MSOLSpray是一款针对微软在线账号（Azure/O365）的密码喷射与安全测试工具，在该工具的帮助下，广大研究人员可以直接对目标账户执行安全检测。...支持检测的内容包括目标账号凭证是否有效、账号是否启用了MFA、租户账号是否存在、用户账号是否存在、账号是否被锁定或账号是否被禁用等情况。...在使用该工具执行测试期间，请注意不要因为失误操作而导致账号被锁定。 值得一提的是，该工具并不仅仅是一个密码喷射工具，因为该工具还可以帮助我们对目标账号或域进行网络侦查和枚举。...在测试过程中，如果检测到了针对Microsoft Online OAuth2的有效登录时，该工具并不会自动触发MFA文本或推送通知，这一点对于红队测试来说非常有用。...针对MSOLSpray的PowerShell版本安装，广大研究人员可以直接使用下列命令获取项目源码： git clone https://github.com/dafthack/MSOLSpray.git
常见的网络威胁情报服务有黑客或欺诈团体分析、社会媒体和开源信息监控、定向漏洞研究、定制的人工分析、实时事件通知、凭据恢复、事故调查、伪造域名检测等。...Windows 异常进程监控 异常启动项监控 异常服务监控 配置系统日志 用户账户 设置口令有效期 设置口令强度限制 设置口令重试次数 安装EMET 启用PowerShell日志 限制以下敏感文件的下载和执行...SSH 是否禁用ROOT登录 是否禁用密码连接 6.5.3.3. MySQL 文件写权限设置 用户授权表管理 日志是否启用 版本是否最新 6.5.4. Web中间件 6.5.4.1....Apache 版本号隐藏 版本是否最新 禁用部分HTTP动词 关闭Trace 禁止 server-status 上传文件大小限制 目录权限设置 是否允许路由重写 是否允许列目录 日志配置 配置超时时间防...对这种情况，通常会基于虚拟文件系统和注册表的信息、内存分配特征、硬件特征、特殊指令等来识别,如果对渗透测试有需求的朋友可以去问问专业的网站安全维护公司来预防新项目上线所产生的安全问题，国内做的比较好的公司推荐
：当一个对象被创建时，系统将为其分配安全描述符，安全描述符包含了该对象的属组对该对象所配置的一些安全属性和策略 安全描述符由4部分组成： （1）SID（表示该对象所有用的SID） （2）DACL（表示该对象的访问控制策略...我们把脚本扩展一下，使用C#去重写，生成一个带有DLL反射和很少字符串的powershell脚本，给出代码 using System; using System.Text; using System.IO...Powershell武器化我们的脚本 现在开始我们实现自动化，我们创建一个powershell脚本，也是使用反射加载。...总是通知 可能是最安全的环境。如果选择此选项，则在对系统进行更改时(例如安装软件程序或对Windows设置进行直接更改时)，它将始终通知您。当显示UAC提示符时，其他任务将被冻结，直到您响应为止。...永不通知(禁用UAC) 我认为这个设置的作用是显而易见的。它禁用用户访问控制。 UAC的默认设置是 只有当程序试图更改我的计算机时才通知我，如果你将UAC设置为始终通知，则某些攻击技术会无效化。
哪些服务可以禁用、应该禁用、不能禁用，具体情况还需要结合业务场景而定，不可一概而论。多个系统对比，有注意到，从server2019开始，SSDP Discovery服务默认是禁止的。...NcbServicePhone Service电话服务PhoneSvcPrint Spooler打印后台处理程序SpoolerPrinter Extensions and Notifications打印机扩展和通知...Acquisition Events静止图像采集事件WiaRpcSync Host同步主机OneSyncSvcTouch Keyboard and Handwriting Panel Service触摸键盘和手写面板服务...Direct ServiceHyper-V PowerShell Direct 服务vmicvmsessionHyper-V Remote Desktop Virtualization ServiceHyper-V...SstpSvcSecurity Accounts Manager安全帐户管理器SamSsServer服务器LanmanServerSoftware Protection软件保护sppsvcSystem
MIC使用完整性级别和强制性策略来评估访问。安全主体和安全对象被分配了完整性级别，这些完整性级别确定它们的保护或访问级别。...设置不要通知我(禁用UAC) 字面意思，始终通知就是需要管理权限时都通知用户，而从不通知则禁用了UAC。...数字证书 在Windows 10 上的通知等级如下： 高（始终通知） 中等（默认，将检查”用户帐户控制: 仅提升已签名和验证的可执行文件“策略设置，若开启，则使用PKI证书验证，然后才允许,若禁用，不进行...，从最开始的从不通知等同于禁用UAC，到最新版从不通知等同组策略里的设置，但是这里没有提到UAC是否关闭，答案是没有。...请理解这几种设置仅仅时配置了是否通知用户，举个例子，如果在Windows 10上配置从不通知，使用管理员用户执行需要管理特权将不会看到UAC提示框，应用程序直接获得管理权限，但是，如果执行用户是标准用户
