备案控制台

关键词

Active APT

在过去的几个月里，Gamaredon 使用了许多不同的编程语言，从 C# 到 VBScript、批处理文件和 C/C++。 VBScript 使用 Document.AttachedTemplate 属性将远程模板的引用注入现有文档此 VBScript 模块还打包在一个自解压存档中，包含一个批处理文件和两个 VBS 文件，这些文件窃取程序还可以从 C&C 服务器下载和执行任意代码。与 Gamaredon 小组使用的许多其他工具一样，它们有四种不同的编码语言：C/C++、C#、批处理文件和 VBScript。 C# 后门线程创建例程批处理文件/VBScript 此版本包含多个脚本，以批处理文件形式和 VBScript 编写。但是，最终目标是相同的：扫描系统以查找敏感文档。当然不可能知道这些错误或疏忽背后的确切原因，但该小组生产的样本量及其快速发展可以解释这一点。

630 0

Internet Explorer漏洞分析(三)——CVE-2014-6332

-2014-6332漏洞的分析入手详细的阐述漏洞的成因以及如何去利用该漏洞4.本篇文章十分适合漏洞安全研究人员进行交流学习5.若文章中存在说得不清楚或者错误的地方欢迎师傅到公众号后台留言中指出感激不尽 CRetailMalloc_Alloc函数用于为HeapAlloc传递参数并调用之： ? 图10 由于申请空间远远超过可分配空间大小，故分配失败，直接跳转到函数末返回错误值： ? ，扩大数组规模，直至数组aa与ab于内存中相邻(准确来说，二者相差8字节)： ? 图23 但其仍存储的是vbscript!CScriptEntryPoint对象，其后赋值给i。On Error Resume Next在此处尤为重要，是否加入该语句执行情况对比： ? 图35 该地址为vbscript!COleScript对象： ? 图36 通过循环于该对象偏移0x120之后搜寻0x0E，该值用于检查是否处于SafeMode： ?

2112 0

广告

什么是世界上最好的编程语言？丨云托管征文活动

代金券、腾讯视频VIP、QQ音乐VIP、QB、公仔等奖励等你来拿！

您找到你想要的搜索结果了吗？

是的

没有找到

编程语言傻傻分不清：弱类型、强类型、动态类型、静态类型

使用数据之前，必须先声明数据类型（int ,float,double等）。相当于使用之前，首先要为它们分配好内存空间。 ABAP/SQL/JavaScript/Unix Shell等注意：强类型定义语言在速度上可能略逊色于弱类型定义语言，但是强类型定义语言带来的严谨性能够有效的避免许多错误。出错后继续执行，但可能出现任意行为。如C里的缓冲区溢出、Jump到错误地址 Forbidden Behaviours 语言设计时，可以定义一组forbidden behaviors. 误区大家觉得C语言要写int a, int b之类的，Python不用写(可以直接写a, b)，所以C是静态，Python是动态。这么理解是不够准确的。譬如Ocaml是静态类型的，但是也可以不用明确地写出来。。

1.8K1 0

深入剖析最新IE0day漏洞

URL Moniker被用来加载IE漏洞使用CVE-2017-0199漏洞，Word尝试根据其属性，通过默认的文件处理程序，来执行文件;服务器响应中的Content-Type (内容类型)HTTP头是其中之一由于这一操作使得攻击者不能直接执行有效负载，就像HTA处理程序一样，需要利用Internet Explorer漏洞来克服这一点。它检查是否指向tagSafeArray结构的指针不是NULL，以及它的引用计数，存储在时钟字段中的是零，然后继续调用ReleaseResources。 ? 在本例中，VBScriptClass::Release被调用来正确地破坏对象，并且处理像Class_Terminate这样的破坏者，因为ArrA(1)的VARTYPE是VT_DISPATCH。 ? 总结在本文中，我们分析了CVE-2018-8174背后的核心原因，Use-After-Free是一个特别有趣的漏洞，这可能是由于在Class_Terminate VBScript方法中错误的对象周期处理造成的

