5月12日晚,一款名为Wannacry 的蠕虫勒索软件袭击全球网络,这被认为是迄今为止最大的勒索交费活动,影响到近百个国家上千家企业及公共组织。 该软件是一种蠕虫变种(也被称为 “Wannadecrypt0r”、“wannacryptor”或“ wcry”)。 像其他勒索软件的变种一样,WannaCry也阻止用户访问计算机或文件,要求用户需付费解锁。 一旦电脑感染了Wannacry病毒,受害者要高达300美元比特币的勒索金才可解锁。否则,电脑就无法使用,且文件会被一直封锁。 研究人员还发现了大规模恶意电子
ATT&CK红队评估实战靶场二:http://vulnstack.qiyuanxuetang.net/vuln/detail/3/
利用burp编码爆破Basic Authorization认证、smb连接的多种方法、windows用户的NTLM值破解方法、evil-winrm的运用、windows主机信息收集工具、msf运行powershell脚本、远程运行powershell脚本、PrintNightmare漏洞提权等多个知识点。
按要求转载自FreeBuf.COM 参考来源:THK ,AngelaY编译 5月12日晚,一款名为Wannacry 的蠕虫勒索软件袭击全球网络,这被认为是迄今为止最巨大的勒索交费活动,影响到近百个国家上千家企业及公共组织。 该软件被认为是一种蠕虫变种(也被称为“Wannadecrypt0r”、“wannacryptor”或“ wcry”)。 像其他勒索软件的变种一样,WannaCry也阻止用户访问计算机或文件,要求用户需付费解锁。 一旦电脑感染了Wannacry病毒,受害者要高达300美元比特币的勒
通过 Samba 服务器的搭建,基本了解搭建服务器的基本步骤,理解 Samba 服务器的实现文件共享的功能,如何配置 Samba服务器配置文件等。
一旦电脑感染了Wannacry病毒,受害者要高达300美元比特币的勒索金才可解锁。否则,电脑就无法使用,且文件会被一直封锁。
如果我们获取的Hash为NTLM Hash v1,那么我们可以通过直接跑字典来尝试爆破,但是如今大多都只能拿到Hash v2,除非有强大的字典,否则尝试暴力破解是非常错误的选择,此时,我们可以尝试使用NTLM重放攻击
可以看出这是一台 winserver2008 R2 服务器 并且开放了445端口。
首先,这几个端口都是与文件共享和打印机共享有关的端口,而且在这几个端口上经常爆发很严重的漏洞。比如2017年危害全球的永恒之蓝,就是利用的445端口。
Shadow Brokers再次泄露出一份震惊世界的机密文档,其中包含了多个精美的 北京时间 2017 年 4 月 14 日晚,“Shadow Brokers” 终于忍不住了,在推特上放出了他们当时
系统安装 自行搭建好Windows各种操作系统后配置网络即可 环境演示:4台Windows
https://github.com/cbwang505/CVE-2020-0787-EXP-ALL-WINDOWS-VERSION
Hot Potato是Stephen Breen发现的Windows权限提升技术的代号,这种技术实际上是两个已知的windows问题的结合,如nbns欺骗和ntlm中继,以及在目标主机上本地运行的假wpad代理服务器的实现。
在内网渗透中,当攻击者获取到内网某台机器的控制权后,会以被攻陷的主机为跳板,通过收集域内凭证等各种方法,访问域内其他机器,进一步扩大资产范围。通过此类手段,攻击者最终可能获得域控制器的访问权限,甚至完全控制基于Windows操作系统的整个内网环境,控制域环境下的全部机器。
Microsoft Windows Print Spooler 服务未能限制对RpcAddPrinterDriverEx()函数的访问,该函数可能允许远程身份验证的攻击者以系统权限在易受攻击的系统上执行任意代码。
最近在学习内网渗透,很想找个机会练练手。正好团队接到红队评估的项目,于是便有了此文,没什么技术含量,师傅们轻点喷。
