2024-08-02 微信公众号精选安全技术文章总览

洞见网安 2024-08-02

0x1 内网穿透学习-10-Stowaway工具

Feng随心而安 2024-08-02 23:22:02

Stowaway是一个使用Go语言编写的多级代理工具，专为渗透测试工作者设计，用于突破内网访问限制。用户可以通过该工具将外部流量通过多个节点代理至内网，构建树状节点网络，并进行管理。工具包含两种角色：admin端和agent端，分别代表控制端和被控制端。Admin端负责监听和接收agent端的连接，而agent端则负责连接到admin端并执行相关命令。两者通过参数配置实现通信加密、代理设置、端口复用等功能。文章通过实例演示了如何使用Stowaway进行内网穿透，包括admin端开放端口等待连接，agent端进行连接，并设置socks端口实现穿透。作者强调，Stowaway及其他技术、工具仅供安全学习交流，严禁非法使用。最后，作者以励志的语气鼓励读者在网络安全领域不断进步，创造自己的价值。

内网穿透 渗透测试 代理工具 加密通信 多级代理 Go语言 网络安全工具

0x2 【IoT安全】如何手搓一个Wi-Fi协议栈（1）

车联网攻防日记 2024-08-02 22:42:29

ESP32 是一款在创客社区中因其低价（约 5 欧元）和实用功能而广受欢迎的微控制器：它具有双核 CPU、内置

0x3 父进程欺骗--DidierStevens

蟹堡安全团队 2024-08-02 22:41:40

0x4 父进程欺骗--DidierStevens(三)

蟹堡安全团队 2024-08-02 22:41:40

0x5 父进程欺骗--DidierStevens(二)

蟹堡安全团队 2024-08-02 22:41:40

0x6 父进程欺骗--DidierStevens(一)

蟹堡安全团队 2024-08-02 22:41:40

本文详细介绍了在Windows操作系统中，如何使用InitializeProcThreadAttributeList函数初始化进程和线程的属性链表，以及如何通过HeapAlloc和GetProcessHeap函数为属性链表分配内存。文章首先解释了InitializeProcThreadAttributeList函数的参数和作用，然后逐步分析了创建属性链表的三个步骤：首先调用InitializeProcThreadAttributeList获取所需缓冲区大小，接着使用HeapAlloc和GetProcessHeap分配内存，最后再次调用InitializeProcThreadAttributeList初始化属性链表。文章还强调了属性链表内容的不透明性，并提供了错误处理的方法。最后，指出了属性链表初始化完成后，可以进一步使用UpdateProcThreadAttribute函数添加键/值对，为进程和线程的创建提供更多配置。

父进程欺骗 Windows API 安全 系统编程 内存管理 进程管理

0x7 u200bH3C路由器 userLogin.asp 信息泄漏漏洞

蟹堡安全团队 2024-08-02 22:41:40

H3C路由器的多个系列中被发现存在信息泄露漏洞，攻击者通过特定的HTTP请求，可以访问路由器的配置文件，从而获取管理员账户及密码等敏感信息。漏洞的复现过程涉及构造特定的URL路径，指向不同型号路由器的配置文件。攻击者只需更改路径中的型号名称，即可读取对应的.cfg文件，获取敏感数据。受影响的型号包括但不限于GR2200、ER8300G2、M60、GR8300、GR5200、GR3200等多个系列。

信息泄漏 H3C路由器 配置文件泄露 HTTP请求

0x8 同享人力资源管理系统-TXEHR V15 DownloadTemplate 文件读取漏洞

蟹堡安全团队 2024-08-02 22:41:40

同享人力资源管理系统-TXEHR V15存在一个严重的文件读取漏洞，该漏洞位于DownloadTemplate.asmx接口。由于系统未进行身份验证，攻击者可以利用这个漏洞来读取服务器上的敏感文件，例如web.config文件。攻击者通过构造特定的POST请求，发送SOAP协议的XML数据包，其中包含一个路径参数来指定想要读取的文件。这个漏洞可能被用来获取服务器配置、数据库连接信息等关键数据，对系统的安全性构成极大威胁。漏洞的复现步骤包括构造HTTP请求头和SOAP请求体，其中SOAP请求体中定义了想要下载的文件路径。由于该漏洞可能被用来进一步攻击系统，建议立即对系统进行安全更新和修补。

