文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

MICROSOFT EXCHANGE – 防止网络攻击

下图演示了威胁参与者实施的真实世界攻击，目的是通过滥用 Exchange 服务、Exchange API 和标准 Outlook 功能来实现完全的域入侵。...： Outlook Web 访问 (OWA) 交换网络服务 (EWS) Exchange ActiveSync (EAS) 所有这些服务都创建了一个攻击面，威胁参与者可以通过进行可能导致发现合法凭据、访问用户邮箱和执行域升级的攻击而受益...为所有暴露的服务（如 Outlook Web Access、Exchange Web 服务和 ActiveSync）启用 2 因素身份验证将防止威胁参与者： 访问用户邮箱并收集敏感数据 以更高的成功率进行内部网络钓鱼攻击...Benjamin Delpy在 Twitter 上提出了一种通过将MaxSubscriptions设置为零来缓解漏洞的替代方法。此设置将阻止 Exchange 发送任何 EWS 通知。...Microsoft 发布了一个补丁 ( KB3191893 )，它通过创建注册表项来解决该问题。零值表示禁用 Outlook 规则。

5.9K10

Exchange漏洞攻略来啦！！

/Exchange.asmx /EWS/Services.wsdl /EWS/ /OAB/ /Mapi API接口 说明 /autodiscover 自 Exchange Server 2007 开始推出的一项自动服务...该工具实现了将获取到的 Net-NTLM 哈希重放到真实 Exchange 服务器的 EWS 接口进行认证,通过 EWS 获取用户邮箱的邮件信息、附件下载、创建转发规则、查询GAL等。...用户通过其他客户端（如 OWA ）接收浏览了该邮件,而后打开了Outlook,仍然可以触发该动作发生（只要这封邮件没有在打开Outlook之前删除）； 规则和通知可以通过 Outlook 进行创建、管理和删除...Outlook的主机上,要么位于主机可访问到的位置（如内网共享文件夹、WebDAV目录下等）； Ruler也提供了利用上述规则和通知功能,可以通过命令行创建规则、发送邮件触发规则。...主页设置功能的滥用 在 Outlook 中,提供了一个功能允许用户在使用 Outlook 的时候设置收件箱界面的主页,可以通过收件箱的属性来设置加载外部 URL,渲染收件箱界面。

9K20
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    网藤能力中心 | 深入Exchange Server在网络渗透下的利用方法

    （如OWA）接收浏览了该邮件，而后打开了Outlook，仍然可以触发该动作发生（只要这封邮件没有在打开Outlook之前删除）； 规则和通知可以通过Outlook进行创建、管理和删除，OWA对规则和通知的操作可用项较少...Outlook的主机上，要么位于主机可访问到的位置（如内网共享文件夹、WebDAV目录下等）； Ruler也提供了利用上述规则和通知功能，可以通过命令行创建规则、发送邮件触发规则。...主页设置功能的滥用 在Outlook中，提供了一个功能允许用户在使用Outlook的时候设置收件箱界面的主页，可以通过收件箱的属性来设置加载外部URL，渲染收件箱界面。...如果用户通过该属性设置了邮箱文件夹（如收件箱、发件箱等）的委派权限给其他用户，但权限委派过于宽泛时，可能导致攻击者利用有权限的用户，间接获得目标邮箱用户的邮件访问权。...该工具实现了将获取到的Net-NTLM哈希重放到真实Exchange服务器的EWS接口进行认证，通过EWS获取用户邮箱的邮件信息、附件下载、创建转发规则、查询GAL等。

    5.8K20

    Microsoft Exchange - 权限提升

    中继服务器 该Exch_EWS_pushSubscribe.py要求域凭据和妥协帐户的域和中继服务器的IP地址。 ?...推送订阅脚本配置 执行python脚本将尝试通过EWS（Exchange Web服务）将pushSubscribe请求发送到Exchange。...电子邮件自动转发 已通过使用NTLM中继对Exchange进行身份验证，为目标帐户创建了一条规则，该规则将所有电子邮件转发到另一个收件箱。这可以通过检查目标帐户的收件箱规则来验证。 ?...特权升级脚本 脚本完成后，将显示一条消息，通知用户可以通过Outlook或Outlook Web Access门户显示目标帐户的邮箱。 ?...Outlook Web Access身份验证 Outlook Web Access具有允许Exchange用户在拥有权限的情况下打开另一个帐户的邮箱的功能。 ?

