Quan

终端对抗

Loader收尾

来自Alaris的代码，其中亮点在于，会把我们shellcode覆盖，可以使用自实现的memcpy应该也能起到覆盖这块内存的效果...
    Sleep(9999);//暂停9.9秒
    uint8_t overwrite[500];
    NtWriteVirtualMemory(hProcess, mem, overwrite, sizeof(overwrite), 0);

https://github.com/cribdragg3r/Alaris/blob/master/loader/loader/loader.cpp

WEB安全

Web敏感信息识别工具

trufflehog 是一个开源免费的敏感信息检测工具,支持对以下几种类型的目标进行敏感信息检测:
    git
    gitlab
    github
    s3
    gcs
    syslog
    circleci
    filesystem
主要看重的是最后一个：filesystem,作者原话：
我主要用到的是filelsystem扫描，集成在marshal中,配合httpx的js提取功能，扫描js中的敏感信息

https://github.com/trufflesecurity/trufflehog

终端对抗

AWD脚本

AWD脚本，看描述很牛逼
    FlagBuster: 当检测到输出流量中包含了符合正则的flag字符串，产生大屏告警、标记触发规则的数据包、并将flag精准替换为看起来也像flag的随机数。
    KingWatcher: KoH类比赛中，当有其他队伍替换掉了赛点文件时，产生大屏告警。
    ZombieKiller: 当文件系统上出现了不死马行为，标记可疑文件并产生大屏告警

https://github.com/DasSecurity-HatLab/AoiAWD

终端对抗

Attack on Security Titans

Attack on Security Titans: Earth Longzhi Returns With New Tricks
讲述APT组织的一些攻击手法，值得学习

https://www.trendmicro.com/en_us/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html

内网渗透

记一次IIS-Raid应急响应&溯源

文章非常精彩!学习这篇应急响应，可以学习到很多黑产哥的攻击手法，例如：
克隆administrator的用户，并且用户名起的很巧妙：vmadmin，非常像是虚拟机那些用户
启用Guest用户，以防权限掉
下载360全家桶绕过卡巴斯基，这个真厉害
还有一些技术今天才学习到，就是文章的标题：IIS-Raid
对于权限维持，其中有一段话引起我的高度注意：
1）官网文件夹下的 App_Code 文件夹可以包含 .vb、.cs  等扩展名的源代码文件，在运行时将会自动对这些代码进行编译。而 123.asmx.e8a2beba.compiled 是编译完成的输出文件，123.asmx就是生成的文件名。攻击者只需要将.cs源代码文件放到 App_Code目录下，网站每运行一次就会生成一个名叫123.asmx的Webshell在/js/目录下



2）官网文件夹下 Bin 文件夹中存放着已经编译的程序集，并且在Web 应用程序任意处的其他代码会 自动引用该文件夹，典型的示例是为自定义类编译好的代码，可以将编译后的程序集复制到Web应用程序的 Bin文件夹中，这样所有页都可以使用这个类，Bin文件夹中的程序集无需注册，只要.dll 文件存在于 Bin 文件夹中，.NET 就可以识别它。如果更改了 .dll 文件，并将它的新版本写入到了 Bin 文件夹中，则 .NET 会检测到更新，并对随后的新页请求使用新版本的 .dll 文件
这个权限维持手法更是值得学习！

https://mp.weixin.qq.com/s/hUPJ_ya920i7ZV-drVXe2A