摘要：
背景 CVE-2021-40449是一个存在于Win32k内核驱动中的UAF漏洞。该漏洞在2021年八月下旬九月上旬被Kaspersky发现用于野外攻击活动中。通过Hook win32k驱动执行 NtGdiResetDC 过程中发生的用户模式回调，完成对目标对象的释放和占用，最终实现指定内核函数的调 阅读全文
摘要：
###介绍 前两天网上曝出了关于向日葵远控工具（Sunlogin）Windows个人版的RCE漏洞POC。因为利用简单并且网上出现了公开的自动化扫描脚本，所以测试的人很多，也出现了一些真实攻击。漏洞的问题主要是出现在Sunlogin客户端的几个对外开放的接口中，现在我对其中一部分利用进行简要的分析。 阅读全文
摘要：
远程模板插入 ProofPoin最近写了一篇文章，报告中提到近年来RTF模板注入进行office钓鱼攻击的数量增加。之前还没怎么了解过RTF模板注入的，现在和小编一起去看看吧（笑hhh）。 相对DOC模板注入的创建而言比较简单，创建一个rtf文档，使用office word进行编辑，随便写个内容。 阅读全文
摘要：
概述 CVE-2021-1732是一个发生在windows内核win32kfull模块的LPE漏洞，并且由于创建窗口时调用win32kfull!xxxCreateWindowEx过程中会进行用户模式回调（KeUserModeCallback），从而给了用户态进程利用的机会。 该漏洞由安恒信息在202 阅读全文
摘要：
当前样本是一个RTF文档，内嵌一个公式编辑器对象，该对象利用Office编辑器漏洞CVE-2018-0798执行shellcode，对EQNEDT32.exe进行代码注入，执行恶意代码。 使用rtfobj查看文档结构，可以看到携带了3个OLE对象，但是id为1的对象并未被使用。 第二个是一个pack 阅读全文
摘要：
背景 CVE-2021-33739是一个UAF漏洞，成因是由于在对象CInteractionTrackerBindingManagerMarshaler与对象CInteractionTrackerMarshaler双向绑定的前提下，再对双方绑定进行解绑，CInteractionTrackerMars 阅读全文
摘要：
windows系统中有一个名为SeTrustedCredmanAccessPrivilege的权限，使拥有该特权的进程可作为受信任的调用者访问凭据管理器。 凭据管理器可以从控制面板 → 凭据管理器进入。凭据管理器允许用户存储凭据，比如域账户、Web、普通账户凭据等。管理器使用了DPAPI（Data 阅读全文
摘要：
WireShark Wireshark解密TLS数据流，从网上已有资料来看，主要是两种方式：一是服务端私钥直接解密，二是使用SSLKEYLOGFILE获取握手过程中的会话密钥信息进行解密。 这里只尝试第二种方式解密TLS数据。可用的应用包括：chrome、Firefox、curl。 首先设置SSLK 阅读全文
摘要：
之前看到一篇关于Lsass内存dump的文章，学习记录一下。 lsass.exe（Local Security Authority Subsystem Service）进程空间中，存有着机器的域、本地用户名和密码等重要信息。如果获取本地高权限，用户便可以访问 LSASS 进程内存，从而可以导出内部数 阅读全文
摘要：
WMI (Windows Management Instrumentation，Windows管理规范) 从Windows 2000开始被包含于操作系统后，就一直是Windows操作系统的一部分。这项技术对于系统管理员来说具有巨大价值，因为它提供了提取所有类型信息、配置组件和基于系统数个组件的状态采 阅读全文