关闭HTTP通道，或者强行关闭tcp连接。这 ...继续阅读 (24)

我们常说公共wifi不安全，那么到底不安全在哪些地方呢？当不怀好意者和你同在一个wifi下，你的手机或者笔记本会被监听吗？除了上网被监视以外，还会产生什么不好的后果？介于小伙伴们对于wifi这一块比较感兴趣，在这篇文章里，就先为大家普及一下在公共wifi下究竟有多危险。实验环境一台装有kali linux的笔记本（模拟攻击者）ip地址是：192.168.1.129一台普通的笔记本电脑（模拟受害者）ip地址是：192.168.1.137两个设备连接同一个无线网络。实验一实验目的使用kali linux监听被害者电脑的上网流量实验过程在kali linux中内置了一款实用的网络监听工具——arpspoof，这一款工具的原理是伪造网络中的arp通信，实现所有的数据流量都通过这个工具进行转发从而进行流量的监听。第一步，当然是让kali linux接入无线网络1.将装有kali linux虚拟机的笔记本接入无线网络笔记本接入无线网络第二步，编辑kali linux虚拟机的设置，将网络适配器设置为桥接模式，并且勾选复制物理网络连接状态虚拟机网络适配器设置为桥接模式1虚拟机网络适配器设置为桥接模式2第三步，在kali linux上开启ip转发功能，这样，kali linux就可以用来转发受害者的上网流量。（这是让受害者上网流量经过kali linux的一个前提）在kali linux的控制台上输 ...继续阅读 (29)