Lusen的小窝

流量抓包工具WireShark的基本使用一、WireShark 简介官网：www.wireshark.org 是一个网络包分析工具，使用WinPCAP作为接口，直接与网卡进行数据报文交互，抓取网卡上的流量数据包，对网络数据包进行详细的刨析分析。 可以用WireShark 来检测网络连接问题，也可以用WireShark 来抓取网络上的敏感信息，窃取数据。WireShark 默认情况下，使用混杂模式，即抓取流经本地的数据包；那么普通模式下，只会抓取流入本地的数据包。 二、WireShark 快速定位数据包1、常见的协议APR、ICMP、TCP、UDP、DNS、HTTP 2、选择网卡接口1、双击进去网卡接口 2、使用接口过滤器 12345678910111213141、仅捕获与10.1.159.86 进行交互的流量host 10.1.159.862、获取10.1.159.86 为源IP的数据包src host 10.1.159.863、获取10.1.159.86 为目标IP的数据包dst host 10.1.159.864、获取目标为10.1.159.86 且端口为80dst host 1 ...

JumpServer 堡垒机搭建和使用一、堡垒机介绍堡垒机（Bastion Host）是一种网络安全设备，它在一个特定的网络环境下，为了保障网络和数据不受外部和内部用户的入侵和破坏，运用各种技术手段监控和记录运维人员对网络内的服务器、网络设备、安全设备、数据库等设备的操作行为。堡垒机的核心功能通常包括4A：身份验证（Authentication）、账号管理（Account）、授权控制（Authorization）和安全审计（Audit）。它帮助企业实现对IT资源的集中管理和安全控制，确保只有授权用户才能访问特定的系统资源，并且所有操作都会被记录和审计，以便于事后分析和责任追踪。 二、JumpServer 堡垒机官网：JumpServer - 开源堡垒机 - 官网Github：JumpServer 是广受欢迎的开源堡垒机 JumpServer 是全球首款完全开源的堡垒机，使用 GNU GPL v2.0 开源协议，是符合 4A 规范的运维安全审计系统，提供身份验证、授权控制、账号管理、安全审计等功能支持。采用分布式架构设计，支持容器化部署，能够支持多种资产类型和大规模资产纳管，适用于金融、 ...

Windows Server Web1入侵排查一、环境搭建小李在值守的过程中，发现有CPU占用飙升，出于胆子小，就立刻将服务器关机，并找来正在吃苕皮的hxd帮他分析，这是他的服务器系统，请你找出以下内容，并作为通关条件： 攻击者的shell密码 攻击者的IP地址 攻击者的隐藏账户名称 攻击者挖矿程序的矿池域名(仅域名) 有实力的可以尝试着修复漏洞 网盘下载压缩包，解压后，在高版本（大于17.5）的VM中扫描打开 获取所有权并开启靶机 二、排查后门账户先简单用命令查看一下 1net user 没有可疑用户，查看账户管理，发现隐藏用户 hack168$ 注册表中未发现更多的克隆用户 查看本地用户和组管理： 查看用户 查看管理员组 可以确定hack168$这个用户是一个隐藏的后门用户 三、检查端口、进程1、端口检查1netstat -ano 可以看到与某IP的80端口已经建立了连接 可以通过如下将与此IP 的所有链接切除 1tasklist | findstr "7712" 2、进程排查为了进一步上述端口连接是恶意连接，我们可以通过端口连接的 ...

【漏洞复现】Apache Log4j系列漏洞复现一、Log4j反序列化命令执行漏洞（CVE-2017-5645）1、漏洞原因影响版本：Apache Log4j 2.x 版本（2.8.2之前的2.x版本） Log4j 是一个广泛应用的Java 日志库，用来记录程序日志，并且支持远程服务器。是一个由Apache软件基金会维护的开源日志框架，它为Java应用程序提供了灵活的日志记录功能。该框架允许开发者通过配置文件来控制日志的输出目的地、输出格式、日志级别等，而无需修改应用程序代码。这使得日志管理变得更加灵活和高效。一些著名的开源项目，如sprint、hibernate、struts 都是使用该日志框架。 攻击者可以通过发送一个特别制作的2进制payload，在该组件将字节反序列化为对象时，触发并执行构造的payload代码。该漏洞主要是由于在处理ObjectInputStream时，接收函数对于不可靠来源的input没有过滤。可以通过给TcpSocketServer和UdpSocketServer添加可配置的过滤功能以及一些相关设置，可以有效的解决该漏洞。 2、环境搭建vulhub 的CV ...

一、Shiro 框架介绍1、Shiro 框架简介Shiro 框架是一个强大且易用的Java安全框架，用来进行身份验证、授权、密码和会话管理。 但如果rememberMe 的AES加密秘钥泄露，就会导致shiro的反序列化漏洞，造成RCE。 Shiro 框架的认证流程是：拿到 rememberMe 的cookie 值–>Base64 解密–>AES解密–>进行反序列化。 2、Shiro 框架判断（指纹识别）在利用 shiro 漏洞时需要判断应用是否用到了 shiro。在请求包的 Cookie 中为 rememberMe 字段赋任意值，收到返回包的 Set-Cookie 中存在 rememberMe=deleteMe 字段，说明目标有使用 Shiro 框架，可以进一步测试。 3、Shiro 利用难点或条件1、需要知道AES加密的key（是漏洞存在的关键） 2、构造一个序列化之后的对象，可以通过readObject 来执行命令 二、Shiro 550反序列化漏洞（CVE-2016-4437）1、漏洞成因影响版本：Apache Shiro <=1.2.4 在受 ...

