很多新入门的同学在在拿下一台服务器权限后经常会出现不知道做什么的问题，往往就会不管三七二十一提权 exp 一顿砸，在宕机的边缘疯狂试探。
APfell是一个跨平台,可识别 OPSEC的红色团队,利用后的C2框架,使用python3,docker,docker-compose和Web浏览器UI构建.它旨在为操作员,管理人员和基于Mac OS和Linux的操作系统上的报告提供协作且用户友好的界面.它包括对多个C2配置文件,多种有效负载类型,Mac OS专有的自动化JavaScript(JXA)和有趣的Chrome扩展有效负载的支持.APfell也映射到我最喜欢的MITER ATT＆CK框架.有趣的是,C2框架从知名的恶意软件家族(例如PlugX,Flame等)中获得灵感.
Empire是一款针对Windows平台的,使用PowerShell脚本作为攻击载荷的渗透攻击框架代码具有从stager生成,提权到渗透维持的一系列功能,无需powershell.exe就可以使用powershell的代理功能还可以快速在后期部署漏洞利用模块,内置模块有键盘记录,Mimikatz,绕过UAC,内网扫描等,可以躲避网络检测和大部分安全防护工具,类似于Meterpreter,是一个基于PowerShell的远控木马(www.powershellempire.com)
向服务器提交一个 payload，而服务器响应给我们相关的 response 信息。大家都叫它带内攻击，这些理论的东西，我们简单理解就好，这里我们就理解成单挑通信的通道为带内攻击，也就是整个测试过程或者说是交互过程，中间没有其外部的服务器参与，只有自己和目标服务器，那么就叫带内。
近期在Lab Dookhtegan Telegram Chanel中泄露的关于APT34的攻击工具项目、攻击成果记录及部分组织成员信息的事件，引发业界威胁情报及Red Team领域的安全人员强烈关注。类似于2017年Shadow Brokers泄漏的NSA攻击工具事件，但APT34工具的工程化程度和威胁影响力远不及NSA的泄露内容。就C2分析该组织习惯使用DNS隧道技术，并以文件系统来作为信息交互的媒体，这是一种非常规的实现方法，我们将在本文中对相关远控工具进行分析并尝试完成攻击功能还原。
作为360安全的忠实读者和作者，360这次搞活动肯定是要捧场的，至于为什么选择写Empire，是因为Empire在域渗透方面的功能实在是太强大，很多人只是用来生成免杀，未免有点大材小用。而且网上了一直没有一个系统的教程，特别是版本更新到2.X以后，有些使用方法发生了改变，甚至连官网的介绍都没有更新。因为该工具的使用要求搭建域环境，大概写了四五天，期间有在外网VPS上操作的，也有在内网操作的，所以在这个方面不要太较真，只要研究其方法即可。
Cobalt Strike 需要团队服务器才能使用，也就是teamserver。 需要文件 teamserver 与 cobaltstrike.jar 可以选择把他放在公网上面
欺骗凭证提示是一种有效的权限提升和横向移动技术。在 Windows 环境中遇到 Outlook、VPN 和各种其他身份验证协议看似随机的密码提示并不罕见。攻击者将滥用 Windows 和 PowerShell 中内置的功能来调用凭据弹出窗口来获取用户密码。
攻击者越来越多的采用云来构建自己的基础设施，这样不仅能够使攻击者以最少的时间或金钱部署攻击基础设施，也能让追踪攻击行动变得更困难。
Cobalt Strike是一款渗透测试神器，常被业界人称为CS神器。Cobalt Strike已经不再使用MSF而是作为单独的平台使用，它分为客户端与服务端，服务端是一个，客户端可以有多个，可被团队进行分布式协团操作。 Cobalt Strike集成了端口转发、扫描多模式端口Listener、Windows exe程序生成、Windows dll动态链接库生成、java程序生成、office宏代码生成，包括站点克隆获取浏览器的相关信息等。
本文通过对高度安全环境中，渗透入侵完成后，传统的基于Web和DNS管理控制目标系统不可行条件下，利用企业网页邮箱系统进行命令控制（C&C）和数据窃取（Exfiltration）的一种思路分享探讨。 假设场景 我们假设目标企业组织内设置了这样一种安全措施： 内部用户工作站电脑不能直接连接互联网，只能通过其中架设的代理服务器执行外部Web请求和DNS查询，而且代理服务器又设置了流量监控功能，由其产生的HTTP和DNS请求流量都能被监测发现。 由于从某种程度上来说，代理服务器“打破”了内部用户机与外部服务器
