按要求转载自安全客 作者 | 360安全卫士 几年前，敲诈者木马还是一个默默无闻的木马种类。然而，由于其极强的破坏力和直接且丰厚的财富回报，敲诈者木马这几年已经一跃成为曝光率最高的木马类型——甚至超越了盗号木马、远控木马、网购木马这传统三强。与此同时，各种敲诈者木马也在不断推陈出新，变着花样地出现在分析人员的视野中。 去年，360安全团队就发现了一款使用PHP语言编写的敲诈者木马（具体内容参考《用世界上最好的编程语言写成的敲诈者木马》）。最近，一款使用Python语言编写的敲诈者木马又
之前写了一个基于python的一句话木马客户端程序，这个程序的作用大致就是为了绕过防护设备，使敏感数据能在网络里自由穿梭。由于编程能力有限，当时以python程序作为客户端，php代码作为服务端，勉强能用，但是缺乏jsp的服务端，使之功能很局限。幸好有大神caomei相助<点击阅读原文查看链接>，帮助实现了jsp端的代码，故将两者相结合，方便使用。 PyCmd适用环境 当服务器允许上传任意文件，且对文件内容不进行审计检查，但由于其网络边界有防火墙会拦截审计通信的数据。这时我们能成功上传一句话木马，然而连接菜
近日，腾讯洋葱反入侵系统检测发现 PyPI官方仓库被恶意上传了request 钓鱼包，由于国内开源镜像站均同步于PyPI官方仓库，所以该问题不仅会通过官方仓库，还可能通过各个开源镜像站影响广大用户，腾讯安全应急响应中心（TSRC）秉承共建安全生态的原则，TSRC在此建议各开源镜像站以及对开源镜像站有依赖的公司，请尽快自查处理，确保恶意库得到清除，保障用户安全。
《Python黑帽子：黑客与渗透测试编程之道》的读书笔记，会包括书中源码，并自己将其中一些改写成Python3版本。书是比较老了，anyway，还是本很好的书
IPC（共享命名管道资源）其实就是为了实现进程间通信而开放的命名管道；它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。
会在root目录下生成一个test.exe后门程序 lhost填写kali上线IPlport上线端口
在听过某网安教育关于浅谈的公开课后，结合本人学过的东西，以及自己实践过的经历。在此分享下木马对我们的影响。
公司之前的开发和测试环境是在腾讯云上，部分服务器中过一次挖矿木马 kworkerds，本文为我当时分析和清理木马的记录，希望能对大家有所帮助。
病毒、木马是黑客实施网络攻击的常用兵器，有些木马、病毒可以通过免杀技术的加持躲过主流杀毒软件的查杀，从而实现在受害者机器上长期驻留并传播。
Golang-Gin 框架写的免杀平台，内置分离、捆绑等多种BypassAV方式。
前言 利用文档进行木马传播的手法，最近一段时间随着敲诈类木马的流行，而被广泛利用了起来。与此同时，这个手法也开始被传统木马所借鉴。近日哈勃分析系统捕捉到一类隐私窃取类木马，也开始利用文档作为自身的传播手段。 据分析，此木马通常定向攻击企业商务用户，目前已经有大量受害者的隐私被窃取，包括黎巴嫩，美国，印度，意大利，马来西亚，韩国，尼日利亚，英国，泰国，希腊，墨西哥，越南等国家，在中国境内也发现有台湾和广东的企业用户被植入该木马，包括邮箱密码、网站密码、聊天记录、桌面截图等在内的大量隐私遭到泄漏。顺着这个线索，
本文中，CheckPoint研究人员基于对“海莲花” 木马程序的分析，编写了一段绕过其混淆技术的反混淆工具-APT32GraphDeobfuscator.py，在逆向分析过程中，利用该工具，最终可以消除混淆指令，清晰地显示出“海莲花” 木马的运行调用流程，对木马分析和相关安全研究人员有借鉴帮助之用。
Python中文社区专栏作者：囧囧男 1.起因 最近挖矿木马很流行，又遇到struts2漏洞。 把当时的情况给大家分享一下： 2.处理过程 查看服务： 查看服务硬件： 显示为VMware的虚拟机
攻陷了服务器，主机取得一定权限（可能不是很高）就开始进入了后渗透阶段 把对方机器打蓝屏重启有什么作用？ 使得我们修改注册表等配置信息可以生效 windows的控制权限UAC，重启才可以生效，可以使用远程溢出蓝屏，用户可能会以为是bug，意外情况，所以不会注意，从而使修改信息生效 1.权限提升：权限提升的几种方式 （1）利用更高权限的进程进行操作，获得会话session （2）windows下的用户控制，exe执行时弹出的框问你是否要执行，这个东西就是UAC （3）利用服务器里面的本地提权漏洞进行权限提升（会在msf中）
在前一篇文章中我讲了什么是Meterpreter，并且讲解了Meterpreter的用法。传送门——>Metasploit之Meterpreter
