moonwalk是一款专为红队研究人员设计的痕迹隐藏工具，在该工具的帮助下，广大研究人员可以在针对Linux系统的漏洞利用或渗透测试过程中，不会在系统日志或文件系统时间戳中留下任何痕迹。
看到有人问，windows主机日志怎么做分析，今天就分享一篇文章专门来说说windows主机日志分析。以下所有内容皆属于个人以往工作经验总结出来的，不是什么权威的行业标准，纯属个人理解，仅供参考使用。
之前写了一篇《快速自检电脑是否被黑客入侵过（Windows版）》, 这次就来写写Linux版本的。 前言 严谨地说, Linux只是一个内核, GNU Linux才算完整的操作系统, 但在本文里还是用通俗的叫法, 把Ubuntu,Debian,RedHat,CentOS,ArchLinux等发行版都统称为Linux. 本文里所说的方法不仅对Linux的发行版适用, 部分方法对Mac OSX操作系统也是适用的. 异常的帐号和权限 如果黑客曾经获得过命令运行的机会, 对方往往会想要将这个机会持续下去, 业内称之
之前写了一篇快速自检电脑是否被黑客入侵过(Windows版), 这次就来写写Linux版本的.
早上到公司发现zabbix有一个报警：一台服务器的CPU使用率达到100%！ 1.立即登录该服务器查看CPU top10
-T表示不分配伪终端，/usr/bin/bash 表示在登录后调用bash命令 -i 表示是交互式shell
渗透测试就是利用我们所掌握的渗透知识，对网站进行一步一步的渗透，发现其中存在的漏洞和隐藏的风险，然后撰写一篇测试报告，提供给我们的客户。客户根据我们撰写的测试报告，对网站进行漏洞修补，以防止黑客的入侵！
使用 Shell 脚本在 Linux 服务器上能够控制、毁坏或者获取任何东西，通过一些巧妙的攻击方法黑客可能会获取巨大的价值，但大多数攻击也留下踪迹。当然，这些踪迹也可通过 Shell 脚本等方法来隐藏。
Kodachi Linux 是一款基于 Debian 8.6 的操作系统。它是专为保护用户隐私而设计的，因此具有高度的安全及匿名性，并具备反调查取证的特点。 Kodachi 的使用也非常方便简单，你可以通过 USB 驱动来在你的 PC 上启动它。当你完全启动 Kodachi 操作系统后，你将会建立一个 VPN+Tor+DNScry 服务器的运行环境。你不需要特别了解或学习 Linux 的知识，Kodachi 都为你准备好了你所需要的！整个操作系统都活动在你的临时内存 RAM 下。因此，你一旦你关机，任何
0 继续篇章 在上一篇【应急响应】redis未授权访问致远程植入挖矿脚本（防御篇）中，从防御的角度详细描述了应急响应以及流程。本篇继续从日志等入侵痕迹中分析，寻求突破，以一个攻击者的角度还原red
总所周知，很多安全测试人员会去搭建靶机去练习自己的 骚操作 技术，然后再去刷SRC，一步一步的走上 不归路 人生巅峰。
在渗透完成之后，为了减少被发现和追溯的概率，攻击者有必要清除自己的攻击痕迹，本文分别对windows和linux上清理痕迹的方式做一个总结。
linux我们可以通过history来查看管理员最近操作过什么命令
攻防演练建议站在黑客的视角下，审视其攻击流程，再针对性的进行防守，防止出现木桶效应，即攻击者只会从短板攻入，但构建的防守措施却和短板无关。
大家好！我发现很多新人在讨论 “匿名”，所以我想我该写一篇清晰讲解它的教程，无论你是否能够隐藏自己。 我们也会讨论“隐藏自己”的方法及工具，但先集中注意力去理解下面的教程吧： 有时一个人可以与其他东西建立一个长期的“关系”（就像你的“声誉”一样），而不需要透露个人信息。照这样来说，建立一个唯一的标识符（绰号）对这个人是很有用的。关于“标识符”的例子：笔名，昵称，银行卡（信用卡）号，学生证上的号码，以及IP地址。一个标识符允许同一个人与不同的东西联系在一起，从而维持一个长期的关系。严格来说，使用“标识符”
各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
日志在分析安全事件上很重要的一个参考依据，同样希望能够看到这篇文章的运维人员能重视起日志来。
Kasm 是一款基于 Docker 的容器应用平台，它提供企业级编排、数据丢失防护和 Web 流技术，以支持将容器化工作负载交付到你的浏览器。
经过前几篇的铺垫，进入中间件日志排查篇。由于各种各样的原因安全人员获取到的告警信息很可能是零零碎碎的，且高级黑客的整个入侵过程很可能十分完整，包含了清除痕迹等，这就导致了几种情况可能会发生：可疑威胁文件已被删除，无法定位；远程命令执行痕迹已被清除，无法还原攻击者入侵路径。