思科Talos安全团队最近发现一款Powershell恶意程序，用DNS进行双向通信。 前言 DNS是企业网络中最常用的Internet应用层协议。DNS提供域名解析，这样用户就可以通过域名而非IP地址来访问网络资源。许多企业会严格监控web流量，但对基于DNS的威胁的防护就比较少。攻击者也注意到了这点，经常将其他协议封装进DNS协议中来躲避安全监测。 攻击者利用DNS协议一般都是要获取信息。思科Talos团队最近分析了一个很有趣的恶意程序样本，利用DNS TXT记录查询和响应来创建双向的C2通道。攻击者可
在上一篇文章中，我们讲解了木马通信协议中的ICMP协议，并通过ICMP实现了一个反弹shell，本篇接着讲解一下DNS隧道，也实现一个反弹shell。
—个HTML Application （HTML应用）是一个使用HTML和一个Internet浏览器支持的脚本语言编写的Windows程序。该程序包生成一个HTML应用，该应用运行一个CobaltSt rikepayload。你可以选择可执行的选项来获取一个HTML应用，此HTML应用使得一个可执行文件落地在磁盘上并运行它。
声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。
防火墙可以阻止反向和绑定 TCP 连接。 然而，大多数时候 ICMP 流量是允许的，故可以将此协议用作隐蔽通道，以获取 shell 并在目标主机上远程执行命令
它可以轻松地将文件或payload传送到受损目标，不需要使用传统的Web传输，无需专用客户端软件。这适用于禁止传出Web流量的受限环境。
Kubernetes 为 Service 和 Pod 创建 DNS 记录。 你可以使用一致的 DNS 名称而非 IP 地址访问 Service。
红队一般会针对目标系统、人员、软件、硬件和设备同时执行的多角度、混合、对抗性的模拟攻击；通过实现系统提权、控制业务、获取数据等目标，来发现系统、技术、人员和基础架构中存在的网络安全隐患或薄弱环节。
4.Cobaltstrike生成宏病毒代码 一键生成宏代码后，新建一个文档或者用已经有的文档构建。（以word为例）步骤如下： 选择 "视图" -> 宏 -> 查看宏 -> 创建，填入生成的宏代码即可
这是我在 BCS2019上演讲的议题的文字版，由于议题的时间限制后面内容基本都没有展开，所以再形成一个文字版本把一些想法再记录一遍，也是公开出来供业内同仁进行批判和探讨。
且听笔者一句劝，无论是Windows还是Linux抑或是Unix都是大部分理论是相同的，与其与人争吵对比这几个平台之类的差异，不如好好研究下底层的各个子系统。
Windows日志对应于eventlog服务，找到该服务对应的进程svchost.exe，进而筛选出svchost.exe进程中具体实现日志功能的线程，调用TerminateThread结束线程，破坏日志记录功能
无论是高级持续性威胁(APT）、僵尸网络(Botnet)，还是勒索软件、后门等，命令与控制信道(C&C)都是其重要组成部分，尤其是APT和僵尸网络中的C&C信道决定了其威胁程度。学术界和工业界就C&C方面的研究已逐渐深入，目前网络战格局逐渐形成，公众对网络安全逐渐重视，网络空间中的攻防双方持续较量。
dnscat2是一款开源软件，使用DNS协议创建加密的C&C通道，通过预共享密钥进行身份验证；使用Shell及DNS查询类型(TXT、MX、CNAME、A、AAAA)，多个同时进行的会话类似于SSH中的隧道。dnscat2的客户端是有Windows版和Linux版，服务端是用Ruby语言编写的。严格的说，dnscat2是一个命令与控制工具。
ATT&CK作为一套反映网络安全攻击的知识模型，自2013年提出以来越来越受到安全行业的关注，已逐渐成为网络攻击事件分析的新标准，在众多APT事件分析中得到广泛应用。
xHunt活动从2018年7月份一直活跃至今，这个组织的主要目标针对的是科威特政府和航运运输组织。近期研究人员发现，xHunt的攻击者又攻击了科威特一家机构的Microsoft Exchange服务器。虽然我们无法确认攻击者是如何入侵这台Exchange服务器的，但是根据此次事件相关的计划任务创建时间戳，我们发现攻击者早在2019年8月22日之前就已经能够访问这台Exchange服务器了。在此活动中，攻击者使用了两个后门，一个是TriFive，另一个是Snugy的变种版本（这是一个Web Shell，我们称之为BumbleBee）。
