rundll32 printui.dll,PrintUIEntry [options] [@commandfile]
http://hi.baidu.com/joleincn/blog/item/d1dfb7d939c69fe177c638b0.html
使用 DLL 或独立可执行文件的非托管 PowerShell 执行。
几天我们同事关于一个IE浏览器清理缓存的问题，问道我，怎么样清理IE浏览器缓存，我直接给写了个批处理，这里把相关内容分享给大家。
PowerShx是一款功能强大的PowerShell软件，在该工具的帮助下，广大研究人员可以在目标主机上摆脱任何软件的限制从而执行PowerShell代码。
在桌面端开发时，有些系统级的配置无法通过代码直接修改，我们就要打开对应的页面，让用户进行操作
cmd命令是java程序员最开始学习java的时候使用的工具，那么在以后的工作中我们还能用他玩些什么呢？
*本文原创作者：lcx，本文属FreeBuf原创奖励计划，未经许可禁止转载 ** 在Windows系统中，为了节省内存和实现代码重用，微软在Windows操作系统中实现了一种共享函数库的方式。这就是DLL（Dynamic Link Library）文件，即动态链接库，这种库包含了可由多个程序同时使用的代码和数据。Rundll.exe 和 Rundll32.exe 的命令行实用程序，通过这两个程序可调用从16位或32位DLL导出的函数。现在Rundll.exe 基本被淘汰，rundll32.exe格式为：RU
常见的宏钓鱼手段，都是利用cobaltstrike直接生成，但是经常容易被杀掉，绕过手段也在上文提到，这次来了解下其他手段。
对于ATT&CK，我相信搞安全的师傅们都在熟悉不过了，ATT&CK把攻击者所运用的技术都以各种TTP展现出来了，如何将ATT&CK框架，更好的利用在我们的企业中，看似是一个简单的问题，实际操作却会出现许多无法意料的问题，就比如我们ATT&CK对应的计划任务，我们对应的规则应该怎么写，写完了规则的准确率是多少，误报率是多少，召回率是多少，写的规则是否真的能检测业务蓝军或者是入侵者，企业是否有支持ATT&CK运营的基础设施平台，ATT&CK运营人员的水位怎么样，因为你的规则匹配出了计划任务，但是仅凭借计划任务我们就能判断出改终端的行为是恶意的吗？不能这么草率吧，以及T1059.001的powershell，我们又打算如何设计我们的规则，是单纯的匹配恶意powershell文本的执行，比如powerspliot还是empire的脚本，还是根据powershell的功能来判断恶意行为？比如执行，下载，-bypass参数来匹配恶意行为，或者是直接套用微软的powershell语言限制模式，当然，这几种模式没有优劣之分，我们红军需要的是用已知的技术解决方案满足企业的安全需求，我们防守方的优势在于攻击者对于我们安全防线水位的未知 当然，我们企业红军所面临的蓝军或者攻击者，他们的攻击方式都是很简单致命的，就是一条攻击链路不会有没必要的攻击行为，这对于我们防守方来说，我们设计了很多规则，看似巧妙精密，但是还是会被企业的蓝军绕过，每次复盘都有许多能提升的水位，当然，废话了这么多，此篇文章仅是以笔者的攻防思路，输出自己对于ATT&CK矩阵的理解，文章尽量会按照以前的风格浅显易懂，如果有师傅对ATT&CK感兴趣，欢迎与我交流，可以邮箱联系我
charlotte 低调入过 预览 / Preview 20210521140842135876.png 20210521140900059498.png 20210521140946147799.png 20210521174515644923.png 生成payload git clone https://github.com/9emin1/charlotte.git && apt-get install mingw-w64* cd charlotte msfvenom -p windows/x64/m
Rundll32是指32位的DLL文件，它的作用是执行DLL文件中的内部函数,功能就是以命令行的方式调用动态链接程序库。
邮件钓鱼通常出现在APT攻击里面，但是在日常生活中我们的邮箱也会经常出现一些钓鱼邮件，为了更好的了解原理，我在本地探索了一下宏上线钓鱼邮件，分享出来供师傅们交流。
本文将为大家详细介绍如何在只能访问远程桌面服务，且有 AppLocker 保护 PowerShell 处于语言约束模式下获取目标机器 Empire shell。PowerShell 处于语言约束模式，可以防止大多数PowerShell 技巧的使用。另外，还有 Windows Defender 也是我们必须要面对和解决的问题。
