有时候会感觉自己电脑行为有点奇怪, 比如总是打开莫名其妙的网站, 或者偶尔变卡(网络/CPU), 似乎自己"中毒"了, 但X60安全卫士或者X讯电脑管家扫描之后又说你电脑"非常安全”, 那么有可能你已经被黑客光顾过了. 这种时候也许要专业的取证人员出场, 但似乎又有点小提大作. 因此本文介绍一些低成本的自检方法, 对于个人用户可以快速判断自己是否已经被入侵过.
C:\Users\thel3l> systeminfo | findstr /B /C:"OS Name" /C:"OS Version" OS Name: Microsoft Windows 10 Pro OS Version: 10.0.14393 N/A Build 14393 当然中文系统你得这样: systeminfo | findstr /B /C:"OS 名称" /C:"OS 版本" 识别系统体系结构:
查杀结束了但是研究还没结束呢,手动删除U盘上的病毒的研究才开始,于是查询了有关VBScript脚本的相关资料,并在虚拟机里研究起了这个病毒。 病毒的部分代码截图
公司准备接手一个移交过来的项目,项目是 Java 写的,本来这种事情比较普遍没有什么太新鲜的事情,只要把代码、文档、环境等尽可能详细的沟通清楚,也就算完事了。但是,接手这个项目却发生了一些有趣的事情。
Meterpreter的脚本persistence.rb,他将创建一个meterprer服务,即使远程主机再次启动,该脚本依然可以让主机重新连接远程的攻击端口,由于meterpreter不需要身份验证,这也导致任何发现端口的黑客也可利用此渠道进入后门,在真实情况下,建议完成任务后尽快自行清理。
才可使用 /u 和 /p 命令行选项。必须同时使用 /p 和 /u 才能提供用户密码。
用途:针对frp.ngrok要在cmd下后台运行才行,每次打开是不是很麻烦?编写脚本开机自启动方便吧~~
云服务器大内网带宽的机型不少,对于内网带宽大于3Gbps的机器,使用iperf3压测时,可以多开几个进程,否则可能压不到上限。可以用iperf2或用微软的ctsTraffic。
上一篇文章我们简单的解释了什么是WMI,WMI做什么,为什么使用WMI。本文是笔者在阅读国内部分的解释WMI横向移动的文章后写下的一篇文章,希望帮助同学们在攻防中进入横向移动后根据实际场景利用WMI来解决问题。在横向移动中的固定过程中一定离不开“信息收集”,然后分析信息根据实际场景(工作组或者域)来进行横向移动,至于使用什么工具,为什么使用这个工具,笔者使用WMI的意见。所以本文分为三个段落,信息收集、横向移动、部分意见。 信息收集。
一、安装Python解释器的windows环境,如果双击运行*.py的文件,会闪退。怎样避免闪退呢?
近期 Fortinet 研究专家发现臭名昭著的间谍软件 Agent Tesla 出现了全新的变种,而变种传播是通过特制的 Microsoft Word文件进行的。 Agent Tesla 是一种用来收
使用以下的wmic工具远程连接目标机器执行命令,需要目标机器开启admin$共享。
指令:show options – 查看需要填写的参数和参数填写状态
一直很想去试试搭建KMS服务器,一直也没有时间。最近空闲下来,专门研究了一下,其实十分简单。 而且vlmcsd支持几乎所有操作系统作为KMS服务器。 通过搭建后,支持Windows, Office激活。
在微软Active Directory(活动目录)中,所有的数据都被保存在ntds.dit中, NTDS.DIT是一个二进制文件,
当我们成功获取shell后,再次建立链接显得特别麻烦,那么有什么方法可以解决此问题呢。在前期的教程中,我讲过讲msf的进程转移的其他软件的方法,今天来看看另外的一种方法。 执行命令
1、更改cmd的默认路径 你可以在注册表的“HKEY_CURRENT_USER\Software\Microsoft\CommandProcessor” 下面新建一个名为AutoRun的字串,并设置该字串值为 cd /d "C:\Users\june\Desktop" 来改变该默认路径。 下次用CMD进入DOS提示符窗口,默认路径就是 C:\Users\june\Desktop 了。 2、windows8 锁屏时间及其超时关闭显示器时间 锁屏后超时关闭屏幕时间: Windows Registry Edito
