Lusen的小窝

【OSCP系列】OSCP靶机—PyExpvm一、主机发现 二、端口扫描1、快速扫描 2、全端口扫描 只开放了1337、3306端口 3、针对开放端口做详细探测 1337是ssh服务，3306是mysql数据库服务；推测跑在Linxu服务器上 这里很奇怪，没有web服务开放，推测应该在mysql中拿信息 4、针对开放端口做漏洞探测虽然这样探测出来的可能性微乎其微，但必要的流程还是走一下 这里给了几个漏洞测试的脚本信息，但是他们的利用都失败了 三、MySQL数据库信息收集mysql无疑是本靶场最重要的一个突破点，先测试一下mysql是否允许外部连接 哦，这里是肯定的，那接下来我们可以尝试爆破 rockyou这个字典属实爽快，很快就爆破出来了；接下来登陆数据库查看有无敏感信息 在data这个数据库中发现有个hash值 这样看着有点乱，我们分开字段值来查看 大佬勿喷，笔者还是首次碰到这个加密方法，因此查找了一些资料，下面简单对这个加密算法做出一个说明 Fernet 算法是一个安全的加密方法，它使用 AES 作为底层加密算法，并结合 HMAC 来确保数据的完整性。 其是一种对称加 ...

【流量加密】AntSword流量RSA加密一、新建编码器在蚁剑的【编码管理】中，新建一个编码器，选择【PHP RSA】，名称随意 在【RSA配置】中点击【生成】将重新配置公私钥 复制最下面的PHP代码到靶机 二、测试连接测试默认的编码器，连接失败 使用新建的【PHP RSA】编码器 三、查看流量我们执行whoami，在靶机上抓取流量 可以看到，请求包已经没有了传统的@ini_set("display_errors", "0");与@set_time_limit(0);了 但是响应包依然是明文，这里稍有不足

【玄机应急】第六章 流量特征分析-蚁剑流量分析一、附件下载下载附件，在Wireshark中打开 二、步骤一：木马的连接密码是多少 筛选HTTP流量数据，典型的蚁剑流量特征 蚁剑的连接密码也正是开头的1 三、步骤二：黑客执行的第一个命令是什么 看来是需要对蚁剑的流量解密了，之前提到过蚁剑的流量解密 找到第一条蚁剑的流量，进行解密，记得去掉前两位的AK 解密结果如下 1cd "/var/www/html";id;echo e124bc;pwd;echo 43523 我们追踪http流，查看响应结果，执行的命令是id，这里感觉稍微有点那啥。。 四、步骤三：黑客读取了哪个文件的内容 当我们一条一条的解密，或者看响应包会发现，看的是/etc/passwd 五、黑客上传了什么文件到服务器，提交文件名 在437号的响应包中出现了当前目录下所有的文件以及需改日期等信息 flag.txt文件的日期是后面修改，说明该文件很可能是黑客上传的 六、黑客上传的文件内容是什么还是锁定黑客上传的的422号请求包 那另一组类似十六进制的值大概就是上传的内容，解密下 七、黑客下载 ...

【玄机应急】第七章 常见攻击事件分析–钓鱼邮件一、附件下载下载好流量数据包附件 二、步骤一：请分析获取黑客发送钓鱼邮件时使用的IP 先整体浏览下附件内容，有www的网站源文件和log的日志目录 这里有钓鱼的邮件，直接记事本打开。看最后一个Received内部的from的地址 前面的Received内部的from地址大都是其他邮件服务器的代理转发地址 三、步骤二：获取黑客钓鱼邮件中使用的木马程序的控制端IP 1、过沙箱 四、步骤三：请分析获取webshell的文件名 1、D盾扫一下 五、步骤四：隧道程序的文件名 观察其他路径的文件 疑似mysql 的配置文件my.conf怎么会出现在这里。过沙箱

【玄机应急】第六章 流量特征分析-蚂蚁爱上树一、附件下载下载附件，在Wireshark中打开 二、步骤一：管理员Admin账号的密码是什么？ 1、发现蚁剑流量特征先大致浏览一下整体的数据包，这两个端口通讯频繁 找几个流量包来看一看，发现蚁剑流量特征 2、找管理员的密码找木马product2.php ，做标记 123http.request.uri contains "/product2.php"//ctrl a 全选，然后ctrl m 做标记 之后重新回归http，看木马的响应包 追踪http流，是数据库的配置文件，搜索一下 找个md5解密下 flag不对，并不是真的密码 3、真实的Admin密码继续查看蚁剑的响应包。在3414这个包中可以看到此时并没有Admin用户。因此推测Admin是黑客权限维持的一个用户 那这有点麻烦了，如果Admin是黑客新增用户做的权限维持的话，是没有返回结果的，我们需要破解蚁剑的流量。蚁剑的流量特征还是很好鉴别的，如果不懂，还请移步到【蓝队应急】WebShell 流量特征 文章查看。 我们找没有回显或回显较少的包，对请 ...

