可能大家看到这个标题要说我是标题党了，不过没关系了。这篇文章算是我的处女作，所以再怎么花哨我都不觉得过分。好啦，废话不多讲。
1 概述 最近出现了一种新型的PPT钓鱼攻击方式，该种钓鱼攻击方式不需要宏就能实现执行powershell的功能，通过网络下载gootkit木马进行控制。 2 分析 样本 MD5：3bff3e4fec2b6030c89e792c05f049fc 在拿到样本我们放到虚拟机中进行执行，可以看到以下，但是这并不会触发攻击 当我们用F5放映这个文档后，并把鼠标放到 Loading…Please wait 这个上面，就可以看到如下的画面，提示我们要启动一个外部程序 这个时候我们在点击启动之后，会看见一个powersh
PowerShell好不好？确实好，能帮助运维提升工作效率，让工作变得轻松而且高效。但是很遗憾的是，PowerShell的重要性，在国内的认知度并不够高，去看看各大招聘网站，很少有对PowerShell能力进行要求的。或者即使有要求，高薪职位也很少。
本文通过对高度安全环境中，渗透入侵完成后，传统的基于Web和DNS管理控制目标系统不可行条件下，利用企业网页邮箱系统进行命令控制（C&C）和数据窃取（Exfiltration）的一种思路分享探讨。 假设场景 我们假设目标企业组织内设置了这样一种安全措施： 内部用户工作站电脑不能直接连接互联网，只能通过其中架设的代理服务器执行外部Web请求和DNS查询，而且代理服务器又设置了流量监控功能，由其产生的HTTP和DNS请求流量都能被监测发现。 由于从某种程度上来说，代理服务器“打破”了内部用户机与外部服务器
用过类 Unix 系统中 Unix shell(Shell/Bash/Zsh) 的同学都应该对 TAB 键印象深刻，因为它可以帮忙补全或提示后续的命令，用户不用记住完整的命令，只需输入前几个字符，按 TAB 键，就会提示后续的命令供用户选择，用户体验极佳。目前流行的一些使用 Go 语言开发的 CLI 工具，如 kubectl 和 helm，他们也都有 completion 也就是命令自动补全功能，通过将 source <(kubectl completion zsh) 加入 .zshrc 文件中，就可以在每次启动 shell 时自动加载自动补全脚本，之后就可以体验到与原生 shell 相同的自动补全功能了。这些 CLI 工具，都是基于 Cobra[1] 库开发，命令自动补全功能也是该库提供的一个功能，本篇文章就来讲讲如何使用 Cobra 实现命令自动补全的。
在野的Powershell恶意脚本总是经过多重混淆、加密，直接静态分析难以得知脚本具体有什么恶意行为，所以需要对其进行动态调试。目前最常用的Powershell调试器是ISE，但ISE没有较友好的调试窗口，使得调试脚本时效率低下，下面，将介绍使用VSCode实现远程调试Powershell脚本，帮助你提升解密分析Powershell恶意脚本的效率。
话说前几日在用FTVIEW SE画面软件想实现一个动态修改屏幕分辨率或者是类似的这样需要修改电脑本身设置或者打开某些软件等等的一个需求。
自幼受贵州大山的熏陶，养成了诚实质朴的性格。经过寒窗苦读，考入BIT，为完成自己的教师梦，放弃IT、航天等工作，成为贵财一名大学教师，并想把自己所学所感真心传授给自己的学生，帮助更多陌生人。
编写脚本可以将很多繁琐重复的工作进行简化。本篇将介绍一种基于 powershell 的脚本框架。基于该框架，开发者可以方便的编写和维护自己的自动化脚本。
这将以管理员身份打开 PowerShell 窗口，使你能够执行需要管理员权限的命令。请注意，你可能需要提供管理员凭据或确认用户帐户控制（UAC）提示。
powershell是一种命令行外壳程序和脚本环境，使命令行用户和脚本编写者可以利用 .NET Framework的强大功能，PowerShell脚本的文本文件，其文件名需要加上扩展名“.PS1”。PowerShell需要.NET环境的支持，同时支持.NET对象，其可读性、易用性居所有Shell之首。