据观察，高级持久威胁（APT-C-35）小组总部设在印度，据观察，他们使用鱼叉式网络钓鱼电子邮件瞄准了巴基斯坦的政府和军事人员。该威胁组织已经存在了好几年，对南亚的政治和军事实体进行情报行动。这是APT演员对巴基斯坦政府发起的新一轮攻击。鉴于该地区与印度之间的历史紧张关系以及最近的地缘政治紧张局势加剧，对巴基斯坦政府的网络攻击继续发生也就不足为奇了。该小组还展示了在过去的运营中针对手机用户的能力。该组织在针对巴基斯坦商人时冒充了巴基斯坦国家银行。
但有一个问题，现在Python的默认版本都是64位，但dll有很多是32位，因此就会出现：
CPL文件，是Windows控制面板扩展项，CPL全拼为Control Panel Item在system32目录下有一系列的cpl文件,分别对应着各种控制面板的子选项
这次我们来探究beacon里每个功能点是如何实现的，以便日后更好地实现自定义beacon。因为有近百个相关功能点，所以文章就分了上下两部分。
----------------201607041343更新----------------
if %errorlevel% == 0 (TASKKILL /F /IM iexplore.exe /T) else echo "IE未运行"
参考https://cloud.tencent.com/developer/article/old/1938509
现在公开了，本来我还想留着hw用来着，之前我在创建吐司账号的时候就在论坛中发过，链接：https://www.t00ls.cc/thread-65597-1-1.html
1. 多个服务共享一个Svchost.exe进程利与弊 windows 系统服务分为独立进程和共享进程两种，在windows NT时只有服务器管理器SCM（Services.exe）有多个共享服务，随着系统内置服务的增加，在windows 2000中ms又把很多服务做成共享方式，由svchost.exe启动。windows 2000一般有2个svchost进程，一个是RPCSS（Remote Procedure Call）服务进程，另外一个则是由很多服务共享的一个svchost.exe。而在windows XP中，则一般有4个以上的svchost.exe服务进程，windows 2003 server中则更多，可以看出把更多的系统内置服务以共享进程方式由svchost启动是ms的一个趋势。这样做在一定程度上减少了系统资源的消耗，不过也带来一定的不稳定因素，因为任何一个共享进程的服务因为错误退出进程就会导致整个进程中的所有服务都退出。另外就是有一点安全隐患，首先要介绍一下svchost.exe的实现机制。 2. Svchost原理 Svchost本身只是作为服务宿主，并不实现任何服务功能，需要Svchost启动的服务以动态链接库形式实现，在安装这些服务时，把服务的可执行程序指向svchost，启动这些服务时由svchost调用相应服务的动态链接库来启动服务。 那么svchost如何知道某一服务是由哪个动态链接库负责呢？这不是由服务的可执行程序路径中的参数部分提供的，而是服务在注册表中的参数设置的，注册表中服务下边有一个Parameters子键其中的ServiceDll表明该服务由哪个动态链接库负责。并且所有这些服务动态链接库都必须要导出一个ServiceMain()函数，用来处理服务任务。 例如rpcss（Remote Procedure Call）在注册表中的位置是 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/RpcSs，它的参数子键Parameters里有这样一项： "ServiceDll"=REG_EXPAND_SZ:"%SystemRoot%/system32/rpcss.dll" 当启动rpcss服务时，svchost就会调用rpcss.dll，并且执行其ServiceMain()函数执行具体服务。 既然这些服务是使用共享进程方式由svchost启动的，为什么系统中会有多个svchost进程呢？ms把这些服务分为几组，同组服务共享一个svchost进程，不同组服务使用多个svchost进程，组的区别是由服务的可执行程序后边的参数决定的。 例如rpcss在注册表中 HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/RpcSs 有这样一项： "ImagePath"=REG_EXPAND_SZ:"%SystemRoot%/system32/svchost -k rpcss" 因此rpcss就属于rpcss组，这在服务管理控制台也可以看到。 