上一次的文章中是分析了 Windows系统上 中国菜刀的工作原理，于是突发奇想，便想着用Python3也写一个和菜刀功能一样的程序出来，其实可变的地方还是挺少的，考虑的点只有4个而已，内容中，尤其是正则匹配部分尤其辣眼睛，所以有意见可以提出来，然后我忽略掉就好了
其实这段代码属于基础类的一句话，功能仅限于验证漏洞了，实际中太容易被查出来了，也就是早上雨落直接带图说检测到木马文件
Arbitrium是一款跨平台并且完全无法被检测到的远程访问木马，可以帮助广大研究人员控制Android、Windows和Linux操作系统，而且完全不需要配置任何额外的防火墙规则或端口转发规则。该工具可以提供本地网络的访问权，我们可以将目标设备当作一个HTTP代理来使用，并访问目标网络中的路由器、发现本地IP或扫描目标端口等等。
大清早的刚从床上爬起来。雨落就跑来找我问我这段代码是什么意思<?php @eval($_POST[pp]);?>看了一下，post接收pp的值，抑制错误输出。呵呵开个玩笑，其实不是这么简单，这是一段P
1、前言 前段时间Shadow Broker披露了 Windows大量漏洞，甚至爆出黑客组织 Equation Group 对于Windows 远程漏洞 MS17-010 的利用工具，该漏洞影响范围之广，堪称杀器。可以看看官方通告。大伙们也忙的热火朝天~~于是想着把攻击环境移植到u盘里，然后比如去学校机房，网吧。 这里分享一下个人的移植过程，以及在使用攻击代码过程中遇到的问题，思路就是利用现成的神器pentestbox，向里添加攻击代码以及其运行需要的python环境。 2、环境移植过程 Pentest B
中国菜刀并不是大家记忆中用来切菜做饭的工具，而是部分中国黑客自己写的 “一句话木马连接工具”。
近两年来，Shlayer木马一直是MacOS平台上最常见的恶意软件，十分之一的MacOS用户受到它的攻击，占该操作系统检测到攻击行为的30%。第一批样本发现于2018年2月，此后收集了近32000个不同的木马恶意样本，并确定了143个C&C服务器。
自幼受贵州大山的熏陶，养成了诚实质朴的性格。经过寒窗苦读，考入BIT，为完成自己的教师梦，放弃IT、航天等工作，成为贵财一名大学教师，并想把自己所学所感真心传授给自己的学生，帮助更多陌生人。
在Windows里很早就有了ransomware（赎金勒索软件），直到Linux中的Linux.Encoder.1，也就是第一个linux勒索软件的出现。这款软件的行为与CryptoWall、TorLocker等臭名昭著的木马软件非常类似。 黑客利用勒索软件的案例 在黑客远程利用热门应用Magento内容管理系统的漏洞后，他会在受害人的Linux机器里运行Linux.Encoder.1。一旦执行成功，这款木马会在/home、/root、/var/lib/mysql这几个目录下进行遍历文件，试图加密里面
攻击者在入侵企业网站时，通常要通过各种方式获取webshell从而获得企业网站的控制权，然后方便进行之后的入侵行为。常见攻击方式有：直接上传获取webshell、SQL注入、远程文件包含(RFI)、FTP，甚至使用跨站点脚本(XSS)作为攻击的一部分，甚至一些比较老旧的方法利用后台数据库备份及恢复获取webshell、数据库压缩等。通用功能包括但不限于shell命令执行、代码执行、数据库枚举和文件管理。
当然应对Linux入侵时我们也可以使用一些自动化的安全工具协助排查溯源 并进行安全加固
IDS日志巡检中发现一条连接矿池服务器的日志，按照以往的经验，看来又有一台服务器沦为矿机了。IDS日志如下：
在红蓝对抗的过程中，远控木马起到了相当重要的作用，而面对蓝队技术人员的种种查杀，远控木马如何在目标机器上长久的存活下去
距离上一篇文章《那些FastJson漏洞不为人知的事情（开发角度）》已经过去三天了，但在我的心中仿佛过了一年。这三天是我在分析Cobaltstrike源码的一个过程，阅尽代码冷暖，但我依然要说一句Cobaltstrike牛逼~
MITMF其实就是一个基于python编写的中间人攻击的框架，就好比metaspoit一样，无比强大且但十分易用。下面笔者就给大家介绍一下它有哪些用途，本文具有攻击性，大家最好在自己的实验环境中使用。
无文件落地的木马主要是一段可以自定位的shellcode组成,特点是没有文件，可以附加到任何进程里面执行。一旦特征码被捕获甚至是只需要xor一次就能改变特征码.由于传统安全软件是基于文件检测的,对目前越来越多的无文件落地木马检查效果差.