    4.1K30

    Exchange中限制部分用户外网访问

    使用一台反向代理设备来提供邮件系统公网发布，用户通过Internet访问OWA或者outlook anywhere、activesync的时候，如果是部分被限制的用户，那么反向代理就阻止访问请求。...我们把这部分用户添加到一个安全组中，然后通过IIS授权规则来对OWA、RPC（目的限制outlook anywhere）、EWS（目的限制mac的邮件访问）目录访问进行限制，然后在内网重新部署一台CAS...服务器，让这部分用户在内网的时候通过该服务器来访问。...5、在拒绝将访问此web内容的权限授予这里勾选指定的角色或用户组，填写创建好的安全组名称。 ? 配置完毕，下面测试一下外部owa的访问，输入账号密码提示密码错误无法登陆了。 ?...通过上述配置和测试，Exchange已经完全能够阻止部分用户外网访问邮箱了，因为EWS目录被阻止，所以还需要内网搭建一台前端服务器，否则这部分用户无法访问日历忙闲状态。

    3K10

    Outlook紧急安全防护：全面解析CVE-2023–23397权限提升漏洞及其防御策略

    然后，攻击者创建一个包含PidLidReminderFileParameter属性的Outlook消息、任务或日历事件。此属性被设置为指向攻击者SMB服务器的UNC文件路径。...当Outlook客户端收到TNEF消息时，它会解析此附件以重新创建带有所有MAPI属性的完整格式化消息。...Web Services API枚举和修改用户邮箱文件夹的权限。...收集并分析相关的Exchange Server日志，如EWS、OWA、跟踪、IIS和PowerShell日志。查找NTLM身份验证异常以及邮箱枚举/修改的证据。...将关键帐户（如管理员）添加到受保护的用户组，以强制使用Kerberos并禁用NTLM身份验证。这可以防止哈希被盗。部署多因素认证以通过阻止重放来减轻任何哈希泄露的影响。请注意，这并不能阻止哈希被捕获。

    10310

    Calendly国内替代品深度测评：Fixon vs Calendso vs Calendly

    Fixon：突出三大创新功能： 日历集成：支持与Zoom/Google Meet/outlook/腾讯会议/钉钉/飞书/iCloud日历集成 多时区纠偏：自动识别参会者时区差异，生成带时区标注的会议提醒...本土化适配Fixon： 支持微信生态深度集成（企业微信/小程序端直接预约） 内置支付宝/微信支付接口，可关联到会议预约流程 符合中国隐私法规的本地化数据存储（深圳服务器）Calendly：需通过插件实现微信集成...三、场景化功能实测场景1：跨国团队协作Fixon：全球200+时区，系统自动生成带时区标注的会议链接，并推送多语言提醒（中/英/韩） Calendly：需手动调整时区显示，无多语言提醒模板 Calendso...3：B端业务集成Fixon：拥有配套后台管理功能，可团队管理预约（如课程报名/产品咨询） Calendly：仅支持基础OAuth2.0认证 Calendso：无API文档公开四、优劣势对比分析Fixon...保留优势品牌认知度：全球用户基数达3000万+，生态合作伙伴更丰富 国际合规性：GDPR/CCPA认证完整，适合跨国企业 Calendso局限功能迭代滞后：核心版本停留在2023年Q2版本 技术文档缺失：API

    62710

    xHunt：针对科威特的网络攻击分析

    基于电子邮件的C2通信功能依赖于Exchange Web服务（EWS），攻击者通过Exchange服务器上的合法帐户与Hisoka通信。同时，Hisoka恶意软件和攻击者通过创建电子邮件草稿交换数据。...为了启用基于电子邮件的C2通道，攻击者执行命令：–E EWS，并提供如下数据： ；；；创建主题为“project”的草稿和精心编制的消息正文，其中包含加密字符串的命令。...在分析期间还确定了sakabota[.]com域，该域的web服务器提供了标题为“outlook web app”的页面。该域名是在第一次检测到Sakabota样本之后注册的。 ?...历史基础框架分析，如链接分析图（图9）所示，显示了Hisoka和Sakabota基础框架之间的密切关系。 IOCs以及文中所述工具分析可见原文。