svchost的所有组和组内的所有服务都在注册表的如下位置： HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Svchost，例如windows 2000共有4组rpcss、netsvcs、wugroup、BITSgroup，其中最多的就是netsvcs=REG_MULTI_SZ:EventSystem.Ias.Iprip.Irmon.Netman.Nwsapagent.Rasauto.Rasman.Remoteaccess.SENS.Sharedaccess.Tapisrv.Ntmssvc.wzcsvc.. 在启动一个svchost.exe负责的服务时，服务管理器如果遇到可执行程序内容ImagePath已经存在于服务管理器的映象库中，就不在启动第2个进程svchost，而是直接启动服务。这样就实现了多个服务共享一个svchost进程。 3. Svchost代码 现在我们基本清楚svchost的原理了，但是要自己写一个DLL形式的服务，由svchost来启动，仅有上边的信息还有些问题不是很清楚。比如我们在导出的ServiceMain()函数中接收的参数是ANSI还是Unicode？我们是否需要调用RegisterServiceCtrlHandler和StartServiceCtrlDispatcher来注册服务控制及调度函数？ 这些问题要通过查看svchost代码获得。下边的代码是windows 2000+ serv
Check Point发现了针对蒙古公共部门的网络攻击活动，该组织利用了冠状病毒恐慌情绪向目标发送恶意软件。研究发现其与可与在2016年进行的其他网络活动联系起来。多年来，这些行动的目标是多个国家/地区的不同部门，例如乌克兰，俄罗斯， 和白俄罗斯。
最近无意间发现了cpl文件,之前对该类型的文件了解几乎为零,由于触及到我的知识盲区,于是决定探究。
直接调用dll函数，rundll32 dllpath,func param1 param2 … 执行步骤
Red Canary近期公布了《2021 Threat Detection Report》，该报告涵盖了众多顶级网络攻击技术到MITER ATT＆CK框架的映射。其中，就2020年黑客首选10大Windows网络攻击技术进行了调研。
拿到了两个One Note的钓鱼样本。以为是个OneNote的0day，这不得分析分析搞一手。就花了点时间分析了一下，并且成功复现了手法。
使用lsassy可以对远程机器进行自动化的lsass.exe内存dump和解析，利用过程如下：
有的时候IIS出现严重错误，比如metabase坏掉，又没有备份.... 一般的做法，直接在控制面板添加删除程序中卸载IIS重装。 这样并不是保险的做法，很多人在重装IIS后问题依旧。 所以建议在任何情况下都用以下步骤重新安装IIS： 复制代码 代码如下: 1、把IIS卸载。 2、把 %windir%\system32\inetsrv 删除。 3、把%windir%\iisX.log删除，X 是IIS版本。 4、把 \inetpub\ 目录删除。 （以上操作可以在安全模式中进行。） 5、重
一般情况下，病毒会利用添加启动项、计划任务、服务的方式来实现开机启动，达到留存和活跃的目的。然而，利用atbroker.exe系统进程，实现病毒开机启动的方式并不常见。虽然该手法在2016年7月已经有被曝光，但是被发现的在野攻击却不多。不久前，某网友机子上的某杀毒软件不停的提示有挖矿（zec币）程序在运行，删除恶意程序后，下次开机还是会不停的出现。在一番苦心挖掘下，终于摸清了病毒的自启、躲避杀软的攻击手法。
1。右键我的电脑–管理–本地用户和组，给IUSR_机器名和IWAM_机器名两个用户设置密码，要一样。
简介 在各种钓鱼、挖矿、勒索、组建僵尸网络、基础渗透、后渗透过程当中，攻击者都会通过一些方法去下载执行恶意代码并执行完成攻击操作，比如前段时间通过Office DDE执行powershell的，利用宏执行VBS的，绕过权限限制完成危险命令执行的等等，都需要用到文件下载/上传姿势，一般说按照途径可以分为： 通过HTTP、FTP URL进行传输类 通过UNC进行传输类 通过磁盘写入类 而payload执行则具体可以分为有文件类和无文件类，具体分的话就是内存执行、本地缓存、磁盘文件 通过HTTP下载
📷 简介 在各种钓鱼、挖矿、勒索、组建僵尸网络、基础渗透、后渗透过程当中，攻击者都会通过一些方法去下载执行恶意代码并执行完成攻击操作，比如前段时间通过Office DDE执行powershell的，利用宏执行VBS的，绕过权限限制完成危险命令执行的等等，都需要用到文件下载/上传姿势，一般说按照途径可以分为： 通过HTTP、FTP URL进行传输类 通过UNC进行传输类 通过磁盘写入类 而payload执行则具体可以分为有文件类和无文件类，具体分的话就是内存执行、本地缓存、磁盘文件下面我们