零、Fastjson 简介Fastjson 是由阿里巴巴开源的一个 Java 库，用于处理 JSON 数据格式的序列化和反序列化，但是在这个过程中并没有使用Java 自带的序列化机制，而是自定义了一套机制。同时它因为性能优异而在 Java 开发者中广受欢迎。然而，Fastjson 在处理反序列化操作时存在一些安全问题，这些问题可能导致远程代码执行（RCE）等严重的安全漏洞。 综合来看，漏洞造成的原因如下： AutoType 功能：Fastjson 引入了AutoType 功能（自动类型，支持自省），开启该功能后在JSON 序列化之后的数据中多了一个 @type 字段。该字段可以指定反序列化的目标类型，允许序列化和反序列化未知类型的 Java 对象。 安全风险：当 Fastjson 处理包含 @type 字段的 JSON 数据时，它会尝试根据指定的类型创建对象，并调用其中满足条件的getter或者setter的方法，导致安全漏洞。 利用链：攻击者可以构造特定的 JSON 数据，通过 @type 字段指定一个存在安全漏洞的类。在反序列化过程中，Fastjson 会加载并执行这个类，从而执 ...

【Vulnhub系列靶场】Vulnhub_Dr4g0n b4ll靶场渗透一、环境搭建选择打开.ovf 文件 配置名称和路径 打开后调整网络连接模式为【NAT】即可 二、信息收集1、主机发现1nmap.exe -sn 192.168.31.* 2、端口扫描1、快速粗略的端口扫描 1nmap.exe -F 192.168.31.65 2、详细端口扫描 12nmap.exe -sT --min-rate 10000 -p- 192.168.31.65nmap.exe -sU --min-rate 10000 -p- 192.168.31.65 3、详细扫描和漏洞探测 1nmap.exe -sV -A -p22,80 192.168.31.65 1nmap.exe --script=vuln -p22,80 192.168.31.65 只发现了一个robots.txt 的文件 3、web 目录探测1gobuster.exe dir -u http://192.168.31.65 -w d:\theperson\dirs\dicc.txt -b 404,403 --no ...

一、Git介绍 Git 是一个分布式版本控制系统，它不仅仅是一个客户端工具。Git 的工作方式涉及到客户端和服务器端的概念，但它的核心功能可以在本地计算机上完成，无需网络连接。以下是 Git 的一些关键特点： 分布式版本控制： Git 在每个开发者的本地计算机上都有一个完整的代码库副本，包括完整的历史记录。这意味着你可以在本地进行几乎所有的版本控制操作，如提交（commit）、分支（branch）、合并（merge）等。 客户端-服务器模式： 尽管 Git 是分布式的，但它通常在客户端-服务器模式下使用。开发者的本地仓库（客户端）可以与远程仓库（服务器）同步。远程仓库通常托管在服务器上，如 GitHub、GitLab 或 Gitee。 客户端工具： Git 提供了一个命令行界面，用户可以通过命令行执行各种版本控制操作。此外，还有许多图形用户界面（GUI）客户端工具，如 GitHub Desktop、SourceTree、GitKraken 等，它们提供了更直观的操作方式。 服务器端： 服务器端的 Git 服务提供了远程仓库的托管，允许多个开发者协作。服务器端还提供 ...

【漏洞扫描器】Xray+BP+AWVS扫描器联动漏洞挖掘一、Xray的使用1、命令行版的使用先双击进入xray命令行版的目录下 再执行如下命令： 12345671、主动扫描：单个url扫描xray_windows_amd64.exe webscan --url "http://example.com/?a=b"2、被动扫描：使用http代理进行扫描（需要在浏览器配置7777的代理）xray_windows_amd64.exe webscan --listen 127.0.0.1:7777 --html-output proxy.html3、指定模块扫描（命令执行和SQL注入模块）：xray_windows_amd64.exe webscan --plugins cmd_injection,sqldet --url http://test.comxray_windows_amd64.exe webscan --plugins cmd_injection,sqldet --proxy 127.0.0.1:7777 2、GUI-Xray版使用 被动扫描不需要指定url ...

HFish蜜罐的搭建和使用一、蜜罐介绍蜜罐根据能力分为：低交互蜜罐、中交互蜜罐、高交互蜜罐。是一种改变网络安全防御被动局面的一种主动防御技术，现已成为监测、分析网络威胁的主要技术手段，并逐渐演进为体系化的网络主动防御架构网络欺骗。通过与移动目标防御等防御技术结合，完全有可能创造出更加安全高效的主动防御体系，在网络安全防御中发挥更大作用。 国家保密科技测评中心：https://www.gjbmj.gov.cn/n1/2021/1224/c411145-32316186.html 二、HFish 蜜罐官网：https://hfish.net/ 提供Windows、Linux及Dcoker 下载。是一款社区型免费蜜罐，为用户提供可独立操作且实用可靠的中低交互蜜罐。用户需要先部署管理端，再通过管理端内置蜜罐节点或部署新节点。 三、蜜罐部署1、部署环境我们以HFish 蜜罐为例，来进行部署 部署环境： Centos7 的Linux 系统 采用线下部署方式（方便内网环境） 2、线下部署linux 部署帮助文档：Linux下载部署 (hfish.net) 1、下载安装包 2、在Centos7中 ...