有时我们登陆到服务器，对它的⽂件进行了修改，修改后的⽂件的时间戳会更新到最新的时间，那么这样就会引起管理员的注意。 因此我们需要吧那个⽂件的时间戳给修改成其他时间。
本文为整个专题的第六篇，前面完成了方案设计、攻击模拟、应急响应、评分环节，接下来是回顾每个攻击模拟之后的专题会。
通常需要有一个可操作的串行控制台，并能将其输出存储到一个文件中。文本格式比图像更受欢迎。如果图像是唯一的方式，如果可能的话，请使用OCR软件将其内容转换为文本。只有在内核日志信息没有被存储到磁盘的情况下才需要串行控制台，例如由于rsyslogd没有运行，或者journald只是将日志记录到内存而不是磁盘上。
在攻击结束后，如何不留痕迹的清除日志和操作记录，以掩盖入侵踪迹，这其实是一个细致的技术活。你所做的每一个操作，都要被抹掉；你所上传的工具，都应该被安全地删掉。
Systemd 服务是一种以 .service 结尾的单元（unit）配置文件，用于控制由Systemd 控制或监视的进程。简单说，用于后台以守护精灵（daemon）的形式运行程序。Systemd 广泛应用于新版本的RHEL、SUSE Linux Enterprise、CentOS、Fedora和openSUSE中，用于替代旧有的服务管理器service。
一款名叫Okadminfinder3的工具，广大研究人员可以在渗透测试的过程中，利用它来查找目标程序的管理员面板接口或管理员账户登录地址。
一、背景 云鼎实验室近期捕获到TeamTNT黑客团伙新的容器攻击活动。挖矿病毒通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团伙使用的挖矿木马，新变种对原挖矿木马进行了升级，在进行感染时使用了新的策略。 入侵后会先清理其他挖矿病毒，并使用新的方法隐藏进程，入侵完毕后会清理痕迹，覆盖系统日志以逃避排查，为增加挖矿木马植入的成功率还有备用挖矿程序，增加木马的稳定性，利用nohup命令防止挖矿进程被挂断，并且使用了LKM rootkit技术隐藏进程。 样本属于最新版
Security Affairs 网站披露，Sonatype 研究人员发现了一个名为“secretslib”的新 PyPI 包，旨在将无文件加密矿工投放到 Linux 机器系统的内存中。 据悉，该软件包将自身描述成“轻松匹配和验证秘密”，自 2020 年 8 月 6 日以来，已经有了 93 次下载。 网络安全专家发帖子表示，secretslib PyPI 包将自己描述为“使秘密匹配和验证变得容易”。但经过仔细分析观察，该软件包在用户 Linux 机器上暗中运行加密矿工（直接从用户的 RAM 中），这种技术
数据泄露一旦发生，会对公司的造成极大的影响。如果处理妥当，危机还能够被化解。当公司遭到数据泄露时，至关重要的是在短期内快速的应急响应并处理，全面的前期准备是处理数据泄露事件的核心。在数据泄露产生以前，做好安全应急响应行动方案，能够尽可能的将损失降到最低。下边我们SINE安全的高级安全专家于涛，带领大家讨论怎样在发觉数据泄露的60分钟之内快速做出合理的安全事件响应。
声明：本文介绍的技术仅供网络安全技术人员及白帽子使用，任何个人或组织不可传播使用相关技术及工具从事违法犯罪行为，一经发现直接上报国家安全机关处理
早上看了一位小伙伴在公众号发的文章《php 后门隐藏技巧》，写的挺好，其中有一些姿势是我之前没见到过了，学到很很多。同时，这篇文章也引发了自己的一点点思考：“ PHP 后门的关键点在哪里？”，也欢迎上篇文章的作者、其它小伙伴一起来讨论。
在Linux系统里植入账户后门是一个极其简单高效的管理权限维持办法。hack在获得目标系统权限的情况下，利用建立一个操作系统账户当做持久化的聚集点，如此一来随时都可以利用工具链接到目标操作系统，实现对目标服务器进行长期操控的目的。依据获得的shell方式不一样，建立操作系统账户的办法也不尽相同，一般shell方式可分为交互模式和非交互模式这两种情况：
本项目是在Linux下实现的，实现效果就是在Linux终端上显示一个方块，方块的大小由编写者自行决定。然后画一个方框，小方块会在这个方框的范围中来回弹，如图3-7-12所示。
