网上有很多安装gitlab的方法，这里推荐使用docker安装，真的超级超级方便。 这里有一篇文章 docker安装配置gitlab详细过程 https://www.cnblogs.com/zuxing/articles/9329152.html 这里就不细说了。毕竟重点不是说怎么安装gitlab哈哈哈。
xHunt活动从2018年7月份一直活跃至今，这个组织的主要目标针对的是科威特政府和航运运输组织。近期研究人员发现，xHunt的攻击者又攻击了科威特一家机构的Microsoft Exchange服务器。虽然我们无法确认攻击者是如何入侵这台Exchange服务器的，但是根据此次事件相关的计划任务创建时间戳，我们发现攻击者早在2019年8月22日之前就已经能够访问这台Exchange服务器了。在此活动中，攻击者使用了两个后门，一个是TriFive，另一个是Snugy的变种版本（这是一个Web Shell，我们称之为BumbleBee）。
近期，火绒监测到“LemonDuck”（柠檬鸭）蠕虫病毒感染量正在持续增加。该病毒入侵用户电脑后，会执行挖矿模块，同时还会通过多种方式在网络中进行横向传播。该病毒在2019年被首次发现，至今依然在不断扩大其影响范围。火绒安全软件（个人版、企业版）可查杀该病毒。
钓鱼攻击是网络犯罪团伙常用的一种手段，很多勒索病毒都曾使用邮件钓鱼的方式欺骗受害者打开相应的附件，运行恶意样本，导致受害者被勒索加密，钓鱼邮件攻击也是APT攻击的常用手段之一，如果收到陌生的邮件，千万不要随便点击附件链接或打开邮件附件中的文件。
该系列文章将系统整理和深入学习系统安全、逆向分析和恶意代码检测，文章会更加聚焦，更加系统，更加深入，也是作者的慢慢成长史。漫漫长征路，偏向虎山行。享受过程，一起加油~
前文分享了Windows基础，包括系统目录、服务、端口、注册表黑客常用的DOS命令及批处理powershell。这篇文章将详细讲解PowerShell和PowerSploit脚本攻击，进一步结合MSF漏洞利用来实现脚本攻击和防御。希望这篇文章对您有帮助，更希望帮助更多安全攻防或红蓝对抗的初学者，且看且珍惜。本文参考徐焱老师的《Web安全攻防渗透测试实战指南》著作，谢公子博客，并结合作者之前的博客和经验进行总结。
思科Talos安全团队最近发现一款Powershell恶意程序，用DNS进行双向通信。 前言 DNS是企业网络中最常用的Internet应用层协议。DNS提供域名解析，这样用户就可以通过域名而非IP地址来访问网络资源。许多企业会严格监控web流量，但对基于DNS的威胁的防护就比较少。攻击者也注意到了这点，经常将其他协议封装进DNS协议中来躲避安全监测。 攻击者利用DNS协议一般都是要获取信息。思科Talos团队最近分析了一个很有趣的恶意程序样本，利用DNS TXT记录查询和响应来创建双向的C2通道。攻击者可
Kerberos是一种支持票证身份验证的安全协议。如果客户端计算机身份验证请求包含有效的用户凭据和服务主体名称 (SPN)，则 Kerberos 身份验证服务器将授予一个票证以响应该请求。然后，客户端计算机使用该票证来访问网络资源。在内部网络中，SPN扫描通过 查询向域控制器执行服务发现。这对于红队而言，可以帮助他们识别正在运行重要服务的主机，如终端、交换机、微软SQL等，并隐藏他们。此外，SPN的识别也是kerberoasting攻击的第一步。
根据“火绒威胁情报系统”监测，近日，火绒工程师发现多起黑客入侵企业服务器后下载并执行后门病毒的威胁事件。目前，火绒相关防护功能可拦截该攻击，并能扫描查杀该后门病毒。但同时，我们通过排查相关威胁信息发现，上述后门病毒从去年8月份开始，影响范围明显扩大，不排除后续黑客还会尝试其它渗透方式达到入侵的目的。
在野的Powershell恶意脚本总是经过多重混淆、加密，直接静态分析难以得知脚本具体有什么恶意行为，所以需要对其进行动态调试。目前最常用的Powershell调试器是ISE，但ISE没有较友好的调试窗口，使得调试脚本时效率低下，下面，将介绍使用VSCode实现远程调试Powershell脚本，帮助你提升解密分析Powershell恶意脚本的效率。