4392 0

Nebula漏洞利用包CVE-2016-0189漏洞利用分析

然而这些分析报告，并未提供在内存层面的技术细节，使得读者总有种知其然，不知其所以然的感觉。本文试图利用windbg来分析漏洞利用时的内存布局，使得读者对该漏洞利用有更深刻的理解。 2. 当访问数组元素时，VBScript引擎会调用 AccessArray 函数来计算元素的存放地址。试着用windbg 调试如下代码, 在vbscript!AccessArray处下断点: ? ? CVE-2016-0189 漏洞利用深入分析 Nebula EK的漏洞利用在越界访问的基础上实现了： 1.泄漏VBScript对象的地址 2.读取任意地址 3.写入任意地址（受限）这3种手段在实现原理上都是类似的而48 c2 1b 01 四个字节则作为字符串内容的地址来处理。读取该字符串的内容则获取了 48 c2 1b 01 地址里存放的内容。最后我们看一下写入任意地址（受限）的情形。 ? ElevationPolicy中定义了静默加载，比如notepad.exe)，向用户询问是否允许。

5376 0

Internet Explorer漏洞分析(三)——VBScript Scripting Engine初探

数据类型，数组，VarType函数，LenB函数详细分析，并介绍VBS脚本调试技巧4.本篇文章十分适合漏洞安全研究人员进行交流学习5.若文章中存在说得不清楚或者错误的地方欢迎师傅到公众号后台留言中指出图10 为数组元素赋值则直接将该元素所在内存偏移传递给vbscript!AssignVar： ? 图11 ---- 下面来看看二维数组(Dim stu_name(2,3))创建过程： ? 图15 而在重新定义时加上Preserve关键字用于保留之前元素： Dim MyArray()ReDim MyArray(3)MyArray(0) = "A"MyArray(1) = "B"MyArray 图19 在调试时可借助这两个函数以确定变量值或内存位置。 0x04 VarType函数 <! 图21 GetVarType函数调用PvarGetVarVal——判断类型值是否为0x4A或0x0C： ? 图22 之后与0x09进行比较，若不是则直接返回对象进而获取vt值： ?

1851 0

Vbs脚本编程简明教程

—错误处理引发错误的原因有很多，例如用户输入了错误类型的值，或者脚本找不到必需的文件、目录或者驱动器，我们可以使用循环技术来处理错误，但是VBS本身也提供了一些基本技术来进行错误的检测和处理。在vbs中，任何运行时错误都是致命的，此时，脚本将停止运行，并在屏幕上显示一个错误消息。 2、虽然On Error Resume Next语句可以防止vbs脚本在发生错误时停止运行，但是它并不能真正处理错误，要处理错误，你需要在脚本中增加一些语句，用来检查错误条件并在错误发生时处理它。 FileExits：确定一个文件是否存在 FolderExists：确定某文件夹是否存在 GetAbsolutePathName：返回一个文件夹或文件的绝对路径 GetBaseName：返回一个文件或文件夹的基本路径一般情况霞，我把这个特殊的集合想象为数组，可以使用其中内建的函数完成存储和操纵数据等基本任务，无须担心数据是在哪些行列，而是使用唯一的键进行访问或者是一个只能运行在内存中的数据库，并只有两个字段分别是：

4.3K4 1

APT分析报告：04.Kraken新型无文件APT攻击利用Windows错误报告服务逃避检测

这篇文章将介绍一种新型无文件APT攻击Kraken，它会利用Windows错误报告服务逃避检测。其中，DllMain函数反分析检查，以确保它不在分析/沙箱环境或调试器中运行非常值得我们学习。该文档包含一个恶意宏，该宏使用CactusTorch VBA模块的修改版，通过使用VBScript将.Net编译的二进制文件加载到内存中来执行，以进行无文件攻击。这个报告服务是WerFault.exe，通常发生在与操作系统、Windows函数或应用程序相关的错误时调用。在应用程序崩溃时，它仍然会执行未处理的异常处理程序，但是该处理程序会向WER服务发送消息，并且服务会启动WER错误报告进程以显示错误报告对话框。 (3) IsProcessorFeaturePresent 此API调用用于确定是否支持指定的处理器特性。