文件读取漏洞 未经身份验证 XML外部实体攻击 Web服务安全 信息泄露

0x9 EDR联动数据包封锁技术

二进制空间安全 2024-08-02 18:15:11

利用中间人攻击(PitM)和过滤EDR特定通讯数据包, 可以干扰和阻止EDR与云服务器的通讯过程, 从而有效隐藏报警信息, 使其不被SOC团队察觉。这种效果可以通过对目标主机实行ARP欺骗并配置iptables来实现。

0xa 每周高级威胁情报解读(2024.07.26~08.01)

奇安信威胁情报中心 2024-08-02 18:12:23

-APT45：朝鲜的数字军事机器\x0d\x0a-Operation Giant：熔断指令下的金融风暴\x0d\x0a-巴基斯坦威胁的伞：针对印度的网络行动策略融合

0xb 通过cookie中的参数所引发的sql注入

迪哥讲事 2024-08-02 17:30:19

本文讨论了一种通过cookie参数引发的SQL注入漏洞。在请求的cookie参数中，名为'lang'的参数未正确转义或过滤输入，导致可以注入恶意SQL代码。当注入单引号时，触发SQL语法错误，而注入第二个单引号后错误消失，表明存在注入漏洞。攻击者可以通过构造特定的HTTP请求，将恶意SQL查询注入到lang参数中，例如使用'UNION SELECT'语句来窃取用户信息。通过发送包含延迟函数如'SLEEP(20)'的查询，攻击者可以观察服务器响应时间的变化来确认注入是否成功。成功利用此漏洞，攻击者能够获取数据库中的敏感信息，如用户名和密码。文章还提供了具体的HTTP请求示例，以及如何通过HackerOne平台报告此类安全问题。

SQL注入 Web安全 漏洞利用 信息泄露 攻击检测

0xc Windows驱动开发基础[上]

渗透测试安全攻防 2024-08-02 17:27:38

Windows驱动开发基础指南

0xd 内网域森林之ProxyNotShell漏洞利用

Ms08067安全实验室 2024-08-02 17:18:33

本文介绍了在渗透测试过程中，如果目标环境存在Exchange服务器，测试者需要检查是否存在ProxyNotShell远程命令执行漏洞。ProxyNotShell漏洞由两个漏洞组合而成，分别是CVE-2022-41040和CVE-2022-41082。CVE-2022-41040是一个无需认证的SSRF漏洞，允许攻击者以LocalSystem权限发送数据到任意URL。而CVE-2022-41082是一个远程代码执行漏洞，允许攻击者在绕过认证后执行任意命令。文章提供了POC代码，用于测试目标服务器是否存在该漏洞，以及如何使用nmap脚本进行扫描。此外，还提供了PoC地址和利用方法，前提是需要有效的账户和密码。利用成功后，攻击者可以在目标服务器上执行命令，甚至添加用户到本地管理员组，搜索邮件以查找敏感信息或进行权限提升。

内网渗透 漏洞利用 远程命令执行 权限提升 SSRF漏洞 Exchange服务器安全

0xe 一张图就把HTTPS工作原理讲明白了！

网络技术联盟站 2024-08-02 17:18:26

学网络，尽在网络技术联盟站！

0xf Windows网络认证与NTLM协议概览

AlertSec 2024-08-02 17:08:42

本文主要介绍了网络认证的概念和NTLM协议的工作流程。网络认证是确保用户访问网络资源时身份合法性的过程，如登录网站或访问工作组资源。NTLM协议作为网络认证的一种方式，采用挑战/响应机制，分为协商、质询和认证三个步骤。在工作组环境中，客户端首先请求服务端资源并发送用户名和支持的NTLM协议版本，服务端收到后生成挑战并发送给客户端，客户端使用NTLM-Hash加密挑战并返回响应。服务端通过比较加密结果来完成认证。在域环境中，认证过程类似，但最终由域控制器进行验证。文章还详细解释了Challenge和Response的概念，以及Net-NTLM-Hash的构成。最后，通过Wireshark抓包分析了NTLMv2版本的认证过程，展示了数据包的交互和Net-NTLM-Hash的具体内容。