在上一节 [记一次Vulnstack靶场内网渗透(三)]中,我们简单的对vulnstack 2的靶场环境做了一次测试,通过外网初探、信息收集、攻入内网最终拿下域控。在本节中,我测试的靶场是vulnstack 3这个靶场。靶场地址:http://vulnstack.qiyuanxuetang.net/vuln/detail/5/
SMB协议大家应该都有所了解,毕竟2017年的MS17-010血洗整个互联网,加上之前的MS08-067 漏洞,这些都是SMB协议上出现过的著名漏洞
Wannacry蠕虫勒索软件处置流程及工具包 1、背景 5月12日晚,一款名为Wannacry 的蠕虫勒索软件袭击全球网络,这被认为是迄今为止最巨大的勒索交费活动,影响到近百个国家上千家企业及公共组织。 该软件被认为是一种蠕虫变种(也被称为“Wannadecrypt0r”、“wannacryptor”或“ wcry”)。 像其他勒索软件的变种一样,WannaCry也阻止用户访问计算机或文件,要求用户需付费解锁。 该勒索软件利用ETERNALBLUE(永恒之蓝)发起病毒攻击。蠕虫软件正是利用 SMB
SMB是各类组织中广泛使用的一种文件共享协议,而且在很多内部渗透测试过程中,研究人员可以利用这种协议来发现共享文件中包含的敏感信息(例如明文密码和数据库连接信息等等)。但是,即便是一个共享文件中不包含可以用来连接其他系统的凭证数据,只要这个文件给未认证用户提供了写入权限,那么我们就可以用它来获取域用户或Meterpreter Shell的密码哈希。 收集哈希 在此之前,已经有攻击者使用这种SCF(Shell Command File)文件来执行各种操作了,例如显示Windows桌面或打开Windows资
NTP 放大 DoS 攻击利用响应远程 monlist 请求的网络时间协议(NTP)服务器。 monlist 函数返回与服务器交互的所有设备的列表,在某些情况下最多达 600 个列表。 攻击者可以伪造来自目标 IP 地址的请求,并且漏洞服务器将为每个发送的请求返回非常大的响应。 在写这本书的时候,这仍然是一个常见的威胁,目前正在大规模使用。 因此,我将仅演示如何测试 NTP 服务器,以确定它们是否将响应远程 monlist 请求。 补丁程序可用于大多数 NTP 服务来解决此问题,并且任何有存在漏洞的设备应该修复或下线。
北京时间6月14日凌晨,微软发布安全公告修复多个安全漏洞,其中两个安全漏洞需引起高度关注 Microsoft Windows LNK文件远程代码执行漏洞(CVE-2017-8464 漏洞描述 如果用户打开特制的恶意LNK文件(Windows系统内应用程序快捷方式文件),就会造成远程代码执行。成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。 攻击者可以通过可移动驱动器(U盘)或远程共享等方式将包含恶意LNK文件和与之相关的恶意二进制文件传播给用户。当用户通过Windows资源管理器或任何能够解析LN
Windows系统安全更新 2017年10月10日,微软发布了2017年10月安全更新公告,修补了多个高危漏洞,根据公告描述,受影响的系统从Windows Server 2008到Windows 10全部包含: Windows 10 1703 Windows 10 1607 Windows Server 2016 Windows 10 1511 Windows 10 RTM Windows 8.1 Windows Server 2012 R2 Windows Server 2012 Windows 7 Wi
2018年,Purple Fox(紫狐)在野感染超过 30000 台计算机后被首次发现。Purple Fox通过漏洞利用和钓鱼邮件进行传播分发,自身还充当其他恶意软件的 Downloader。