企业需要面临着提供更多资金来购买新的安全策略和产品来保护企业内重要敏感的数据。 但是，在增加安全预算的同时，更多的公司真正担心地是以现在的安全技术是否会跟得上以后网络攻击进化的速度。...初始攻击完成后，攻击者可以使用PowerShell，PsExec和Windows Management Instrumentation（WMI）等强大的系统管理工具避免检测然后继续进行操作。...从这里开始，攻击者使用PowerShell直接在内存中执行恶意代码，使得攻击真正无文件化。...好的第一步是禁用组织未主动使用的管理工具，或者至少限制其权限和功能。由于许多无文件技术依赖于它，因此PowerShell应该位于警惕列表的第一位，或者是考虑完全限制或禁用。...同样，禁用Office宏是可以消除无文件攻击最常见的启动点之一。应尽可能维护操作系统和应用系统的漏洞，并且当补丁不可行时，应隔离这些系统以防止潜在的攻击蔓延。
微软还承认，PrintNightmare影响所有Windows版本中的Windows Print Spooler，包括安装在个人计算机、企业网络、Windows服务器和域控制器上的版本，但尚不清楚它是否可以在...微软建议禁用 Windows Print Spooler 服务 目前，微软正在开发补丁，但有证据表明 PoC 漏洞已被使用。企业和企业用户最容易受到攻击，但一般用户也可能面临风险。...如果停止所有打印不现实，网络管理员可以使用组策略禁用入站远程打印，这样一来即使是打印服务器任务中断，也至少可以提供本地打印服务。...但一般用户需要使用Powershell命令将其关闭，这将保护您的 PC 免受任何 PrintNightmare 威胁： 使用任务栏或Windows开始菜单搜索“Powershell”； 右键单击Powershell...Spooler 除此之外，网络安全和基础设施安全局（CISA）建议管理员“在域控制器和无需打印服务的系统中禁用 Windows Print Spooler 服务”。
前提：自己对安全在行，不需要defender安全通知 思路： 1、提权禁止Defender计划任务 参考https://cloud.tencent.com/developer/article/2285183...提权到TrustedInstaller AdvancedRun.exe /Clear /EXEFilename "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe..." /StartDirectory "C:\" /CommandLine "" /RunAs 4 /Run 会打开一个提权后的powershell窗口，在那个窗口里执行这几句powershell（需要公网...-file C:\2024-1-17forbid_taskschd.ps1 2、在安全模式修改C:\ProgramData\Microsoft\Windows Defender\的权限后禁用安全相关9.../v Start reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MpsSvc" /v Start 3、注册表干预取消安全通知
用户帐户控制或 UAC（EXE、COM、MSI 或 ActiveX 安装的提升） PowerShell（脚本、交互使用和动态代码评估） Windows 脚本解析器（wscript.exe 和 cscript.exe...这样，就可以在决定继续执行之前安全地确定脚本是否是恶意的。 即使脚本是在运行时生成的，也是如此。脚本（恶意或其他）可能会经过多次去混淆。但您最终需要为脚本引擎提供简单、未混淆的代码。...AMSI 的工作原理 当用户执行脚本或启动 PowerShell 时，AMSI.dll 被注入进程内存空间。在执行之前， 防病毒软件使用以下两个 API 来扫描缓冲区和字符串以查找恶意软件的迹象。...Office 应用程序会通知用户，并关闭应用程序会话以避免任何进一步的损害。这可以阻止攻击，保护设备和用户。...Office 365 AMSI 用户配置 > 管理模板 > Microsoft Office 2016 > 安全设置 1.对所有文档禁用：如果对所有文档禁用该功能，则不会对启用的宏执行运行时扫描。