身份认证 协议分析 网络抓包 Windows安全 密码学应用

0x10 Upload-Lab第三关：如何巧妙应对黑名单文件后缀检测？

攻城狮成长日记 2024-08-02 12:16:19

本文详细介绍了Upload-Lab第三关的解题过程，主要挑战是如何绕过文件上传功能的黑名单检测机制。作者提供了多种方法，包括使用双重后缀名、大小写混淆、文件名后缀添加特殊字符和使用其他可执行后缀等。通过实践步骤，作者演示了如何创建并上传一个包含PHP代码的文件，最终成功绕过黑名单。文章还提到了防御措施，建议开发人员采用白名单检测机制并对上传文件进行内容检查。整个解题过程加深了对文件上传漏洞的理解，并提高了防御此类漏洞的能力。

文件上传漏洞 黑名单检测绕过 Webshell利用 配置文件分析 防御措施 安全教育

0x11 LiveBOS UploadFile.do任意文件上传漏洞

爱喝酒烫头的曹操 2024-08-02 12:05:03

LiveBOS系统中的UploadFile.do接口存在一个任意文件上传漏洞，允许攻击者上传恶意脚本文件，对服务器构成安全威胁。通过构造特定的POST请求，攻击者能够上传包含恶意代码的.jsp文件，并通过访问该文件触发执行。漏洞利用示例中使用了multipart/form-data类型的数据包，其中包含恶意的JSP代码，该代码会在服务器上打印字符串“66666”，并尝试删除服务器上的文件。此外，还提供了一个Nuclei扫描脚本来批量检测此漏洞。针对此漏洞的修复建议包括：前后端双重验证上传文件类型；限制上传文件的大小、类型和路径；校验文件内容；重命名上传文件；限制文件执行权限；隐藏文件真实路径等措施。

Web Security Vulnerability Arbitrary File Upload Exploit Security Advisory

0x12 【2024-08-02】每日安全资讯摘要

知机安全 2024-08-02 09:57:21

2024年8月2日的每日安全资讯摘要涵盖了多个网络安全事件。首先，超过百万个域名因DNS系统漏洞而面临被劫持的风险，攻击者无需访问域名所有者账户即可控制域名，用于恶意活动。其次，Stack Exchange平台被滥用来传播恶意Python软件包，针对加密货币用户，企图窃取他们的钱包和机密信息。接着，一款新型安卓远程访问木马BingoMod被发现，该木马不仅能进行欺诈性转账，还能擦除设备数据以隐藏痕迹。此外，文章还讨论了代码混淆技术，指出其在保护软件和恶意软件作者隐藏代码方面的双重作用，并强调了网络检测与响应（NDR）工具的重要性。谷歌Chrome浏览器新增应用绑定加密保护层，以防止信息窃取恶意软件在Windows系统上抓取Cookie。最后，Facebook用户成为骗局电子商务网络的目标，该网络通过假网站和恶意广告手法窃取个人和财务数据。这些事件提醒我们网络安全形势的严峻性，以及加强防护措施的迫切需求。

域名劫持 恶意软件分发 安卓木马 代码混淆 浏览器安全 网络钓鱼

0x13 流量对抗-域前置基础设施搭建

Evilc0de 安全团队 2024-08-02 09:30:46

本文详细介绍了域前置基础设施的搭建过程，分为HTTPS和HTTP两大类别。HTTPS域前置利用CDN解密和请求转发，通过合法域名伪装非法通信，流量加密难以分析。HTTP域前置则通过Profile编写伪造流量，但流量明文暴露Host。文章讲解了如何绑定域名、配置缓存、过滤流量、选择可信域名、添加监听器以及测试CDN连通性。对于无域名情况，介绍了如何选择不需要验证的CDN提供商和伪造域名的技巧。最后，文章指出域前置的局限性，并提出了改进建议，如伪造证书或申请合法证书进行加密。