【玄机应急】第六章特征分析—waf上截获的黑客攻击流量一、附件下载下载好流量数据包.pcap，在WireShark中打开 二、步骤一：黑客登陆系统的密码 1、筛选POST请求1http.request.method == "POST" 登陆的地址在/admin/login.php?rec=login 2、筛选全部的登陆请求1http.request.method == "POST" && http.request.uri contains "rec=login" 直接找最后几条 三、步骤二：黑客发现的关键字符串题目中xxx的数量有32个，那么字符串也既有可能就是32位 1、蚁剑流量特征查看http流量的时候，发现很多对a.php文件发起访问 仔细查看流量发现是蚁剑的流量特征 2、筛选蚁剑的响应数据包我们筛选所有蚁剑的请求包，之后做上标记 1http.request.uri contains "/a.php" 回到http中，看蚁剑的响应包 四、步骤三：黑客找到的数据库密 ...

【红队入侵】文件钓鱼—RLO构造后缀一、前景需求当我们想发送一个木马给身边凌晨两点还在计划打团的室友，帮助他戒网瘾，早睡早起养好身体。我们需要做的准备： 公网服务器 免杀的exe木马 监听的服务端 Resource Hacker winrar 压缩包程序 如下所示： 但是单单的exe 难免让人起疑心，搞不好会挨室友的大拳头。 二、木马图标修改这里用Resource Hacker工具，给exe木马上上图标。当然，也有其他相关工具可以使用，这里只是一个示例 另外从网上找来一个类似word 的ico 图标，当然了，这个图标并不是真的，各位可以动手自己制作一个。 打开Resource Hacker工具，在File中加载exe木马文件，选择Icon Group，快捷键Ctrl + R打开替换图标 选中word 图标进行替换 ctrl + s 保存就可以了，它替换之后可能还是原样，多刷新，或者尝试修改文件名。 再尝试下是否还能连接，没有问题 三、木马后缀修改既然要伪装成word ，我们需要把木马的名称和后缀都改了 先改名称，如关于评选2024年校级优秀应届大学毕业生的通知.exe ...

【Python武器库】取代netcat（过杀软）一、netcat 简介简称nc，被称为“瑞士军刀”，在网络安全中是一位不可或缺的角色。但如果拿到一太新的服务器，却没有nc，也不具备上网的能力，此时总归是让人有些抓耳的。但如果有python环境的话，却是可以替代nc。此也是一个不错的练习。 二、实现效果1、连接 2、命令执行1、创建文件 2、删除文件 三、免杀效果同样的路径，只扫描出来nc 四、实战效果 五、代码实现由于工具危害性较大，这里只展示代码部分片段 更详细的内容，请前往Python笔记中的项目2

【OSCP系列】OSCP靶机—Katana一、主机发现 二、端口扫描1、快速扫描1nmap.exe -F 192.168.31.57 2、全端口扫描 3、服务版本识别1nmap.exe -sV -sT -sC -O -p21,22,80,139,445,7080,8715,8088 192.168.31.57 21、22、80都是常见的服务，139、445是Samba服务，版本号在3.x-4.x，7080 是一个https服务，8715也是一个http服务 4、漏洞探测1nmap.exe --script=vuln -p21,22,80,139,445,7080,8715,8088 192.168.31.57 三、FTP信息收集刚才nmap 信息收集的时候，ftp并未显示未授权 用hydra 进行简单的弱口令爆破，爆破失败 四、HTTP信息收集1、80端口首页是一个武士军刀 2、目录扫描啥也没有 上其他字典，扫到ebook 有其他东西了 看起来像是一个CMS类型网站，继续扫 3、admin.php像是后台登陆页 4、info.phpphpinfo页面 5、 ...

OSCP系列靶机—InfosecPrep一、主机发现 二、端口扫描1、快速扫描1nmap.exe -F 192.168.31.56 2、全端口扫描 3、服务版本识别1nmap.exe -sV -sT -sC -O -p 22,80,33060 192.168.31.56 22端口采用OpenSSH 8.1版本，80端口使用Apache/2.4.41，发现secret.txt 文件，33060使用mysql的某个版本。 整个机器使用Ubuntu，系统版本在4.15 - 5.8 4、漏洞探测1nmap.exe --script=vuln -p22,80,33060 192.168.31.56 80端口使用wordpress框架，发现用户名admin，发现一些csrf 漏洞和进行了一些目录扫描 三、HTTP 信息收集1、首页一个wordpress 网站 2、robots.txt 文件 3、secret.txt 文件这个东西，有点像RSA密钥，但是好像被base64加密了 base64解密一下 这下正宗了，确认是某个用户的RSA密钥，保存起来 四、Getshell后面收集了很 ...