这时oh-my-posh会设置一个默认的主题（只要看到彩色的字体，应该就是设置成功啦）
【*绿盟科技M01N Team研究岗长期招聘CTF、Pentest、RE、PWN、WEB，请在文末进行了解！】
证书是一种包含公钥和一些识别信息的文件。在PKI中，证书是由可信任的第三方（称为证书颁发机构，CA）颁发的，CA证明了证书持有者的身份以及与之关联的公钥。然而，我们也可以创建自签名证书，即由证书持有者自己（而不是CA）签名的证书。
拿到了两个One Note的钓鱼样本。以为是个OneNote的0day，这不得分析分析搞一手。就花了点时间分析了一下，并且成功复现了手法。
PowerShell一直是网络攻防对抗中关注的热点技术，其具备的无文件特性、LotL特性以及良好的易用性使其广泛使用于各类攻击场景。为了捕获利用PowerShell的攻击行为，越来越多的安全从业人员使用PowerShell事件日志进行日志分析，提取Post-Exploitation等攻击记录，进行企业安全的监测预警、分析溯源及取证工作。随之而来，如何躲避事件日志记录成为攻防博弈的重要一环，围绕PowerShell事件查看器不断改善的安全特性，攻击者利用多种技巧与方法破坏PowerShell日志工具自身数据，以及事件记录的完整性。今年10月份微软发布补丁的CVE-2018-8415正是再次突破PowerShell事件查看器记录的又一方法，本文将细数PowerShell各大版本的日志功能安全特性，及针对其版本的攻击手段，品析攻防博弈中的攻击思路与技巧。
0x01 事件经过 2016年2月26日，一个网络安全相关的QQ群内，一名用户分享了一份名为“网络安全宝典.chm”的电子书供大家下载，瑞星网络安全工程师Bfish自然地下载了这本电子书，打算简单翻阅后决定是否收藏。当Bfish打开这个才12K大小的电子书时，感知到了计算机的异常行为，这让他意识到：这本电子书有问题。 在解开这份CHM文档后，瑞星网络安全工程师在一个html页面中找到了原因：这个电子书中的某个HTML页面内，嵌入了一段恶意代码，它可以下载一个PowerShell脚本并执行。顺藤摸瓜，Bf
clrinject是一款可将C＃，EXE或DLL程序集，注入另一个进程CLR Runtimes和AppDomain的工具。注入的程序集可访问injectee进程类的静态实例，从而影响其内部状态。
学过徐老师《内网安全攻防：渗透测试实战指南》第五章的⼩伙伴都知道，巨硬为了防⽌密码在内存中以明⽂形式泄露，发布了KB2871997补丁，⽤来关闭Win7和08的Wdigest功能，同时Server2012版以上默认关闭该功能，但是仍然可以通过修改注册表的⽅法来⼿动开启。
ATT&CK 技术项编号为 T1036 的二进制重命名技术，正在被越来越多的恶意软件所采用，本文介绍如何使用多种方法对该技术进行监控与检测。
本文介绍基于PowerShell语言，对文件夹中全部文件的名称加以批量替换、修改的方法。
该系列文章将系统整理和深入学习系统安全、逆向分析和恶意代码检测，文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。漫漫长征路，偏向虎山行。享受过程，一起加油~
在上一篇文章中我们学会了怎么使用扩展在编译前实时更改版本号。有些情况下我们希望不适用扩展，例如喜欢发明轮子，或者根本没有安装扩展的权限。这时候我们可以自己写 PowerShell 解决这个问题。
node-gyp的作用我已经不想赘述了，这里给一个我之前文章的链接：cnblogs看这里，知乎看这里。本文主要从源码入手，介绍node-gyp查找VisualStudio的过程
近日，研究人员发现 Phosphorus（又名 Charming Kitten、APT35）组织的攻击行动有所增长。业界多次发现该组织对各行各业机构或人士发起攻击，甚至干预美国总统选举。