Ntds.dit是主要的AD数据库,包括有关域用户,组和组成员身份的信息。它还包括域中所有用户的密码哈希值。为了进一步保护密码哈希值,使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。
编写vbs有多简单?新建“文本文档”,输入msgbox “一大波病毒正在靠近…” ,点击文件->另存为->重命名为“代码.vbs”。文件名不重要,重要的是后缀要是“.vbs”
近期,火绒安全团队截获蠕虫病毒“RoseKernel”。该病毒可通过远程暴力破解密码等多种手段全网传播。病毒入侵电脑后,会同时执行“挖矿”(门罗币)、破坏Windows签名校验机制、传播后门病毒等系列恶意行为。由于病毒会对同一网段的终端同时暴力破解密码,对局域网等机构用户(政府、企业、学校、医院)危害极大,截至到发稿前,已有数万台电脑被感染。目前“火绒产品(个人版、企业版)”最新版即可查杀该病毒。
1.0前言 后渗透常见的信息收集思路 延伸: 渗透测试中的技巧 后渗透阶段的攻防对抗 linux入侵后续指南 mimikittenz:又一款Windows密码获取工具 1.1系统管理员密码 A.常用来获取windows密码的工具 1.mimikatz 2.wce 3.getpass 4.QuarksPwDump 5.reg-sam 6.pwdump7 7.procdump.exe +mimikatz ……. B.免杀抓取密码的两种方式 11.powershell "IEX (New-Object Net.W
当我们已经获取了远程系统的凭证(明文密码或 hash)时,可以直接通过3389远程登录进去收集信息、进行下一步的渗透,但是这样做的话会在系统上留下我们的操作记录,而且有可能邂逅管理员。大部分情况下,一个cmdshell 已经可以满足我们继续渗透的需求,所以不到万不得已的时候最好不要远程桌面连接(mstsc),而是通过远程执行命令的方式继续开展工作。本文整理了一些远程执行命令的姿势,测试环境如下:
@Tooshy丶师傅发来的一个MSSQL堆叠注入,测试中遇到一些问题,让我帮着看下能不能写Webshell或者直接反弹Shell?这个注入因存在WAF而不能直接用Sqlmap跑,所以全程都是在Burpsuite下进行测试的。
WinRM(Windows Remote Management是WS-Management Protocol Microsoft 实现(具体体现为Win RM 服务)。
WMI即Windows Management Instrumentation,用于管理正在运行的Windows主机。用户利用WMI可以轻松地与系统各类资源进行交互,如打开指定进程、远程启动计算机、设定指定程序在指定时间运行、查询Windows日志等。我们可以把它当作API来与Windows系统进行相互交流。在渗透测试的过程中,WMI的价值就是不需要下载和安装,因为WMI是Windows系统自带的功能,而且整个运行过程都在计算机内存中进行,操作记录不会在Winodws日志中留存。在前面的内容中对WMI有过介绍,因此不过多讲解原理。
MSF是当今安全专业人员免费提供的最有用的审计工具之一!!本篇为地基篇,都是基础必备知识,掌握它吧~
在红蓝对抗或者国家某活动中,钓鱼是红队比较常见的攻击手段。通常的钓鱼手段包括exe文件的投递,自解压文件的投递,office系文件的投递等等。这几种文件投递的方式都能直接向对方电脑投递木马文件,但是现在的防守客户普遍使用了强有力的查杀手段,特别是针对exe等文件的查杀,这对木马文件的免杀提出了新的挑战(当然,免杀大佬请当我这句话没说过)。Office作为目前最常见的办公软件套件使用,因为它的普遍使用性可以作为我们从外网到内网的一个突破口,但是目前我在GitHub找到现有的一些项目在面对国内使用的三大杀软显得应付有些吃力,所以才有了自己编写一个工具进行bypass的想法。
但在windows vista下就不管用了,不信你试试,弹出的应该是设置时区、时间的系统初始安装界面。
WMIHACKER是一款用于远程主机连接工具,通过135端口进行命令执行,执行结果读取以及无需445端口进行文件传输。
