TRX HW 二面

admin
admin
admin
141215
文章
117
评论
2024年5月12日23:43:19评论27 views字数 1381阅读4分36秒阅读模式
  1. structs2、weblogic...... 漏洞原理，在 WAF 看到的特征

structs2：

原理：使用%{…}语法应用强制 OGNL 求值，则标记的某些属性可能会执行双重求值。

特征：请求头包含 %{}，请求体和响应体都包含 payload。
http://www.meta-sec.top/2022/02/09/struts2-quan-lou-dong-yan-jiu-zui-zhong-pian/https://www.cnblogs.com/lingzhisec/p/13917529.html#gallery-5

weblogic：

原理：/console/consolejndi.portal 接口可以调用存在 JNDI 注入漏洞的 com.bea.console.handles.JndiBindingHandle 类，从而造成 RCE。

特征：请求的 url 中存在 payload，响应体有执行的结果。
https://cert.360.cn/report/detail?id=a95c049c576af8d0e56ae14fad6813f4https://cloud.tencent.com/developer/article/2168621

其他的不说应该也知道是哪些

2. Windows Event ID

1100 ----- 事件记录服务已关闭
1102 ----- 审核日志已清除
4624 ----- 帐户已成功登录
4625 ----- 帐户无法登录
4656 ----- 请求了对象的句柄
4657 ----- 注册表值已修改
4720 ----- 已创建用户帐户

5025 ----- Windows 防火墙服务已停止

https://learn.microsoft.com/zh-cn/windows-server/identity/ad-ds/plan/appendix-l--events-to-monitor

3. 内存取证

在运行时，对其存储的内存数据进行抓取。一般使用 Volatility。

https://hello-ctf.com/HC_MISC/memory/

4. 恶意样本分析

静态分析：

1. 使用反病毒扫描引擎
2. 计算哈希值，上传到威胁情报查询
3. 通过 strings 或 IDA 等工具查找字符串

4. 查看导入表使用了哪些 api

动态分析：

1. 使用 x64dbg 进行调试

https://blog.nsfocus.net/malware-sample-analysis-methods/

5. waf 原理

通过流量识别、攻击检测、攻击响应和日志记录之类的，实现对 Web 应用程序的安全防护。

https://developer.baidu.com/article/detail.html?id=2700856

6. Java CC 链

https://xz.aliyun.com/t/12692?time__1311=mqmhDvqIOG8tDsD7GG7DyWk%3DgE3xjE4eGKx&alichlgref=https%3A%2F%2Fcn.bing.com%2F

7. 勒索应急

https://nic.seu.edu.cn/__local/7/19/88/7E06D12FCF3476FB565A0FFE2F4_8A6E4147_135988.pdf?e=.pdf

原文始发于微信公众号（走在网安路上的哥布林）：TRX HW 二面

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年5月12日23:43:19
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   TRX HW 二面https://cn-sec.com/archives/2733566.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息