image.png 3、手工 启动 cloudbase-init 服务看看是否有相关报错，如果有报错需要解决（特别关注是否安装相关安全软件拦截cloudbase-init执行的相关操作）。...image.png 4、打开“注册表”搜索并找到全部的“LocalScriptsPlugin”，确认其值是否为2，如果不是则改为2，如下图所示： image.png 5、确认 CD-ROM 的加载是否被禁用...如果禁用了CD-ROM 这些所有的操作都会失败，为了保证虚拟机正常的使用建议引导用户不要禁用CD-ROM。...解决方案： 卸载对应的安全软件， 或者在安全软件里面对 cloudbase-init 服务的相关操作加白。...Powershell 执行策略，导致powershell无法正常执行，从而重置密码失败 ** 解决方案 ** 需要用户自行修改密码，此种情况下暂时无法支持。
cloudbase-init是否可以禁用或删除？...cloudbase-init服务或改动它、不要禁用光驱，不要删除光驱盘符，如果有安全软件，可能会拦截cloudbase-init，因为cloudbase-init通过python起作用，安全软件可能会认为这是风险项...cloudbase-init很重要，cloudbase-init用户是否可以删除？...cloudbase-init，否则，安全软件会拦截cloudbase-init，导致cloudbase-init相关的功能异常，比如重置密码失败，即便在安全软件里放行，也应当分别在cmd命令行和powershell...命令行执行net user Administrator "密码" 好几次，确保安全软件不拦截才可以；由于cloudbase-init本身是python源码，是通过cmd.exe和powershell.exe
Tips : 在设计上服务器核心中没有桌面,虽然维护支持传统的业务应用程序和基于角色的工作负荷所需的功能，但服务器核心没有传统的桌面界面。...但默认情况下Windows Server 2019将外部远程桌面访问设置为禁用作为安全措施，我们可以轻松地从PowerShell中启用它。...它会加密客户端与服务器之间的所有流量，从而遏止窃听、连接劫持和其他攻击, SSH 是基于客户端-服务器体系结构，用户在其中工作的系统是客户端，所管理的远程系统是服务器， 其包含一系列组件和工具，用于提供一种安全且简单的远程系统管理方法...OpenSSH 提供了工具来帮助支持此用途，具体如下： ssh-keygen ，用于生成安全的密钥 ssh-agent 和 ssh-add ，用于安全地存储私钥 scp 和 sftp ，在首次使用服务器时安全地复制公钥文件...为了实现此目的请使用 ssh-agent 来将私钥安全地存储在与你的 Windows 登录关联的 Windows 安全上下文中。
“网络访问: 本地账户的共享和安全模式”应设为“经典-本地用户以自己的身份验证” 4、wmiexec 使用VBS脚本调用WMI来模拟psexec的功能，基本上psexec能用的地方，这个脚本也能够使用。...条件： 启动WMI服务，开放135端口 本地安全策略的“网络访问: 本地账户的共享和安全模式”应设为“经典-本地用户以自己的身份验证” 5、powershell remoting 实现在目标主机远程执行程序后...，可对目标主机开放powershell remoting，用作远程连接 条件： 远程连接会有痕迹 本机要开启winRM服务 命令汇总： 列出所有远程信任主机 powershell Get-Item WSMan...，判断WMI服务被禁用 ?...，判断WMI服务被禁用 ?
Windows事件日志中的攻击，如SIEM解决方案和日志收集器。...收集日志：用户可以手动收集CSV和EVTX格式的日志，或者使用本文后面讨论的powershell脚本来自动提取所需的日志。...检测Exchange Web服务利用，例如（CVE-2020-0688） 使用安全日志检测密码喷雾攻击 使用安全日志检测通过哈希攻击 使用安全日志检测可疑的枚举用户或组的尝试 使用Powershell...远程计算机进行检测 使用安全日志使用Net命令检测用户创建 使用安全日志检测在可疑位置运行的进程 使用安全日志使用令牌提升检测特权提升 使用安全日志检测可运行的可执行文件 使用安全日志检测可疑的Powershell...使用安全日志检测系统审核策略更改 使用安全日志检测计划的任务创建 使用安全日志检测计划的任务删除 使用安全日志检测计划的任务更新 使用安全日志检测启用的计划任务 使用安全日志检测禁用的计划任务 检测Windows
关于MAAD-AF MAAD-AF是一款针对开源云安全的测试工具，该工具旨在通过执行各种攻击方法来帮助广大研究人员测试M365和Azure AD的安全性。...MAAD-AF为安全从业者提供了易于使用的攻击模块，以利用M365和Azure AD环境中的各种错误配置以及安全问题。 MAAD-AF旨在使云安全测试变得简单、快速和有效。...通过其几乎无需设置和易于使用的交互式攻击模块，安全团队可以轻松快速地测试其安全控制、检测和响应能力。...） 工具使用 该工具的使用非常简单，“即插即用”。...首先，我们需要以管理员权限运行PowerShell，然后切换到本地的MAAD-AF目录中： cd /MAAD-AF 然后使用下列命令运行MAAD_Attack.ps1脚本即可： .