当开启general log为on时,所执行的sql语句都会出现在stu1.log文件中。那么,如果修改generallogfile的值,那么所执行的sql语句就会对应生成对应的文件中,进而getshell。所以为了get shell,我们将general log设为on,将general log file设为C:/phpStudy/WWW/test.php
上周末,Shadow Brokers公布了一批美国国家安全局所使用的黑客工具,而这周我们又迎来了Shadow Brokers的“每周武器推送”,新公布的文件能够远程攻破Windows系统,文件也显示NSA同时也将目标瞄准了全球数家使用SWIFT系统的银行机构。 去年8月份Shadow Brokers在网上放出方程式组织的入侵工具,这个“方程式组织”隶属于NSA旗下。当时Shadow Brokers将工具打包成了2部分,其中一部分300MB提供免费下载,另外一部分加密文档则以100万比特币的价格出售,可能
在看 Net-NTLM Relay Attack 之前,需了解一下攻击原理是怎样实现的。
Windows Server 2019将于9月底正式GA发布,目前外国正在如火如荼的举办着Server 2019相关的技术会议,国内却不见微软中国推广自己的企业级产品,已经好几年了,实在可惜,曾经何时微软企业级产品 Windows Server, System Center,Sharepoint,Exchange,Hyper-V也在中国市场火过一时,但现在却已经很少在国内的技术会议上面看见微软企业级产品的身影,再这样下去恐怕在中国微软原来的企业级市场将一点一点被其它厂商占据,感到惋惜的同时作为一个老微软技术爱好者也不愿意看到微软企业级就此在国内没落,因此老王还会继续着我的爱好,研究微软高可用,私有云,混合云,Sharepoint产品,并且将最新的技术尽可能的通过博客带到国内
北京时间 2017 年 4 月 14 日晚,黑客团体Shadow Brokers (影子经纪人)再次泄露了一份 117.9 MB 的 NSA 机密文档,内含 23 个最新黑客工具,其中包含了多个Win
漏洞利用,(service postgresql start启动msf数据库 )通过msfconsole命令启动matesploit漏洞渗透平台。通过search ms08_067模块进行利用。
随着人们的安全意识的逐步加强,企业内部的Windows服务器口令越来越复杂了,经常会遇到提权到windows服务器,获取了用户的密码hash,但是cmd5官网或者本地猜解都拿不到明文密码的情况。这时候就需要用到内网哈希传递技术了。哈希传递利用了NTLM认证的缺陷,使用用户的密码哈希值来进行NTLM认证。如果目标机器与获取hash值的机器的密码相同,就可以直接使用hash来远程登录Windows主机了。
Certutil是Windows自带的命令行工具,用于管理Windows证书并作为证书服务的一部分安装。Certutil提供了从网络中下载文件的功能,测试人员可以在远程主机上执行Certutil命令,控制其下载预先部署在可控服务器上的恶意文件,如攻击载荷等。
在域渗透中,我们获得DNS管理员(DNSAdmin)权限后,可以使用dnscmd.exe命令对域进行配置管理。我们查阅文档发现:ServerLevelPluginDll服务器没有对此操作中指定的DLL路径进行任何验证。接下来的文章中,我们将详细分析该攻击的实现。这个功能将在某些情况下可以在域控制器上以SYSTEM身份运行任意代码,无需成为管理员。这个操作已经得到微软的确认,这不是一个安全漏洞。但这仍是一个非常实用的技巧,可以用作红队的AD特权提升当中。
可以看到有这么一个功能。Add Virtual Host 什么意思呢,根据译文说呢。大概就是一个虚拟host app可以远程部署war在tomcat上面。
1.背景 北京时间2017年05月12日,安恒信息监测到黑客利用NSA黑客武器库泄漏的“永恒之蓝”工具发起的网络攻击事件:大量服务器和个人PC感染病毒后被远程控制,成为不法分子的比特币挖矿机(挖矿会耗