描述: PowerShell 之父 Jeffrey Snover在加入微软之前是搞Linux的, PowerShell 是构建于 .NET 上基于任务的命令行 shell 和脚本语言,在PowerShell里随处看到Linux Shell的影子如ls, wget, curl 等。但PowerShell绝对不是shell的简单升级。 PowerShell 可帮助系统管理员和高级用户快速自动执行用于管理操作系统（Linux、macOS 和 Windows）和流程的任务, 其实可以看做是C#的简化版本还与PHP语言有相似之处(语法)，与我们可以采用ISE 集成脚本环境进行PS脚本编写;
Server等服务启动cmd.exe来执行powershell脚本，最终下载运行上述后门病毒程序。而该后门病毒疑似为Quasar
新的cmdlet、操作符和变量，再加上诸如脚本调试以及后台任务这样的新功能，PowerShell 2.0将帮助你开启PowerShell脚本编程的新世界。 如果你希望发挥PowerShell脚本编程的强大功能，但是又发现学习它的难度很大的话，那么PowerShell 2.0或许就是你开始上手的最好选择。计划于2009年下半年发布的PowerShell 2.0为PowerShell的语言和开发体验加入了许多重要的新特性，让它变得更易于使用，同时也改进了许多PowerShell 1.0所存在的缺陷
在使用Windows系统时，C盘空间爆满是许多用户经常遇到的问题。尽管通过传统方法（如清理临时文件、卸载不必要的软件等）可以在一定程度上缓解这个问题，但有时候，这些常规手段似乎对于某些特殊情况无能为力。特别是对于频繁使用Docker的开发人员来说，巨大的日志文件往往是隐藏的罪魁祸首。
PowerShell是一种基于任务的命令行shell和脚本语言，构建于.NET之上，通常用于管理基于Microsoft Windows的操作系统的技术（Linux和MacOS也可以使用）。Windows PowerShell的内置命令为cmdlets，用户可以使用其管理计算机，其具有完整的用户开发的脚本语言和丰富的表达式解析程序。
在应急响应的过程中，客户反馈防火墙AF报告客户服务器僵尸网络警告，服务器试图解析恶意域名msupdate.info。于是客户使用360，火绒剑等杀毒软件均没有发现异常现象。于是求助我，遂有此文章。
上一篇文章讲解了Powershell通过交互环境运行命令的相关知识，今天给大家介绍实际工作当中使用最频繁的方式——通过脚本运行，简单来说就是和咱们实际编写代码一样，先编写代码，然后通过开发工具执行。同样的为了实现PowerShell脚本的保存、方面在别的服务器迁移，一般都是先编写脚本，然后通过脚本文件执行完成相应的运维任务。
DSRM（目录服务恢复模式，目录服务恢复模式）是Windows域环境中域控制器的安全模式启动选项。每个域控制器占用一个本地账户账户（也就是DSRM账户）。DSRM的用途是：允许管理员在域环境中出现故障或崩溃时还原、修复、重建活动目录数据库，使环境的运行恢复正常。修改方法。修改DSRM密码的基本原理是在DC上运行ntdsutil命令行工具。在渗透测试中，可以使用DSRM域对域环境进行持久化操作。如果域控制器的系统版本为Windows Server 2008，需要安装KB961320才可以使用指定域账号的密码对DSRM的密码进行同步。在Windows Server 2008以后版本的系统中无需安装此补丁方法。如果域控制器的系统版本为Windows Server 2003则不能进行使用我们知道，域控制器本地管理员和密码（与管理员账号和密码不同）。DSRM 帐号可以作为一个域控制器的本地管理品用户，通过网络连接控制器，驯服控制域控制器。