Threat Hunting#10. 重命名或修改 Windows（滥用的）脚本程序绕过系统监控
如果要评选最近一年内国内信息安全圈最火的一个安全新名词，那一定是“MITRE ATT&CK”了。这个词在其被引入国内的那一刻起，就似乎备受青睐，常见于各种文章、PPT、演讲之中，大有赶超前几年的安全热词“威胁情报”之势。一时间造成了一种如果在2019年没听说过“MITRE ATT&CK”的安全从业人员不算是真正的业内人士的错觉。可是，物极必反，但凡被吹捧的越高往往跌的越惨，笔者私下里也在多个场合听到一些对“MITRE ATT&CK”被过度吹捧的反感言论，其实看待任何新鲜的事物和概念都需要冷静分析、客观思考、取其精华、去其糟粕，最后为我所用才是正道。
近日，国外安全公司FireEye宣布发现新型IE 0day漏洞攻击，该漏洞影响Windows XP和Windows 7系统上的英文版本IE浏览器。不过FireEye认为，其他语言版本的IE很可能也会被攻陷。目前国内尚未出现此漏洞攻击，不过Windows XP和Win7用户也需要高度警惕。 据分析，最新IE 0day漏洞主要攻击Windows XP系统上英文版IE7、IE8浏览器和Windows 7系统上的英文版IE8浏览器。美国市场研究公司StatCounter和Net Applications数据
当目标点开美图（恶意LNK快捷方式文件：confidential.jpg.lnk），使目标认为他正在打开图像（confidential.jpg），HTA dropper 隐藏在快捷方式文件中。LNK将执行HTA，HTA将依次执行并删除的DLL payload，并且用诱饵图片替换快捷方式（confidential.jpg）。过程如下：
进程的内存空间中存储的域，本地用户名和密码称为LSASS（本地安全机构子系统服务）。如果在目标上具有一定的权限，则可以授予用户访问LSASS的权限，并且可以提取其数据以进行横向移动和特权升级。
APT29是威胁组织，已被归于俄罗斯政府情报组织，APT29至少从2008年开始运作，具有YTTRIUM、The Dukes、Cozy Duke、Cozy Bear、Office Monkeys等别名。主要攻击目标为美国和东欧的一些国家。攻击目的是为了获取国家机密和相关政治利益，包括但不限于政党内机密文件，操控选举等。与APT28，同属于俄罗斯政府的APT28相互独立，但在某种程度上会联合行动。APT29是东欧地区最为活跃的APT组织之一。该APT的许多组件均通过伪造的Intel和AMD数字证书进行签名。
20210920 [+]CmdDll Windows 0day漏洞通用DLL注入生成器，生成的DLL仅5KB，非常适合0day加载
@EventListener({ApplicationReadyEvent.class})
在渗透过程中，通常会需要向目标主机传送一些文件，来达到权限提升、权限维持等目的，本篇文章主要介绍一些windows和Linux下常用的文件下载方式。
前段时间，@subTee放了一个好玩的red team tips，利用wmic来进行bypass。
1、今天遇到了需要手动输入http地址打开指定网页的需求，试着做一个用程序打开指定网页的功能，搜了一下，还真有一个现成的例子，稍加改造，实现自己的需求；
声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
本文主要介绍：Win10设置环境变量的5种方式，前2种也适用于其它Window系统。
不说废话，直接上代码： on error resume next strComputer = "." Set FSO = CreateObject("Scripting.FileSystemObject") Set WshNETWORK = WScript.CreateObject("WScript.Network") Set WShell = WScript.CreateObject("WScript.Sh
on error resume next strComputer = "." Set FSO = CreateObject("Scripting.FileSystemObject") Set WshNETWORK = WScript.CreateObject("WScript.Network") Set WShell = WScript.CreateObject("WScript.Sh
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