Switch语句主要用于多种情况的判断，这里在本地创建一个test01.ps1文件，并执行该代码。
概述 相信大家对后台任务处理不陌生，比如.Net的后台线程处理，Java的线程处理等等。 而当我们用PowerShell这个强大的工具时怎么样开启后台任务呢，以及怎样处理这些任务呢，本篇将会告诉你PowerShell后台任务处理。 1.什么时候会用到后台任务 当本地机器需要执行一个动作，此动作需要耗费很长时间，而机器在这段时间内只能等待，而我们希望在机器等待的这段时间内，我们还可以做其他事情。 这样我们就可以用后台任务来
如果您想在最新的Windows版本中试用经过改进的WSL2(Windows Subsystem for Linux 2)，请按照以下方法操作，我们在这篇文章中涵盖了安装它所需做的一切。
熟悉.NET Framework的人知道，我们可以通过指定AssemblyVersion为10.0.*来让编译器自增版本号。但是.NET Core和.NET Standard不行。即使有MSBump这样的开源项目，也有一定的缺陷。一般这样的需求会出现在CI/CD服务器上。我们来看看如何用Azure DevOps轻松搞定。
对服务端机器（被远程的机器），除过termservice服务正常运行、远程端口正常监听外，还要额外以管理员身份执行一句powershell命令：
现在您已经安装了开发环境，可以开始开发容器化的应用程序了。一般来说，开发工作流是这样的：
关于Invoke-PSObfuscation Invoke-PSObfuscation是一款功能强大的PowerShell Payload代码混淆工具，在该工具的帮助下，广大研究人员可以轻松对PowerShell Payload中的各个组件以及各部分代码进行混淆处理，以测试安全防护产品的检测性能。 传统的混淆技术倾向于通过添加代码/编码层来封装标准代码，例如base64或压缩等。这种技术所处理的Payload从某种程度上来说也能取得不错的效果，但在提取预期Payload时又往往会出各种问题，而且也容易被
之前，青藤云安全已经对ATT&CK进行了一系列的介绍，相信大家都已了解，Mitre ATT&CK通过详细分析公开可获得的威胁情报报告，形成了一个巨大的ATT&CK技术矩阵。诚然，这对于提高防御者的防御能力、增加攻击者的攻击成本都有巨大作用。但或许是出于猎奇心理，很多威胁情报报告更多地是在报道攻击者使用的比较新颖有趣的技术方法，而却忽视了攻击者反复使用的普通技术。这也是Mitre公司在2019年10月份的ATT&CKcon2.0大会上，推出了ATT&CK Sightings项目，以期借助社区力量收集更多直接观察数据的原因所在。
IT 管理人员和安全专家经常会遇到一些看起来比较可疑的 PowerShell 命令，他们有时能够解开这些可疑的命令，但常常还得靠研究人员。本篇文章旨在让大家能够从下列项中来了解可疑命令的目的：
在之前发布的一篇 渗透技巧之Powershell实战思路中，学习了powershell在对抗Anti-Virus的方便和强大。团队免杀系列又有了远控免杀从入门到实践(6)-代码篇-Powershell更是拓宽了自己的认知。这里继续学习powershell在对抗Anti-Virus的骚姿势。
前言 PowerShsell Empire中文简称 “帝国” ，可能大多数只听说过这款内网渗透神器，针对windows系统平台而打造的一款渗透工具。在PowerShell方面，帝国实现了无需powershell.exe即可运行PowerShell代理的功能，可快速部署的开发后的模块从按键记录到Mimikatz，可逃避网络检测的能力，适应性强的通信，都包裹在易用性为重点的框架,有点类似于像meterpreter。 Empire详情介绍参考官方网站:http://powershellempire.