各位FreeBuf观众的姥爷大家好，我是艾登——皮尔斯(玩看门狗时候注册的ID)，最近安全圈好不热闹，北京时间9月20日“杭州公安”官微发布了“杭州警方通报打击涉网违法犯罪暨’净网2019’专项行动战果”推文，该“后门”无法被杀毒软件扫描删除，并且藏匿于软件某功能性代码中，极难被发现具有免杀性质。严重的威胁到了互联网的空间安全，让大量的互联网网名的个人隐私信息遭到存在大面积泄露的风险，这篇文章分为图文教程和视频教程(文章末尾)。
该资源清单列表涵盖了一系列，适用于渗透测试不同阶段的开源/商业工具。如果你想为此列表添加贡献，欢迎你向我发送pull request。
Kubernetes jobs主要是针对短时和批量的工作负载。它是为了结束而运行的，而不是像deployment、replicasets、replication controllers和DaemonSets等其他对象那样持续运行。
F5研究员发现了一种新型Apache Struts 漏洞利用。这种恶意行动利用NSA EternalBlue 和 EternalSynergy两种漏洞，运行于多个平台，目标为内部网络。 研究人员将其命名为“Zealot”，因为其zip文件中包含有NSA所发布的python脚本。随着研究的深入，此文章会进一步更新，目前我们所知道的有： 新型Apache Struts 目标为Windows和Linux系统 Zealot的攻击复杂，多平台，且及其模糊 Zealot利用的服务器均有以下两种漏洞 CVE-2017
最简单的方法，本帖里很多朋友也说了，组策略批处理给客户端运行，生成IP，计算机名，用户名到一个共享盘上的txt文件。
使用PSSession连接Exchange服务器管理邮件 导出邮件 导出所有用户的所有邮件 导出指定用户的所有邮件 筛选导出邮件 导出请求记录 使用powershell脚本导出邮件 导出指定用户的所有邮件 导出所有用户的所有邮件 搜索邮件 搜索邮件的常用命令 使用powershell脚本搜索 在Exchange服务器上直接管理邮件 导出邮件 导出所有用户的所有邮件 导出指定用户的所有邮件 使用powershell脚本导出邮件 搜索邮件 搜索邮件的常用命令 使用powershell脚本搜索
2020年10月1日，DHS CISA发布了SlothfulMedia恶意软件家族信息；2018年6月，研究人员基于未知家庭恶意软件样本中的字符串发，布了名为IAmTheKing家族的第一份报告。
利用burp编码爆破Basic Authorization认证、smb连接的多种方法、windows用户的NTLM值破解方法、evil-winrm的运用、windows主机信息收集工具、msf运行powershell脚本、远程运行powershell脚本、PrintNightmare漏洞提权等多个知识点。
关于“离地攻击”至今没有一个权威的定义。但是被广泛接受的“离地攻击”通常是指利用系统中已存在或比较易于安装的二进制文件来执行后渗透活动的攻击策略。说白了就是攻击过程不“落地”。
本文档概述了如何在生成服务器上使用 .NET SDK 及其工具。 .NET 工具集既能以交互方式运行（当开发人员在命令提示符处键入命令时），也可以自动运行（当持续集成 (CI) 服务器运行生成脚本时）。 命令、选项、输入和输出都相同，可通过提供的唯一内容来获取用于生成应用的工具和系统。 本文档重点介绍了 CI 工具获取方案，并提供了有关如何设计和构建生成脚本的建议。
在渗透测试过程中·Windows日志往往会记录系统上的敏感操作,如添加用户, 远程登录, 执行命令等, 攻击者通常会对Windows日志进行清除和绕过。
0x00 过渡 之前提到当在执行powershell脚本时，由于默认策略的缘故，是会报错的，因此也出现了几种逃过的情况： 本地权限绕过：PowerShell.exe -ExecutionPolicy Bypass -File xxx.ps1，此外还可以通过本地隐藏权限进行绕过：PowerShell.exe -ExecutionPolicy Bypass -NoLogo –NonInteractive -NoProfile -WindowStyle Hidden -File xxx.ps1 IEX下载
