文章正文 漏洞形成原理 在网络身份验证中生成的令牌是不受限制的,通过某种方式我们能够在验证时强制使用数据报式身份验证,从而在本地实现模拟网络身份验证。这将首先在新的登录会话中生成一个不受限制的令牌,接...
零基础绕过360核晶dump lsass,变向抓密码
在远古时代,杀软没那么成熟的时候,抓密码可以直接使用以下命令,抓到之后会在指定的保存路径下生成一个二进制文件,将该生成的文件拿到本地再利用mimikatz离线处理rundll32.exe C:wind...
从登录会话看AD域分层管理模型
摘要AD(Active Directory)域中高权限用户的凭据泄露是最常见和严重的风险之一,实战中被攻击者利用会迅速导致域控失陷。本文介绍了现阶段可以从技术层面和管理层面遏制这类风险的技术方法和管理...
JVM HSDB在后渗透中的利用
背景HSDB(Hotspot Debugger),是JDK自带的调试工具,可用于调试JVM 运行时数据。 最近在学习Beichen师傅《JVM核心对抗》PPT的时候,注意到提到了HSDB的一个玩法:利...
威胁检测与搜寻建模4.扩展函数调用图
在本系列的上一篇文章中,我介绍了操作的概念,并演示了每个操作如何具有支撑它的函数调用图。在那篇博文中,我特意展示了相对于我的知识而言不完整的函数调用图,因为我只想展示明显基于我们通过 mimikatz...
内网知识体系之远程凭据获取
当我们拿到服务器权限时,往往会更深层次的渗透,在建立据点的时候,往往会分析到底是横向还是纵向,在开始之前会进行一些信息收集,使用procdump+mimikatz可以一步到位的获取到远程链接凭证。 1...
结合使用 MiniDumpWriteDump、Donut 和进程注入技术来逃避 Windows Defender 检测
在当今的环境中,Mimikatz(一种凭据转储工具)可以被每个 Windows Defender 防病毒软件和 EDR 检测到。这就是为什么某些威胁行为者选择使用 Minidump 等工具而不是 Mi...
读取本地安全机构子系统服务 (LSASS) 的 PID 的 14 种方法
介绍在注入 shellcode 或转储内存之前,进程枚举是必需的。威胁参与者倾向于将 CreateToolhelp32Snapshot 与 Process32First 和 Process32Next...
威胁检测与搜寻建模8.同义与相似性
威胁检测与搜寻建模1.了解函数调用堆栈威胁检测与搜寻建模2.通过Mimikatz源代码审查发现 API 函数使用情况威胁检测与搜寻建模3.基于Mimikatz重点分析函数正在执行的操作威胁检测与搜寻建...
绕过Elastic EDR提高你的隐身能力
第1部分在最近的一次评估中,我和我的队友的任务是对多个应用程序进行网络安全审查,如果有机会,还可以进行内部渗透测试。在其中一个应用程序上,我们成功上传了一个执行Windows cmd的aspx web...
【网络安全】内网渗透之PTH攻击
2023-11-13 pwjcwPTH(哈希传递)攻击简介PTH攻击是内网横向移动的一个常用手段。原理pth攻击是基于NTLM协议的,参考NTLM协议的认证流程,在质询阶段,服务器生成一个随机数用用户...
windows lsass转储总结
前言lsass.exe(Local Security Authority Subsystem Service进程空间中,存有着机器的域、本地用户名和密码等重要信息。如果获取本地高权限,用户便可以访问L...
15