前言: 在深入研究生渗透测试的各个阶段之前,我们应该初步掌握漏洞利用的相关知识。就各阶段工作对渗透测试成功的影响而言,信息收集阶段工作和信息侦查阶段工作要比漏洞利用阶段工作的作用更大,但是从工作乐趣而言,获取shell(到既定目标的远程连接)或诱使他人在克隆的网站输入密码,反而比信息收集的工作有趣的多。
渗透测试通常情况下是以功能为导向的。一组协议通常能支持、实现一种功能。本文浅谈一下针对 RDP 协议的几种测试方法,也就是针对远程桌面这种功能的利用。本人水平有限,但仍希望对大家能有帮助。
Badlock Bug 2016年4月12日,Windows 和 Samba 中揭露出了一个非常关键的安全漏洞请更新你的系统。我们非常确定黑客很快就会利用这个漏洞进行攻击。 微软和 Samba 团队的
很久之前放到收藏夹里的红日靶机,之前总想着汇总一下打一打,但是硬盘没有太大空间就没有去下载搭建(其实就是懒),最近写毕设的过程中无聊换换脑子来打一打。
6月13日,微软发布补丁修复两个严重远程代码执行漏洞,分别存在于LNK文件和Windows Search功能中。 概述 微软的Patch Tuesday更新发布了多达95个针对Windows、Office、Skype、IE和Edge浏览器的补丁。其中27个涉及远程代码执行,18个补丁被微软设定为严重(Critical),76个重要(Important),1个中等(Moderate)。其中,最危险的两个漏洞存在于Windows Search功能和处理LNK文件的过程中。 利用第一个漏洞,黑客可以在存在Wi
这一小节中,将看看如何构建一个 SOCKS 代理服务器使一个上线主机变成我们的跳板机。
近日,安恒信息监测到黑客利用NSA黑客武器库泄漏的“永恒之蓝”工具发起的网络攻击事件:大量服务器和个人PC感染病毒后被远程控制,成为不法分子的比特币挖矿机(挖矿会耗费大量计算资源,导致机器性能降低),
在对目标进行渗透时,一般情况下,我们首先获得对方服务器的webshell或者反弹shell,如果权限比较低,则需要进行权限提升;后续再对目标服务器进行进一步的权限控制。比如布置后门、跳板、维持权限等;我这就简单的就靶机演示一下内网的渗透。
7月15日,微软发布7月安全更新补丁,其中修复了一个Windows DNS服务器远程代码执行漏洞(CVE-2020-1350),代号为SigRed,此漏洞已存在17年之久,CVSS评分为10。默认配置下,未经验证的攻击者可以向 Windows DNS 服务器发送恶意请求来利用此漏洞。
永恒之蓝(ms17-010)过TCP端口445和139来利用SMBv1和NBT中的远程代码执行漏洞,恶意代码会扫描开放445文件共享端口的Windows机器,无需用户任何操作,只要开机上网,不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。
北京时间2017年4月14日,Shadow Brokers再次泄露出一份震惊世界的机密文档,其中包含了多个 Windows 远程漏洞利用工具,可以覆盖全球 70% 的 Windows 服务器,影响程度非常巨大。除Microsoft Windows以外,受影响的产品还有: IBM Lotus Notes,Mdaemon, EPICHERO Avaya Call Server,Imail。 事件时间轴 1.在2016 年 8 月有一个 “Shadow Brokers” 的黑客组织号称入侵了方程式组织窃取了大量机
朋友们现在只对常读和星标的公众号才展示大图推送,建议大家把“亿人安全“设为星标”,否则可能就看不到了啦
在实战渗透中,常常存在把windows主机作为跳板以此进行横向移动的情况,其实际原理并不难。本篇来谈windows系统的认证原理,并演示抓取密码相关场景。
因为要搭建一个内网环境,因此需要将虚拟机与外网隔绝,在VMware中可以通过虚拟机设置中的网络适配器来设置。
回忆远程桌面服务(rdp协议,3389端口)和telnet服务(telnet协议,23端口),它们都是使用的系统内置服务组件(软件)
领取专属 10元无门槛券
手把手带您无忧上云