DNS域传送漏洞是在黑客常用的一种漏洞攻击手段。要实现域传送漏洞，就需要一个不安全配置的DNS服务器，允许匿名用户传输所有记录并收集有关网络中主机的信息。然后网络上的任何用户都可以获取所有传送记录并收集有关网络中服务器的信息。然而，目前还很少有人知道，如果使用Active Directory集成DNS，任何用户都可以默认查询所有DNS记录。
某天忽然发现公司上百台机器中了变种的挖矿病毒DTLMiner，该病毒传播方式有多种，主要利用永恒之蓝漏洞、弱口令、mimikatz抓取域密码，数据库弱口令等方式传播，中毒后的机器会沦为挖矿机。
随着将更多工作负载逐步转移到云环境当中，大家可能发现准确并及时地追踪自己的月度云计算账单并不像原本想象中的那么简单。当然，使用云服务供应商的产品肯定要比自行购买硬件更便宜，或者说我们已经能够借此将原先的资本支出转化为如今的运营支出。除此之外，现在大家已经能够以非常合理的每月费用使用由服务供应商准备的多核心超大规模服务器设备。 不过尽管云服务供应商设定的这种按照用户实际使用量计费的方式值得称道，但账单当中所包含的种种元素仍然相当复杂且难于理解，这还只是最为保守的说法。事实上，很多云组件的每月使用成本可能只要几
dnscat2（https://github.com/iagox86/dnscat2）是一个DNS隧道，旨在通过DNS协议创建加密的命令和控制（C＆C）通道。dnscat2分为两部分：客户端和服务端。dnscat2客户端采用C语言编写，服务器端采用ruby语言编写。后来又有安全研究人员使用PowerShell脚本重写了dnscat2客户端dnscat2-powershell（https://github.com/lukebaggett/dnscat2-powershell）。
文中提及的部分技术可能带有一定攻击性，仅供安全学习和教学用途，禁止非法使用! Empire是一个纯碎的PowerShell后期漏洞利用代理工具，它建立在密码学、安全通信和灵活的架构之上。 Empire
在2月24日召开的IBM Pulse年度大会上，蓝色巨人公布了其在云服务领域的两项重大举措。 IBM Pulse大会是IBM旗下Tivoli品牌的年度服务管理峰会。随着IT管理技术的持续演进，这一会议不断被赋予新的内容。2014年，“云服务”成为IBM Pulse大会所讨论的重点话题。同时，透过此次会议，蓝色巨人也再次向业界重申了其向云转型的坚定决心。IBM用投资10亿美元发展PaaS(平台即服务)策略，以及收购NoSQL云提供商Cloudant的行动证明，其“向云转型”的誓言绝非空谈。 1
2020年10月1日，DHS CISA发布了SlothfulMedia恶意软件家族信息；2018年6月，研究人员基于未知家庭恶意软件样本中的字符串发，布了名为IAmTheKing家族的第一份报告。
使用活动目录集成的DNS服务，任何域内用户都有权限查询域内所有的DNS记录。在活动目录数据库内，所有的DNS数据都存储在如下条目中
写在前面的话 其实很早之前，攻击者就已经开始使用合法工具来渗透目标网络并实现横向攻击了。理由很简单：使用合法工具可以降低被检测到的几率，而且进过授权的工具（而并非恶意工具）可以更容易绕过安全防护机制。
1、利用目标用户使用的 user agent 来隐藏自身的恶意流量，比如像 Outlook 软件的 UA。
熟悉系统目录方便我们进行渗透操作。包括系统自身创建的目录、程序或人为创建的目录。比较重要的几个目录包括Windows、Program files/Program files（x86）、ProgramData、用户等。
前言 PowerShsell Empire中文简称 “帝国” ，可能大多数只听说过这款内网渗透神器，针对windows系统平台而打造的一款渗透工具。在PowerShell方面，帝国实现了无需powershell.exe即可运行PowerShell代理的功能，可快速部署的开发后的模块从按键记录到Mimikatz，可逃避网络检测的能力，适应性强的通信，都包裹在易用性为重点的框架,有点类似于像meterpreter。 Empire详情介绍参考官方网站:http://powershellempire.