    1.3K30

    攻击者部署后门，窃取Exchange电子邮件

    近日，Mandiant 安全研究人员发现一个新的、异常隐蔽的高级持续性威胁（APT）组织正在入侵企业网络，并试图窃取参与企业交易（如并购）员工的 Exchange（内部和在线）电子邮件。...Exchange Online 环境提出 Exchange 网络服务（EWS）API 请求。...在一些攻击中，UNC3524 也会在 DMZ 网络服务器上部署 reGeorg 网络外壳（注：该版本与俄罗斯赞助的 APT28/Fancy Bear 组织有关联），以创建一个SOCKS 隧道作为进入受害者网络的替代接入点...QUIETEXIT 后门命令和控制服务器是僵尸网络的一部分，该僵尸网络通过默认凭证，破坏暴露在互联网上的 LifeSize和D-Link IP视频会议摄像机系统。...在获得访问权并部署其后门后，UNC3524 获得了受害者邮件环境的特权凭证，并开始通过 Exchange 网络服务（EWS）API请求，瞄准企业内部的Microsoft Exchange或Microsoft

    1.3K10

    你所不知道的NTLM Relay

    以下是scf后缀的文件的格式： [Shell] Command=2 IconFile=UNC路径 [Taskbar] Command=ToggleDesktop 创建一个test文件夹，在该文件夹内创建...Outlook 邮件是支持发送HTML格式邮件的。于是我们可以发送带有如下html payload的邮件： 邮件发送测试......IE浏览器默认是自动检测设置 用户在访问网页时，由于IE浏览器默认是自动检测设置，所以首先会查询PAC文件的位置，查询的地址是WPAD/wpad.dat。...)，攻击者能接收到其他机器的DHCPv6组播包，攻击者通过攻击可以让受害者的IPv6 DNS设置为攻击者的IPv6地址。...于是我们可以将SMB流量Relay到Exchange的EWS接口，从而可以进行收发邮件等操作，还可以通过Homepage下发规则达到命令执行的效果。

    3K20

    关于Power BI订阅功能的使用方法

    2、设置订阅的账户需要有Office365的邮箱和安全中心的许可证 因为要收到邮件，必须得有outlook邮箱功能，而outlook邮箱属于office365许可 3、需要管理员管理门户设置中开启订阅功能...三、Power BI订阅的方法 1.打开需要订阅的PBI报表，单击上方菜单栏的订阅报表菜单 2.如果以前没有创建订阅，则此处需单击“创建订阅”，如果以前有订阅，可以对现有订阅进行编辑或删除 3.设置订阅的相关信息...，如订阅名称、收件人邮箱（必须是同一个PBI账户后缀的邮箱）、是否需要完整的报告（如PDF附件）、订阅的开始日期、结束日期和具体时间，订阅频率（每天、每周等）、时区等 4.以上设置完成后，保存，可以单击立即发送测试订阅效果...注意事项： 在订阅的时候，如果订阅选项中不能添加PDF附件时，则需要新建一个工作区,并在工作区设置中，将工作区设置为“每用户高级版”（PPU），再次订阅该工作区内的报表，可以实现PDF作为邮件附件订阅。...必须是新发布到该工作区的报表才可以订阅为PDF附件的邮件（别的工作区复制过来的报表不能订阅） 总结 本文通过总结Power BI订阅功能的使用方法，为企业更高效便捷地进行沟通交流与分享提供帮助，对企业整体的运行效率进行了提升

