随笔分类 - 11-权限维持
权限维持
摘要：在渗透过程中，往往因为端口限制而无法直连目标机器，此时需要通过反弹shell来获取一个交互式shell，以便继续深入。 反弹shell是打开内网通道的第一步，也是权限提升过程中至关重要的一步。所有姿势整理自网络，假设，攻击者主机为：192.168.99.242，本地监听1234端口，如有特殊情况以下
阅读全文
摘要：收集样本，那可是一件很有趣的精细活。从样本里，你可能会发现很多技巧，并进入另一个视角来领略攻击者的手法。 当在安全社区里看到一些比较高级的Webshell样本，就如同发现宝藏一般欣喜，我会把它保存起来，慢慢地收集了大量的Webshell样本。 什么情况下需要海量的Webshell样本呢？比如，机器学
阅读全文
摘要：脏牛漏洞(CVE-2016-5195)与VDSO(虚拟动态共享对象) 一、漏洞描述 Dirty Cow（CVE-2016-5195）是Linux内核中的权限提升漏洞，源于Linux内核的内存子系统在处理写入时拷贝（copy-on-write, Cow）存在竞争条件（race condition），允
阅读全文
摘要：当我们通过Web渗透获取了一个Shell，而且目标主机是Windows，我们该怎么去下载后门文件到目标主机上执行呢？ 一般来说，实现Windows文件下载执行的方式不外乎以下几种方式。第一种，远程下载文件到本地，然后再执行；第二种，远程下载执行，执行过程没有二进制文件落地，这种方式已然成为后门文件下
阅读全文
摘要：很多渗透工具都提供了权限维持的能力，如Metasploit、Empire和Cobalt Strike，但是都会被防病毒软件检测到这种恶意行为。在探讨一个权限维持技巧的时候，似乎越来越多的人关注的是，这个方式会不会被被杀软杀掉？打造免杀的payload成了一个很重要的话题，在这里，本文将介绍如何使用P
阅读全文
摘要：Netsh是Windows实用程序，管理员可以使用它来执行与系统的网络配置有关的任务，并在基于主机的Windows防火墙上进行修改。可以通过使用DLL文件来扩展Netsh功能。此功能使红队可以使用此工具来加载任意DLL，以实现代码执行并因此实现持久性。但是，此技术的实现需要本地管理员级别的特权。 可
阅读全文
摘要：后台打印程序服务负责管理Windows操作系统中的打印作业。与服务的交互通过打印后台处理程序API执行，该API包含一个函数（AddMonitor），可用于安装本地端口监视器并连接配置、数据和监视器文件。此函数能够将DLL注入spoolsv.exe进程，并且通过创建注册表项，red team ope
阅读全文
摘要：Windows操作系统正在利用时间提供者体系结构，以便从网络中的其他网络设备或客户端获取准确的时间戳。时间提供者以DLL文件的形式实现，该文件位于System32文件夹中。Windows启动期间将启动服务W32Time并加载w32time.dll。DLL加载是一种已知的技术，通常使红队攻击者有机会执
阅读全文
摘要：安全支持提供程序（SSP）是Windows API，用于扩展Windows身份验证机制。LSASS进程正在Windows启动期间加载安全支持提供程序DLL。这种行为使红队的攻击者可以删除一个任意的SSP DLL以便与LSASS进程进行交互并记录该进程中存储的所有密码，或者直接用恶意的SSP对该进程进
阅读全文
摘要：Windows操作系统包含各种实用程序，系统管理员可以使用它们来执行各种任务。这些实用程序之一是后台智能传输服务（BITS），它可以促进文件到Web服务器（HTTP）和共享文件夹（SMB）的传输能力。Microsoft提供了一个名为“ bitsadmin ” 的二进制文件和PowerShell cm
阅读全文
摘要：屏幕保护是Windows功能的一部分，使用户可以在一段时间不活动后放置屏幕消息或图形动画。众所周知，Windows的此功能被威胁参与者滥用为持久性方法。这是因为屏幕保护程序是具有.scr文件扩展名的可执行文件，并通过scrnsave.scr实用程序执行。屏幕保护程序设置存储在注册表中，从令人反感的角
阅读全文
摘要：Windows快捷方式包含对系统上安装的软件或文件位置（网络或本地）的引用。自从恶意软件出现之初，便已将快捷方式用作执行恶意代码以实现持久性的一种方法。快捷方式的文件扩展名是.LNK，它为红队提供了很多机会来执行各种格式的代码（exe，vbs，Powershell，scriptlet等）或窃取NTL
阅读全文
摘要：如果未正确配置Windows环境中的服务或这些服务可以用作持久性方法，则这些服务可能导致权限提升。创建一个新的服务需要管理员级别的特权，它已经不是隐蔽的持久性技术。然而，在红队的行动中，针对那些在威胁检测方面还不成熟的公司，可以用来制造进一步的干扰，企业应建立SOC能力，以识别在其恶意软件中使用基本
阅读全文
摘要：Windows操作系统提供了一个实用程序（schtasks.exe），使系统管理员能够在特定的日期和时间执行程序或脚本。这种行为可作为一种持久性机制被red team利用。通过计划任务执行持久性不需要管理员权限，但如果已获得提升的权限，则允许进一步操作，例如在用户登录期间或在空闲状态期间执行任务。计
阅读全文
摘要：在红队行动中在网络中获得最初的立足点是一项耗时的任务。因此，持久性是红队成功运作的关键，这将使团队能够专注于目标，而不会失去与指挥和控制服务器的通信。在Windows登录期间创建将执行任意负载的注册表项是红队游戏手册中最古老的技巧之一。这种持久性技术需要创建注册表运行键各种威胁因素和已知工具，如Me
阅读全文
摘要：0x00 前言 未知攻焉知防，攻击者在获取服务器权限后，通常会用一些后门技术来维持服务器权限，服务器一旦被植入后门，攻击者如入无人之境。这里整理一些window服务端常见的后门技术，了解攻击者的常见后门技术，有助于更好去发现服务器安全问题。 常见的后门技术列表： 1、隐藏、克隆账户 2、shift后
阅读全文
摘要：0X01 前言 未知攻，焉知防，在web端如何做手脚维护自己拿到的权限呢？首先要面临的是webshell查杀，那么通过利用ADS隐藏webshell，不失为一个好办法。 0X02 利用ADS隐藏webshell 关于ADS的介绍，就不再阐述，详见尾部参考资料。 PHP 一句话木马：<?php @ev
阅读全文
摘要：“真正”隐藏文件 使用Attrib +s +a +h +r命令就是把原本的文件夹增加了系统文件属性、存档文件属性、只读文件属性和隐藏文件属性。 这样就做到了真正的隐藏，不管你是否显示隐藏文件，此文件夹都看不见 破解隐藏文件： 打开电脑文件夹选项卡，取消”隐藏受保护的操作系统文件“勾选，把”隐藏文件和
阅读全文