WMI是一项windows管理技术,其全称是Windows Management Instrumentation,即Windows管理规范。大多数基于Windows的软件依赖于此服务。因此有些黑客会针对WMI进行攻击。本文介绍了 WMI 的攻击和安全防御方法,以供大家交流讨论。
我使用的python配置的解释器,没有使用python的虚拟环境,因为虚拟环境建设出来的项目不是我想要的项目结构 ,包结构比较多,看着不是很舒服
【1.能不能执行cmd就看这个命令:net user,net不行就用net1,再不行就上传一个net到可写可读目录,执行/c c:windowstempcookiesnet1.exe user
在域环境里,域内用户hash存储在域控制器(ntds.dit)中的数据库文件中,ntds.dit文件是无法直接被复制的。在这种情况下,我们一般可以利用卷影复制服务(VSS)来实现ntds.dit的拷贝,然后下载进行离线分析和破解用户哈希。
useradmin登录192.168.1.1查看ip,然后百度搜索ip,查看是否为公网IP。如果不是,拨打10000,申请切换公网IP即可。
Windows应急不太可能只手敲命令吧,快速应急需要运用各种工具才能快速发现问题,这里是应急工具包:
知识星球看到@紫陌师傅分享的一篇《利用IIS虚拟目录绕过os-shell中文目录》,所以想着对他文中提到的利用Adsutil.vbs脚本创建虚拟目录写马至中文路径的方式进行复现,但仅适用于低版本IIS,高版本要用appcmd。
这个软件是最好的选择。 虽然我曾经想过使用metasploit,boxstarter等方式分发,最后发现,这个最简单。
前天在群里问了如何生成.wsf msf马,今天写出了实例,分享出来,同时期待亮神的佳作。
https://docs.microsoft.com/zh-cn/windows-server/get-started/kmsclientkeys
要日,就日一波大的。日个小站就结束了也不太好意思(水文章),于是乎就在各种搜索引擎上搜了起来。
上周,微软推出了一项新的 Windows 平台安全技术:Windows Defender System Guard 运行时认证。这项技术主要用于应对软件中的攻击,与 Credential Guard 一样,利用基于虚拟化安全中涉及的源于硬件的安全技术。
windows下批处理实现进程监测 http://blog.51cto.com/10942560/2096009
2、设置应用程序池的回收时间,默认为1720小时,可以根据情况修改。同时,设置同时运行的w3wp进程数目为1.再设置当内存或者cpu占用超过多少,就自动回收内存
火绒安全团队截获一批蠕虫病毒。这些病毒通过U盘、移动硬盘等移动介质及网络驱动器传播,入侵电脑后,会远程下载各类病毒模块,以牟取利益。这些被下载的有盗号木马、挖矿病毒等,并且已经获得约645个门罗币(合60余万人民币)。
在一次应急响应中,无意发现来自不同地区和人员的攻击,两种留后门的方法,截然不同的操作,不同的技术手法。
"Windows远程管理(WinRM)"是WS-Management协议(Web Services for Management,又名WSMan)的Microsoft实现,WS-Management Protocol是基于标准简单对象访问协议(SOAP)的对防火墙友好的协议。运行来自不同硬件和操作系统的硬件和操作供应商,以实现互操作(Microsoft Docs)。
然后修改文件的扩展名为 .bat 或 .cmd 两者在windows都是可以运行的
1 IIS服务器出现500错误 2错误原因:500错误的原因一般是源程序出现错误造成的。 3 解决办法:1 首先设置IE浏览器à工具->Internet选项 2 刷新或者重新打开500
通常我们在渗透过程中从外围打点进入内网后拿到主机提升到system权限,这一台主机就已经拿下。但是我们进入内网的目标还是拿下尽可能多的主机,这时候选择横向移动的方法就尤为重要。今天就对一些常用的横向手法进行一个总结,有不足之处欢迎师傅们进行斧正。
◎Vbs脚本编程简明教程之一 —为什么要使用Vbs?
领取专属 10元无门槛券
手把手带您无忧上云