迷途指针，顾名思义就是迷路的指针，当然开个玩笑，其实也就是如果内存已经释放（如用free函数），但是指针却在继续引用原始内存，像这样的指针，我们就称为迷途指针。
作为360安全的忠实读者和作者，360这次搞活动肯定是要捧场的，至于为什么选择写Empire，是因为Empire在域渗透方面的功能实在是太强大，很多人只是用来生成免杀，未免有点大材小用。而且网上了一直没有一个系统的教程，特别是版本更新到2.X以后，有些使用方法发生了改变，甚至连官网的介绍都没有更新。因为该工具的使用要求搭建域环境，大概写了四五天，期间有在外网VPS上操作的，也有在内网操作的，所以在这个方面不要太较真，只要研究其方法即可。
在默认情况下，Windows 系统中启动一个进程会继承父进程的令牌。如果父进程是管理员权限，那么子进程就是管理员权限；如果父进程是标准用户权限，那么子进程也是标准用户权限。
Antimalware Scan Interface(AMSI)为反恶意软件扫描接口。
在DOS命令和CMD命令中，都是一条命令执行一个过程，是面向过程的调用方式，而PowerShell之所以敢称作Power，就是其比一般地Shell不同之处是，其可以调用整个dotNET的类型库，可以用面向对象的方式去访问和执行复杂的对象模型如Sqlserver的SMO、AMO模型和各种COM模型如OFFICE对象模型等。
思科Talos安全团队最近发现一款Powershell恶意程序，用DNS进行双向通信。 前言 DNS是企业网络中最常用的Internet应用层协议。DNS提供域名解析，这样用户就可以通过域名而非IP地址来访问网络资源。许多企业会严格监控web流量，但对基于DNS的威胁的防护就比较少。攻击者也注意到了这点，经常将其他协议封装进DNS协议中来躲避安全监测。 攻击者利用DNS协议一般都是要获取信息。思科Talos团队最近分析了一个很有趣的恶意程序样本，利用DNS TXT记录查询和响应来创建双向的C2通道。攻击者可
在2015年的黑帽大会和DEFCON上，我曾谈过黑客会如何从域用户提权到域管理。 密码的难题 每台Windows主机有一个内置的Administrator账户以及相关联的密码。大多数组织机构为了安全，可能都会要求更改密码，虽然这种方法的效果并不尽如人意。标准的做法是利用组策略去批量设置工作站的本地Administrator密码。 但是这样又会出现另一个问题，那就是所有的电脑都会有相同的本地Administrator密码。也就是说，如果获取了一个系统的Administrator认证凭据，黑客就可以获取他们
Hack The Box是一个CTF挑战靶机平台，在线渗透测试平台。它能帮助你提升渗透测试技能和黑盒测试技能，它包含了一些不断更新的挑战，其中有模拟真实世界场景，也有倾向于CTF风格的挑战。
2021年7月某日，坐在电脑前百无聊赖的我，思考着自己今后的人生“我想吃，我想喝，我想暴富”，正在沉浸在幻想的时候突然平台多了一条告警。
ATT&CK作为一套反映网络安全攻击的知识模型，自2013年提出以来越来越受到安全行业的关注，已逐渐成为网络攻击事件分析的新标准，在众多APT事件分析中得到广泛应用。
前一篇介绍分享英文论文审稿意见及应对策略的学习笔记。这篇文章将简单总结Powershell恶意代码检测及混淆的相关论文，并结合开源工具分享抽象语法树提取过程。
他开始自学Vue3并使用SpringBoot3完成了一个前后端分离的Web应用系统，并打算将其用Docker容器化后用K8s上云。
前一篇总结了Powershell恶意代码检测相关研究，并结合开源工具分享抽象语法树提取过程。这篇文章将详细讲解CCS2019的Powershell去混淆工作，这篇文章质量非常高，来自于浙江大学的李振源老师。我将从他在InforSec分享的视频和论文原文阅读两个方面进行讲解，希望您喜欢。
上图是一个 Red Team 攻击的生命周期，整个生命周期包括：信息收集、攻击尝试获得权限、持久性控制、权限提升、网络信息收集、横向移动、数据分析（在这个基础上再做持久化控制）、在所有攻击结束之后清理并退出战场。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
