最新心得---20181204

释放双眼,带上耳机,听听看~!

最近一些心得:
threathunter又打不开了;认识threathunter运维的人可以帮忙问问....

1.一句话搜哈跑非 http/https/tcp协议:

很多时候都需要powershell bitsadmin mstha等链接远程执行; 或者是载体(shellcode)一同打包发过去,对方点解了就加载载体执行.
这些思路感觉还是有点不足,万一对方http/https/tcp出不来咋办; 连同载体打包发过去有点不优雅. 是不是有办法一句话搜哈跑dns icmp udp 甚至 获取代理配置 通过代理(http proxy 、socks4/5、squid等 直接上网)......

但是现在经过一些文章学习姿势,实践研究了一些可以绕过lnk限制长度(理论上其它可执行后缀格式也可以,只要绕过长度限制就行),再让开发去改良,可以实现lnk powershell一句话搜哈跑dns协议 (理论上一句话搜哈跑udp icmp 或者其它猥琐东西都可以.)
或者理论上想办法实现这样的执行思路也是可行的:
    类似:echo payload |base64 -d >dns.exe && run dns.exe
        echo payload |base64 -d >icmp.exe && run icmp.exe
        echo payload |base64 -d >udp.exe && run udp.exe
    ....(大家思考)

参考:http://www.mottoin.com/reports/114030.html
https://www.jianshu.com/p/10d370d635ab
https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E5%BF%AB%E6%8D%B7%E6%96%B9%E5%BC%8F%E6%96%87%E4%BB%B6%E7%9A%84%E5%8F%82%E6%95%B0%E9%9A%90%E8%97%8F%E6%8A%80%E5%B7%A7/
[我们还需要一个获取TXT记录并执行的脚本,这里我改了一个脚本:〕
https://m.jb51.net/article/126181.htm

 

2.相对隐藏反连的url 和 ip

很多时候url 和 ip ,我觉得可以加上第三方云/cdn 或者 公用的云/cdn达到相对隐匿效果.
还有就是 Domain Fronting 和 Tor Fronting ; 很少人实战会使用,确实很实用.

https://mp.weixin.qq.com/s/BlssgysUVcebkX9JZ71zMg
http://app.myzaker.com/news/article.php?pk=5b457d2c77ac64329837575b
https://blog.csdn.net/qq_27446553/article/details/59545673
https://github.com/rvrsh3ll/FindFrontableDomains
http://www.4hou.com/technology/3516.html
http://securityaffairs.co/wordpress/57456/apt/apt29-group-domain-fronting.html

除了获取 IE/chrome/Firefox 代理配置之外:
IE/chrome/Edg内核一样 获取代理配置相对通用.
Firefox代理配置文件:%user%\hasee\AppData\Roaming\Mozilla\Firefox\Profiles\hxhvs2tj.default\prefs.js

获取注册表、客户端配置 是否有mail smtp/pop3/imp相关配置,
获取各类浏览器记录是否有mail相关登陆信息,
......
可以通过发送mail 来实现交互payload执行.

查看目标办公和内网情况,是否有用到一些类似 (syncbox dropbox google drive onedrive AWS 等等.) 通过这些类通讯.
查看目标办公和内网情况,是否有用到一些(skype,whatsapp,emessage,instagram 等能外部注册的;注册两个账号来实现交互通讯).
......

......

3.一些攻防 bypass:
执行命令
wscript.shell 被监控
Shell.Application 执行
https://www.cnblogs.com/cnxkey/articles/3944461.html  (有点像以前asp年代,N点主机,星外主机,旁站提权的年代.)
因为绝大部分钓鱼执行 最终都会调用到:vbscript javascript 来加载本地域 调用com组件 或者 直接 wscript.shell来执行命令;很容易被 反APT产品检测到.
另外大家平时有没有整理:
    检测虚拟机、检测和绕沙箱、检测杀软和动态执行秒杀、还有持久驻留的各种姿势(win、linux、unix、busybox、AIX、solaris、suse、smp、elsmp 等各种系统)

4.对测评 和 安服 一个升级亮点:

最近在帮单位去报一些所谓的测评服务体系亮点时候想的,感觉可落地性很大.

[终端资产识别,促进安全服务和测评服务深入;能达到最大化能加固系统的效果]
很多时候测评或者安服就给你一个ip url 或者 ip段;最多附带你多一个vpn 和 测试账号密码.
....

但是我们系统可以做到xxxxx:
例如:
    tomcat 版本5.5; spring xxx版本 版本号xxx
    里面lib类库有 xxx 版本号是xxxx,xxx版本号是xxxx,xxx版本号是xxxx,xxx版本号是xxxx,xxx版本号是xxxx
    服务器Linux版本号为xxxxx , uname -a  和  /etc/issue ,lsb_release -a ,/proc/version 等等信息描述出来,还有补丁日志 和 操作系统更新日期描述出来,甚至可以把系统打过的补丁也列出来。
    服务器内网ip多少、网站绝对路径多少、网上通过什么方式可以反连上网(例如:icmp、dns txt? CNAME? MX?、udp、http/https、还是特定端口或者要走代理服务器才行等等,识别自动描述出来)、用到的数据库ip是多少和具体的版本型号是多少(例如:oracle x64 10.0.3g 更新日期为20140321)
    服务器文件上传功能上传后的绝对路径和相对在哪里(因为一些测试很多可能是上传后找不到路径)、服务器用的什么终端防护产品(具体到哪个版本和型号)、服务器用了什么waf/ids/ips等等(具体到哪个版本和型号)
    
    可能描绘得可能比较抽象,总之按照这个思路往这个方向去添加,去思考就是了。。 是否可以扯上供应链安全捏。?
    结论:【我们的系统可以智能输出这些信息给到安全服务 和 测评人员,让他们对系统更加深入的测试;从而也让系统得到最大化安全的加固。】

相关文章

人已赞赏
安全教程

CVE-2018-11776: How to find 5 RCEs in Apache Struts with Semmle QL

2020-2-13 22:10:29

安全教程

命令注入新玩法:巧借环境攻击目标

2020-2-13 22:10:34

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
有新消息 消息中心
搜索