负责决定是否允许运行脚本的函数称为AmsiScanBuffer。『2』 例如，PowerShell将在每次要评估任何PowerShell脚本时调用此函数。...v2可用，就用它 如果Powershell v2不可用，我们需要手动禁用AMSI来绕过 如果没有绕过方法，就使用混淆 请务必注意，所有已知的绕过都是基于AMSIDLL已加载到用户空间的 关于混淆： 这里有一些简单的...该项目能够绕过PowerShell的所有保护机制，即脚本块日志，模块日志记录，转录和AMSI。...使用CLRProfilerAPI，Invisi-Shell可以始终将输入长度属性覆盖为0，从而钩住.NET程序集『10』并禁用任何类型的保护机制。...出现的PowerShell终端将禁用所有保护机制。
禁用Windows事件日志记录，是最常规红队手法，为了减少可用于安全人员检测和审核的数据量，提高红队活动的隐蔽性，红队人员可以禁用Windows事件日志记录。...实操 1.使用Wevtutil命令清除事件日志 Wevtutil是一个系统工具，可以查找事件日志和发布者的详细信息，也可以使用此命令来安装和卸载事件清单，导出，归档和清除日志，是一个及其好用的系统日志管理工具...Powershell清除事件日志 另一种方法是使用PowerShell清除日志。...上面的命令将从系统和安全性内部清除所有日志。...6.Metasploit 在Metasploit会话中，可以从事件查看器中清除应用程序，安全性和系统日志。
火绒安全软件（个人版、企业版）已经推送补丁，建议受影响的用户尽快进行修复。 ?...一、【影响范围】 该漏洞影响的版本只有Win10的1903和1909两个版本（包括32位、64位Windows，包括家用版、专业版、企业版、教育版），其他系统不受影响（包括WinXP、Win7）。...（不同版本对应火绒补丁号） 个人用户在可以在软件“安全工具”中，下载“漏洞修复”工具，点击“开始扫描”即可。 ? 企业用户管理员可通过“管理中心”-“漏洞修复”派发策略，统一扫描、修复终端漏洞。...（3）内网等不便安装更新的用户，可以使用微软官方给出的临时防御措施，停用 SMBv3 中的压缩功能： 管理员身份打开powershell（键盘Windows+X，选择Windows powershell...\Parameters" DisableCompression -Type DWORD -Value 0 -Force （2）如何校验禁用/恢复命令成功 管理员身份打开powershell，复制以下命令运行
耗费了不少心血在server2016-2022和win10、win11上对比实践。...言归正传，介绍如何通过安全模式和提权彻底干掉Defender 0、配置自动登录在vnc操作会方便一些 CMD命令行 reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft...，如果安全模式还不行，那就等后面文件夹和注册表提权后再执行一遍。...怪不得右下角老推送安全通知说安全中心未打开，干脆鼠标点击关闭所有安全通知 结合上面2个图，可以确定WpnService跟User Profile Service密切相关。...反正目前就遇到了上面列的那些服务，干脆禁用掉遇到的这些服务再重启机器试试。
然而，当被黑客、网络犯罪分子和其他恶意行为者使用时，它们可以使恶意软件融入正常的网络流量，规避传统的安全机制，同时留下很少的痕迹。...鉴于PowerShell的性质，它通常被列入白名单，而攻击者恰好能利用这一点来逃避防病毒软件的安全检测。 有什么防御措施? 限制其使用是最直接的办法，或将可能被滥用的命令解释程序列入黑名单。...这两种措施都能够提高安全性，但必然会影响其他系统功能。 另外，则可以通过使用PowerShell本身来触发脚本中的命令和参数，以此来检测该脚本中是否含有恶意命令或参数。...另外，POS机恶意软件还使用远程桌面来进行端点的非法访问。 有什么防御措施? 首先，如果不需要，请禁用或限制使用远程桌面。其次，使用高强度密码来防止其遭到暴力破解或词典攻击。...禁用SMB v1及其相关协议和端口是最直接的办法。 如果在工作场所使用SMB，则需要更新到最新版本，使用不需要和过时的协议只会扩大系统的攻击面。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