1073 0

脚本创建相关

Tree View的好处是使用户更方便地修改脚本，Tree View支持拖拽，用户可以把任意一个节点拖拽到他想要的地方，从而达到修改脚本的目的。错误分析：所选择的录制脚本模式不正确，通常情况下，基于浏览器的Web应用会使用“HTML-based script”模式来录制脚本；而没有基于浏览器的Web应用、Web应用中包含了与服务器进行交互的Java 1xx：指示信息--表示请求已接收，继续处理 2xx：成功--表示请求已被成功接收、理解、接受 3xx：重定向--要完成请求必须进行更进一步的操作 4xx：客户端错误--请求有语法错误或请求无法实现 5xx 如果被测的Web 应用没有使用自定义的错误页面，那么这里不用作更改；如果被测的Web 应用使用了自定义的错误页面，那么这里需要定义，以便让VuGen 在运行过程中检测，服务器返回的页面是否包含预定义的字符串，进而判断该页面是否为错误页面。

2732 0

CVE-2018-8174双杀漏洞分析复现及防御

该漏洞在当时影响最新版本的IE浏览器以及使用了IE内核的应用程序。用户在浏览网页或者打开Office文档的时候都可能中招。微软在4月20号也确认了此漏洞，并在5月8号发布了官方补丁。并且可以通过p2操作p1,那么如果再次使用p1，则可以通过p2修改程序功能等目的。p1就叫做悬垂指针，UAF会造成内存破坏的原因就是使用了悬垂指针。我们来看看错误的地方： 2.2 验证在IDA里面查看过 VBScriptClass::Release 的伪代码，以及上面的调试后，我们猜测在脚本中的重载的析构函数中，Set array_b(0)= ：此漏洞就是存在于release 函数中，如果在自定义的脚本中重载了析构函数，在这个函数中操作了类的引用计数（UAF），而release函数不能正确的判断类的引用计数造成而去析构了这个类，但是仍然指向这个类的指针就变成了悬垂指针 StartExploit 中确认一下是否正确 UAF InitObjects vb_adrr=LeakVBAddr() IsEmpty(vb_adrr) //确认IsEmpty的值在 IsEmpty

3882 0

JavaScript学习笔记（一）——JS基础知识介绍

DOM的级别： 1级：基本的节点操作一级里都包括了 2级：增加了对样式表，文档显示，事件处理，等的支持 3级：可以用javascript加载和保存文档，检查文档错误 JavaScript与HTML HTML ，这个语句段可以被当作一个整体来引用和执行： 1）函数由关键字function定义（也可由Function构造函数构造）； 2）使用function关键字定义的函数在一个作用域内是可以在任意处调用的（包括定义函数的语句前）；而用var关键字定义的必须定义后才能被调用； 3）函数名是调用函数时引用的名称，它对大小写是敏感的，调用函数时不可写错函数名； 4）参数表示传递给函数使用或操作的值，它可以是常量，也可以是变量，也可以是函数绝大部分事都由用户的动作所引发，如：用户按鼠标的按钮，就产生click事件，若鼠标的指针的链接上移动，就产生mouseover事件等等。在Javascript中，事件往往与事件处理程序配套使用。而对事件的处理，W3C的方法是用addEventListener()函数，它有三个参数：事件、引发的函数、是否使用事件捕捉。