虽然说PowerShell也是在dotNET体系内，凡是dotNET语言可以完成的，它也几乎可以同样完成，但完成的代价可能不一，有些部分可能没有使用其他语言如C#等语言来得方便好用。 同样地PowerShell作为一门定位于帮助运维人员实现日常工作自动化的脚本语言，很多方面有其独特的优势所在，虽然用其他语言、工具一样可以完成，但PowerShell完成得更漂亮，更方便快捷。
在上文图形化开放式生信分析系统开发 - 4 生信分析流程的图形化设计 讨论了生信分析pipeline的图形化，如何用图形的方式显示生信pipeline，但是pipeline脚本按照变量的形式保存之后，如何运行，在什么环境下运行？是本文要解决的问题。
Linux与Windows都是十分常见的电脑操作系统，相信你对它们二者都有所了解！在你的使用过程中，是否有什么事让你觉得在Linux上顺理成章，换到Windows上就令你费解？亦或者关于这二者你有任何想要分享的，都可以在这里留下你的看法~ 你可以从以下几个方面进行创作（仅供参考）****
1.是Windows原生的2.可以调用Windows API3.无文件执行命令4.可以逃避Anti-Virus的检测(这个其实现在还比较敏感了)5.被大多数程序加入白名单中，标记为可信的6.有许多开源的渗透工具集
Cobalt Strike是一款渗透测试神器，常被业界人称为CS神器。Cobalt Strike已经不再使用MSF而是作为单独的平台使用，它分为客户端与服务端，服务端是一个，客户端可以有多个，可被团队进行分布式协团操作。 Cobalt Strike集成了端口转发、扫描多模式端口Listener、Windows exe程序生成、Windows dll动态链接库生成、java程序生成、office宏代码生成，包括站点克隆获取浏览器的相关信息等。
PowerShell 脚本执行策略用于控制何时以及何种方式执行 PowerShell 脚本。通过执行策略可以限制 PowerShell 脚本的执行范围，为系统管理员提供一定的安全保障。策略可以限制执行脚本的用户、限制执行脚本的来源等等。这些策略可以在计算机本地或组策略中进行配置。最终保护计算机免受恶意脚本和非法操作的侵害。
三步一岗，五步一哨，让你在内网中无计可施，麻麻再也不用担心我的内网了！ 现状 这几年来，蜜罐技术一直被人津津乐道，各种各样的蜜罐是层出不穷，开源的，商业的，低交互式，高交互式等等不一而足，具体如何评估各种蜜罐可以参考《开源蜜罐测评报告》一文。蜜网是在蜜罐技术上逐渐发展起来的一个新的概念，又可称为诱捕网络。 蜜网技术实质上仍是一种蜜罐技术，是一种对攻击者进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务以及信息，诱使攻击者对他们进行攻击，减少对实际系统所造成的安全威胁。但与传统的蜜罐技术的差异在于，蜜网构成
本文通过对高度安全环境中，渗透入侵完成后，传统的基于Web和DNS管理控制目标系统不可行条件下，利用企业网页邮箱系统进行命令控制（C&C）和数据窃取（Exfiltration）的一种思路分享探讨。 假设场景 我们假设目标企业组织内设置了这样一种安全措施： 内部用户工作站电脑不能直接连接互联网，只能通过其中架设的代理服务器执行外部Web请求和DNS查询，而且代理服务器又设置了流量监控功能，由其产生的HTTP和DNS请求流量都能被监测发现。 由于从某种程度上来说，代理服务器“打破”了内部用户机与外部服务器
在企业内部时常有服务启停的需求，有时是因为在进行故障排除时需要对某些服务进行启停；有时是因为这些服务在线时间长了容易发生异常，需要定期进行启停；有时是因为需要进行更新包的投产发布，需要进行服务的启停。