近年来，Python语言凭借其入门简单、功能强大和开发效率高等特性逐渐成为最受欢迎的开发语言，与此同时，Python在安全领域的应用也渐趋广泛，开始被用在黑客和渗透测试的各个领域。
注意，图中红线以下大家千万别触碰，我们作为安全人员或白帽子主要是在红线以上去获取信息，再报告相关单位或提醒相关网站进行漏洞修复，尤其是拒绝服务，其破坏性非常大。
CHM是英语“Compiled Help Manual”的简写，即“已编译的帮助文件”。CHM是微软新一代的帮助文件格式，利用HTML作源文，把帮助内容以类似数据库的形式编译储存。
一直以中东的工业组织为目标的WildPressure APT 组织，现在被发现使用一种针对Windows和macOS的新恶意软件。 7月7日，卡巴斯基公布了一个新发现，在2020年3月被发现的Milum恶意软件现已通过PyInstalle包进行了重组，其中包含了与Windows和macOS系统兼容的木马程序，被黑的网站可被该APT组织用来下载和上传文件并执行命令。 卡巴斯基的研究人员表示，这个名为“Guard”的木马是针对Windows和macOS系统而开发的。 这种基于Python的新木马通常使用公开
hash() 函数可以应用于数字、字符串和对象，不能直接应用于 list、set、dictionary。
研究人员发现名为 YoroTrooper 的攻击者自从 2022 年 6 月起就一直以东欧各国政府为目标进行攻击，目前尚未对该攻击者形成完整结论。 YoroTrooper 组织概述 经过分析，该组织背后的攻击者应该是说俄语的人。但不并不一定居住在俄罗斯或者是俄罗斯的国民，毕竟受害者主要都在独联体国家中。另外在代码中也发现了部分西里尔文，表明攻击者也十分熟悉该语言。在某些情况下，攻击者攻击的是俄语设备，说明攻击目标应该也是讲俄语的。 攻击者注册了许多恶意域名，有子域名包含的也有包含错别字的，以此来诱导欺骗
懂的人肯定看到标题就明白了，这就是木马程序，从第一句话就看得出来。注册表是个什么东西？这个是黑客、网络安全工程师必须精通的一项技术，所有的木马、病毒基本都是通过电脑注册表实现的！所以，你就知道注册表是对电脑多重要的东西了，可以理解为核心吧。
为了提高企业研发与办公效率，降低时间与人力成本，任何一家企业的服务器和办公电脑都离不开第三方的开源或商业软件。通常大多数企业会假设上游供应商安全有保障，或者说大多数情况下无法确认供应商的安全性，即便知道供应商没那么可靠，对其安全也强制不了，但为了满足自身需求也会妥协采用。因此软件供应链攻击的伤害效果注定显著，黑客攻击上游后，控制下游也就水到渠成。这类攻击具有隐蔽性强、影响范围广、投入产出比高等特点，一直是恶意攻击者热衷的渗透打点手段，也是企业、个人及安全保障团队难以完全杜绝的攻击场景。
vulhub/joomla/CVE-2017-8917 at master · vulhub/vulhub · GitHub
在上一篇文章中，我们讲解了木马中常用的端口转发技术，这一节讲解一下木马通信协议中的ICMP协议，并通过ICMP实现一个反弹shell。
我们今天的故事，从永恒之蓝开始，讲述如何在内网中如何悄无声息的完成一次内网渗透，PTH等章节内容太多，后续跟上……
网上对于挖矿的检测也有很多的专业文章，笔者在此就对网上的文章做一个汇总再加上自己的一些不太成熟的想法，欢迎各位师傅们的探讨，当然，检测的方法还是从2个方向出发，基于流量层的检测以及主机行为的检测
在CVE-2022-25099之后记这篇文章有讲到怎么还原，当时提到了两种还原思路，一种是将解码后的乱码复制到一个txt文件中，然后修改后缀名为zip，但是当时这种思路有问题。现在复盘一下。
在页面中多浏览一下，发现Contact模块下可以输入内容，于是尝试多输入几次之后，发现了有意思的地方
ICMP后门 前言 这几天一直在研究远控木马的一些通信协议，比如TCP，UDP，ICMP，DNS，HTTP等等，对于TCP，UDP这两种就不讲解了，因为太常见了。 大家可能对采用ICMP，DNS的木马不是很熟悉，其实这两种协议在木马通信上很流行，特点是比较隐蔽，不容易被封锁。HTTP协议主要是用在以大型网站作为C&C服务器的场景，例如之前就有使用twitter作为 C&C服务器。 本次就以ICMP协议进行分析，并使用Python开发出一个ICMP远控后门，在写这篇文章的之前，我感觉大家对ICMP协议肯定不
最近，一种新形式的钓鱼软件专门攻击 Python 开发人员。攻击者通过伪造的 Python 包并使用常规的伪装技术，通过 W4SP Stealer 来感染开发人员的系统。W4SP Stealer 是一种用来窃取加密货币信息、泄露敏感数据并从开发人员系统收集凭据的木马工具。
所以从代码层面来讲来说，不论是什么语言的实现，最后的代码实现的逻辑都是一样的，由于对于java并不了解，但听懂了课堂代码的逻辑，就是先循环饶了了几次然后再建立连接小马拉大马，后参考了群里其他同学作业后得此下文！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