APT-Hunter是用于Windows事件日志的威胁搜寻工具，该工具能够检测隐藏在Windows事件日志中的APT运动，如果您是弄威胁情报的人，那么我保证您会喜欢使用此工具的，为什么？我将在本文中讨论原因，请注意，此工具仍为测试版，并且可能包含错误。
微软智慧云 Azure 上虽然早就有 App Service 这种完全托管的 PaaS 服务可以让我们分分钟建网站。但是不自己配一下环境，就不能体现技术含量，容易被说微软的人都只会点鼠标。年轻的时候不敲命令，什么时候可以？今天就教大家如何在 Azure 上用 Windows Server 2019 (Server Core) VM 的方式自己配环境部署 ASP.NET Core 网站。
研究人员最近发现了新的黑客组织攻击活动，被命名为TA2101，其目标是在德国公司和组织安装后门恶意软件。
2014年已经过去一半，回顾过去半年云计算市场最热的话题，莫过于“公有云”。 2013年亚马逊、微软、IBM等几大国际巨头通过和地方政府合作、联合本地IDC等形式将公有云引入中国，并首先在2014年揭开了价格战的大幕，如今中国公有云市场已经形成“中外混杂、豪强林立、群雄并起”的局面，刚刚兴起的中国公有云市场在短时间内形成了新的红海。 根据Forrester Research发布的报告，2020年全球公有云市场规模将达到1910亿美元;2014年Forrester预计的全球公有云市场规模为720亿美元。公有云
Deployment并不能满足所有的应用场景，因为它默认对应用做了一个简化假设处理，认为一个应用的所有Pod是完全一样的，但往往在实际应用中，多个实例相互间是存在依赖关系的，比如：主从关系，主备关系，实例与数据之间的关系等。
Aqua Nautilus最新报告指出，PowerShell Gallery关于包名称和所有者的政策中仍然存在重大缺陷，这些缺陷使得在该注册表中不可避免地发生typosquatting攻击，同时也使用户极难辨别软件包的真实所有者。最终，这些缺陷将为潜在的针对注册表庞大用户群的供应链攻击铺平道路。
本文介绍了一种从攻防两个维度研究分析网络安全对抗技术的方法。该方法基于Sysmon日志、ATT&CK标签日志、操作系统日志的分析实践，通过几种典型攻防对抗技术示例，着重介绍和分析攻击在主机层面特征，为蓝队人员“看得见”“看得清”网络威胁，提供了一种简单易学的技术修炼方法。也借此抛砖引玉，希望在安全规则优化或威胁狩猎的专家能有更多此方面技术分享。 “左右互搏术” 这里的“左右互搏术”，喻意为安全人员一边模拟红队或入侵者或企业内恶意人员的攻击，一边作为防守方从网络、主机等多层面检测和分析攻击，有助于安全人员
几天前和朋友在泡茶的时候，谈起了渗透工程师的面试，当时HR问他，CS怎么上线Linux呢，这时他反问我，我说我不知道，他在纸上写下CrossC2后，嘴里说着”小菜鸡“，转身离开了。
DNS隧道与Burp Collaborator DNS隧道，在我看来，是最简单的数据渗出 方法。对于那些不熟悉的人，请参阅SANS的“检测DNS隧道”白皮书第3部分。 我们的移动应用程序实践主管Aaron Yaeger最近告诉我，使用Burp Collaborator进行DNS隧道是多么简单。像这样的渗透数据是手动执行的，时间很长，所以我开始在所有环境中自动执行此任务。我通过使用内置Burp Collaborator API为Burp Suite创建扩展，通过私有Burp Collaborator
由于每台服务器都需要注册用于Kerberos身份验证服务的SPN，因此这为在不进行大规模端口扫描的情况下收集有关内网域环境的信息提供了一个更加隐蔽的方法。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