隐蔽通信 CDN安全 流量分析 网络攻防 HTTPS加密 网络安全防护 技术教程

0x14 【域渗透】非约束性委派攻击

TeamSecret安全团队 2024-08-02 09:01:06

文章介绍了非约束性委派攻击的概念和原理，并提供了一个具体的攻击场景。非约束性委派攻击是指，当一个用户A通过Kerberos协议认证访问域中的服务B时，如果服务B被设置为非约束性委派，那么服务B就可以利用用户A的身份去请求域中的其他服务，从而获得更高的权限。文章还介绍了如何发现域内的非约束性委派用户和计算机，以及如何利用这些信息进行攻击。此外，文章还提到了Windows系统中只有服务账号和主机账号的属性才有委派功能，普通用户默认没有。

域渗透 Kerberos认证 非约束性委派攻击 网络安全教育 攻防演练 内网安全 免杀技术

0x15 免杀ASP Webshell生成工具

白帽学子 2024-08-02 08:11:09

本文介绍了一个使用Python Jinja2模板引擎的开源ASP Web shell生成工具，该工具通过混淆技术增加Web shell检测难度，为网络安全学习者提供了一个实战演练的机会。文章强调，虽然工具本身不鼓励滥用，但在安全演练中能有效提高团队的渗透能力和防御压力。同时，文章还提到了Web shell的识别与防范、模板引擎的安全性、混淆与加密技术在安全防护中的应用，以及定期进行红蓝对抗演练的重要性。此外，文章还建议使用文件完整性监控工具来识别和监控Web shell，以提高组织的应急响应能力和安全意识。最后，文章声明了转载和使用技术的限制条件，提醒读者不要利用文章内容进行非法测试。

Web Shell 代码混淆 安全演练 安全监控 安全审计 开源工具 防御策略 机器学习 模板注入

0x16 TCP Analysis Flags 之 TCP Window Full

Echo Reply 2024-08-02 08:08:08

0x17 突破网络限制：Linux虚拟机桥接模式静态IP配置详解

技术修道场 2024-08-02 08:00:32

在虚拟化环境中，为Linux虚拟机配置静态IP地址至关重要，这可以使虚拟机与其他设备进行直接通信，并方便进行网络管理。然而，当虚拟机网络连接方式为桥接模式时，配置静态IP需要一些额外的步骤。本文将详细介绍如何在Linux虚拟机桥接模式下配置

网络安全 网络配置 虚拟化技术 IT管理

0x18 webshell应急响应

信安路漫漫 2024-08-02 07:00:31

Webshell应急响应是网络安全中的重要一环，主要针对Webshell入侵进行处理。Webshell是一种服务器可执行文件，攻击者通过它来控制网站服务器。造成Webshell的原因包括任意文件上传、反序列化漏洞、命令执行和SQL注入等。应急响应的步骤包括确认告警内容、确认入侵时间和上传文件内容、Web日志分析、找到漏洞点、漏洞复现和修复。此外，还应定期进行安全检查，及时安装补丁修复漏洞。常用的Webshell扫描工具有D盾、河马Webshell查杀和火绒安全软件。应急响应时，应判断系统是否存在Webshell，进行溯源分析，清除Webshell文件，并对系统进行全面排查，防止攻击者进一步操作。

Webshell 应急响应 漏洞利用 安全工具 日志分析 系统排查

0x19 linux应急常用命令-find

信安路漫漫 2024-08-02 07:00:31

前言find是在linux系统中经常会使用到的一个命令，如在应急响应中。

0x1a 搜狗输入法突破锁屏-追溯15年小析

安全光圈 2024-08-02 00:00:20

本文回顾了2015年发现的一个搜狗输入法漏洞，该漏洞允许攻击者在Windows 7系统中实现提权。文章首先指出，最新版系统和安装包已无法利用此漏洞。随后，作者模拟了15年的系统环境，使用win10系统、搜狗输入法安装包、防火墙策略和phpstudy集成环境进行了测试。通过将恶意的php脚本上传至网站并连接shell，作者尝试了搜狗输入法的静默安装。尽管使用了特定的下载链接和静默安装参数，但最新版搜狗输入法无法被进一步利用。文章最后提到，尽管在3389远程桌面预览页面可以调用搜狗输入法的软键盘，但最新版安装包无法利用，可能在特定版本的Windows系统中尚有利用空间。作者建议有兴趣的读者可以进一步探索。

本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。

原文始发于微信公众号（洞见网安）：网安原创文章推荐【2024/8/2】