渗透测试，是为了证明网络防御按照预期计划正常运行而提供的一种机制。不妨假设，你的公司定期更新安全策略和程序，时时给系统打补丁，并采用了漏洞扫描器等工具，以确保所有补丁都已打上。如果你早已做到了这些，为什么还要请外方进行审查或渗透测试呢？因为，渗透测试能够独立地检查你的网络策略，换句话说，就是给你的系统安了一双眼睛。而且，进行这类测试的，都是寻找网络系统安全漏洞的专业人士。 渗透测试就是利用我们所掌握的渗透知识，对网站进行一步一步的渗透，发现其中存在的漏洞和隐藏的风险，然后撰写一篇测试报告，提供给我们的客户。客户根据我们撰写的测试报告，对网站进行漏洞修补，以防止黑客的入侵！ 渗透测试的前提是我们得经过用户的授权，才可以对网站进行渗透。如果我们没有经过客户的授权而对一个网站进行渗透测试的话，这是违法的。
在过去的8年里，卡巴斯基全球研究与分析团队观察到，越来越多的APT组织开始针对运行Linux软件的设备。
今天给大家介绍的是一款名叫Okadminfinder3的工具，广大研究人员可以在渗透测试的过程中，利用它来查找目标程序的管理员面板接口或管理员账户登录地址。
近期，网络安全研究人员详细介绍了一项可能针对东南亚实体的新型攻击活动，该活动可能使用以前无法识别的Linux恶意软件，除了收集凭据和充当代理服务器外，还可以远程访问其运营商。
linux shell 具有history 功能，即会记录已经执行过的命令，但是默认是不显示命令的执行时间，命令的执行时间，history 已经记录，只是没有显示。现在我们看看如何将执行时间显示出来。很简单：在/home/$USER/.bashrc中添加 HISTTIMEFORMAT环境变量即可。具体如下：
2020年8月23日，SINE安全监测中心，监测到宝塔官方发布了漏洞补丁更新，该宝塔漏洞会导致phpmyadmin无需密码就能访问，并且能够对数据库进行增删改查等操作，由于宝塔Linux7.4.2版本和Windows6.8版本存在未授权访问漏洞，很多站长朋友们的网站遭到删库。见到同行因为这一漏洞被删库，搞得悲痛欲绝，吓得站长们赶紧按照BT官方的提示去更新了，有些站长还没等更新完，也遭到了删库。
一、背景 腾讯安全云鼎实验室持续监控云原生在野攻击威胁态势，继DockerHub发现百万下载量黑产镜像（详见文章DockerHub再现百万下载量黑产镜像，小心你的容器被挖矿）之后，近期实验室最新捕获到TeamTNT黑客团队新型在野容器攻击活动，相比之前TeamTNT挖矿木马，此次新型攻击手法对原挖矿木马进行了升级，并利用容器环境进行感染传播。 通过对TeamTNT新型容器攻击样本详细分析，我们发现挖矿病毒是通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团队出的
浏览过必有痕迹，有什么可以抹去社交痕迹的方法呢？social-analyzer 是一个可在 350+ 网站分析特定用户资料的工具，你可以用它来“人肉”他人，反之，你也可以用它来保护自己的用户资料：先搜为敬，再根据搜到的个人资料做下一步的资料整理，也不失为一个好的用法。这种神奇的操作也会发生在 miro 上，有了它，马里奥和皮卡丘就可以在你的终端奔跑，陪伴你输入的命令。
在 Rust 1.70.0 的版本更新中，对于 asm! 操作数的排序规则进行了放宽。具体的更改可以在这个 PR链接[1] 中查看。在之前的版本中，asm! 宏的操作数需要按照严格的顺序进行排序，这在某些情况下可能会导致使用上的不便。在新的版本中，这个规则被放宽，提高了 asm! 宏的灵活性和易用性。
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。
截至 2023 年 1 月 27 日，乌克兰计算机应急响应小组 (CERT-UA) 在该国国家新闻机构 (Ukrinform) 的网络上发现了五种不同的数据擦除恶意软件组合，其功能旨在破坏信息的完整性和可用性（写入零字节/任意数据的文件/磁盘及其随后的删除）。
2021年4月18日再次接到告警用户单位某台内网服务存在web后门木马连接行为，需立即进行应急处置。
3）使用此NTLM支持PowerShell Docker镜像到Linux的PS-Remote，您可以从Linux到Windows进行PS远程到Windows。
Windows 终端是一个面向命令行工具和 shell（如命令提示符、PowerShell 和适用于 Linux 的 Windows 子系统 (WSL)）用户的新式终端应用程序。它的主要功能包括多个选项卡、窗格、Unicode 和 UTF-8 字符支持、GPU 加速文本呈现引擎，你还可用它来创建你自己的主题并自定义文本、颜色、背景和快捷方式。
在本文中，我们将介绍在基于Linux的设备上进行初始访问后，可用于后渗透阶段漏洞利用和枚举的一些自动化脚本研究。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