    1.6K10

    解决 Thunderbird 邮件时区错误的问题

    本文最后更新于 127 天前，其中的信息可能已经有所发展或是发生改变。 由 ChatGPT 生成的文章摘要 本文是博主分享的一篇关于解决 Thunderbird 邮件时区错误的问题的文章。...文章讲述了作者在使用 Thunderbird 邮件客户端时，总是遇到邮件时间与本地时间相差8个小时的问题，作者通过查看邮件发送的实际时间和显示时间的差值，发现这是时区问题，原因是 Thunderbird...解决 Thunderbird 邮件时区错误的问题 前言 由于我 Windows Mail 收到的某些邮件总有奇怪的问题，遂决定放弃 Windows Mail，改用其他邮件客户端，在尝试了 Outlook...一番折腾后，总算是找到了解决方案 问题复现 查看邮件发送的实际时间和显示时间的差值，我这里是 8 个小时，正好是本地时区（Asia/Shanghai）和 UTC 时区的差，因此确定为时区问题。...，将该值设置为 false，重新启动 Thunderbird，问题解决。

    81220

    多阶段云分片钓鱼攻击中UpCryptor恶意载荷的行为分析与防御

    更值得注意的是，UpCryptor具备环境感知能力，仅在目标区域（通过时区、键盘布局、语言设置判断）激活核心功能，并支持运行时动态加载插件，可在窃密、横向移动甚至勒索模式间切换。...2.2 威胁模型假设攻击者具备以下能力：控制多个云存储账户，可上传并管理分片载荷；编写混淆脚本与反射加载器；实施基础环境侦察（如时区、语言）；动态更新后端C2指令与插件模块。...凭据窃取：使用DPAPI解密Chrome/Edge/Firefox保存的密码；调用MAPI接口提取Outlook邮件与联系人；扫描本地VPN配置（如OpenVPN、Cisco AnyConnect）并导出证书...C2通信：使用自定义协议通过HTTPS POST分块上传数据：POST /api/v1/submit HTTP/1.1Host: cdn-update[.]xyzContent-Type: application...Hook这些API并分析调用上下文（如调用栈、参数模式）实现无签名检测。

    16610

    Quantum Route Redirect工具对Microsoft 365钓鱼攻击的自动化机制与防御对策研究

    其核心能力在于：根据访问者的IP地理位置、浏览器语言、User-Agent等特征，动态选择最匹配的仿冒登录模板（如美式英语版Office 365登录页、德语版Teams门户等），并通过多级HTTP 302...例如，攻击者可利用被盗邮箱发起线程劫持（Thread Hijacking），插入伪造发票诱导财务付款；或通过Exchange Web Services（EWS）导出敏感邮件与联系人数据。...凭证与会话捕获：钓鱼页面提交表单后，数据通过POST发送至攻击者API。...3 攻击影响与横向移动路径一旦成功窃取凭证或会话，攻击者可迅速展开后续行动：邮箱接管与线程劫持：通过Outlook Web Access（OWA）或EWS API监控收件箱，识别正在进行的商务沟通（如合同...攻击者不再追求一次性大规模轰炸，而是通过精准地理语言适配提升点击转化率，同时利用合法CDN（如Cloudflare）隐藏恶意负载。这要求防御方从“阻断已知坏”转向“识别异常好”。

    24410

    可能是Salesforce与Microsoft Dynamics 365的最全面的比较

    管理员可以通过设置受信任的IP范围来取消此双因素身份验证。 在Lightning Enterprise及更高版本中，某些IP范围可以完全受限于登录访问，如果用户配置文件中进行定义。...Salesforce支持通过身份提供程序（如Active Directory）进行身份验证，并实现单点登录（PDF）。...Salesforce 在Lightning Enterprise及更高版本中，每个用户可以根据分配给给定对象的该用户配置文件的布局来设置可变屏幕布局。 还可以为对象创建多个记录类型。...用户选项 对于CRM用户来说，能够个性化他们的应用程序体验是很重要的，超出了管理员配置和交付给他们的功能。 Salesforce Salesforce用户可通过左侧的一系列下拉菜单选项进行各种设置。...Microsoft Dynamics 365 Microsoft允许用户设置许多个人选项，包括其默认窗格和选项卡，其时区和货币。 ? 点击配置和自定义 可以添加到每个应用程序的字段类型有细微差别。

    8.7K40
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券