关于MrKaplan MrKaplan是一款功能强大的红队安全研究工具，该工具可以帮助广大红队研究人员清理和隐藏活动中的代码执行痕迹。该工具可以通过保存文件运行时间、存储文件快照等信息来辅助红队活动，并将所有的取证信息与相关用户关联起来。 功能介绍 1、关闭系统事件日志记录功能； 2、清理文件和代码组件； 3、清理注册表； 4、支持多用户运行； 5、支持以普通用户或管理员身份运行（建议以管理员权限运行）； 6、支持保存文件时间戳； 7、支持排除指定操作，并将组件留给蓝队人员。 工具下载 该工具本质
注：通过任务管理器查看CPU较高使用率和多个PowerShell.exe进程，能初步判断机器中了此木马，查看其计划任务有随机名，调用PwoerShell确定木马病毒存在。
在企业的IT环境中，密码管理是日常运维工作的一项基本任务。通常，修改用户密码需要管理员权限，但在特定的场景下，可能需要允许普通用户修改其他用户的密码。本文将介绍一个独特的PowerShell脚本解决方案，该方案通过普通用户凭据远程登录服务器，并成功修改了其他用户的密码。
概念 Powershell 是运行在windows机器上实现系统和应用程序管理自动化的命令行脚本环境。你可以把它看成是命令行提示符cmd.exe的扩充，不对，应当是颠覆。 powershell需要.NET环境的支持，同时支持.NET对象。微软之所以将Powershell 定位为Power，并不是夸大其词，因为它完全支持对象，面向对象的便捷可想而知了。其可读性，易用性都非常的完美。 在运维windows 服务器的时候，其作用是非常大的。简洁高效等等。这里我简单用一个我应用的地方来展示一下。 背景
本篇不会介绍Nuget是什么，如何打包上传Nuget包，怎么搭建私有Nuget服务器。这些问题园子里都有相应的文章分享，这里不做过多阐述。另外本文假设你已经下载了Nuget.exe，并且已经设置好了环境变量。什么？你还不会？那你先去百度下设置好后再来看这篇文章吧。nuget下载
将调度行为抽象形成“调度中心”公共平台，而平台自身并不承担业务逻辑，“调度中心”负责发起调度请求。
在渗透测试期间，可以利用域管权限对域内用户hash进行导出和破解。这些域内用户hash存储在域控制器（NTDS.DIT）中的数据库文件中，并带有一些其他信息，如组成员身份和用户。
PowerShell一直是网络攻防对抗中关注的热点技术，其具备的无文件特性、LotL特性以及良好的易用性使其广泛使用于各类攻击场景。为了捕获利用PowerShell的攻击行为，越来越多的安全从业人员使用PowerShell事件日志进行日志分析，提取Post-Exploitation等攻击记录，进行企业安全的监测预警、分析溯源及取证工作。随之而来，如何躲避事件日志记录成为攻防博弈的重要一环，围绕PowerShell事件查看器不断改善的安全特性，攻击者利用多种技巧与方法破坏PowerShell日志工具自身数据，以及事件记录的完整性。今年10月份微软发布补丁的CVE-2018-8415正是再次突破PowerShell事件查看器记录的又一方法，本文将细数PowerShell各大版本的日志功能安全特性，及针对其版本的攻击手段，品析攻防博弈中的攻击思路与技巧。
这本书是关于如何利用命令行做数据科学的。我的目标是通过教你使用命令行的力量，让自己成为一名更高效和多产的数据科学家。
Windows快捷方式包含对系统上安装的软件或文件位置（网络或本地）的引用。自从恶意软件出现之初，便已将快捷方式用作执行恶意代码以实现持久性的一种方法。快捷方式的文件扩展名是.LNK，它为红队提供了很多机会来执行各种格式的代码（exe，vbs，Powershell，scriptlet等）或窃取NTLM哈希值。更隐蔽的方法是修改现有合法快捷方式的属性，但是生成具有不同特征的快捷方式可以为代码执行提供灵活性。
领取专属 10元无门槛券
手把手带您无忧上云