3782 0

asp连接access，增删改查

都是些基础或者了解下的东西。用到自己搜吧。 ---- 1、首先呢，使用脚本VBScript。Firefox不支持，只能使用IE了。由于需要调试，查看服务器出错等信息。 “设置”-》“Internet选项”-》“高级”-》取消“显示友好http错误消息” 这样就有可能看到，服务器错误信息。还需要设置下服务器。在“编译”-》“调试属性”-》“将错误发送到浏览器”属性改为“True” 这样浏览器就不会只是显示，“http 500 服务器内部错误”。而是显示具体的错误信息。 3、错误信息 ADODB.Connection 错误 '800a0e7a' 未找到提供程序。该程序可能未正确安装。 /index.asp，行 4 查找得知，是 win7,8 x64的原因。在服务器。

3231 0

在Windows中劫持DLL

：使用一个恶意的DLL来代替合法应用程序尝试加载的丢失/不存在的DLL DLL重定向：通过编辑改变，其中DLL被搜索的位置，例如%PATH%环境变量，或.exe.manifest/.exe.local文件旁边的用户可写文件夹中，在使用方式上，它与(签名)二进制代理执行有相似之处，这的一种变体是(带有某种逻辑上学上的称呼)"bring your own LOLbin"，其中合法应用程序带有恶意DLL(而不是从受害者计算机上的合法位置复制用户帐户控制(UAC)作为一种安全功能在WindowsVista中引入，在以正常权限运行的进程提升到更高权限之前，通过提示请求用户确认，在用户抱怨在执行任意任务时会出现大量的UAC提示之后，Microsoft 但是攻击者仍然可以被利用的合法/受信任应用程序的旧版本，因此，即使每个应用程序从现在开始在加载它们之前开始检查其DLL，我们仍然必须处理此问题。，这里可以找到一个示例Sigma规则——它成功地检测到我们的DLL劫持，尽管正如您所看到的，它的伸缩性不是很好，很可能会出现误报，您可以采用一种更通用的方法，通过查找在意外位置是否存在Microsoft

2441 0

使用WiX制作具有时间限制的安装包

更多信息可以参考：http://wix.sourceforge.net/ 最近研究了一下如何使用WiX制作具有时间限制的安装包，下图是demo的效果图。 ? 选择合适的脚本语言（VBScript or JScript）实现定制操作。 2. 选择合适的实际执行上面的脚本。下面分享我的实现过程： 1. 实现一段检查当前时间是否越界的脚本代码，并将它封装到CustomAction中。使用VBScript比较当前日期和限定日期，小于0表示越界，这时调用WScript想注册表添加坏键。在本文的demo中，我在PrepareDlg之前执行脚本，对于大多数情况而言，这已经是最早的时机了。当然，你也可以选择在AppSearch之前执行。添加Condition用于检查第三步添加的属性是否存在，并在需要的时候弹出错误信息。

4396 0

null 和 undefined

但是，JavaScript的数据类型分成原始类型（primitive）和合成类型（complex）两大类，Brendan Eich觉得表示”无”的值最好不是对象；其次，JavaScript的最初版本没有包括错误处理机制 Object.getPrototypeOf(Object.prototype) // null typeof null // object 如果定义的变量准备在将来用来保存对象，那么最好将该变量初始化为 undefined：错误的用法： if(abc==undefined) // 正如上面所说，js规定用`==` 判断时，null和undefined是等同的正确的用法： if (typeof 测试对象是否存在：在 JavaScript 中,null 用于对象, undefined 用于变量，属性和方法。对象只有被定义才有可能为 null，否则为 undefined。因此，如果我们想测试对象是否存在，必须先检测对象是否已定义。因此，这是错误的： if (abc !== null && typeof abc !

3714 0

41个Web开发者都收藏的实用代码

(division)用来定义大段的页面元素，会产生转行用来定义同一行内的元素，跟

的唯一区别是不产生转行 <layer>是 ns 的标记，ie 不支持，相当于

电子邮件处理提交表单 <form name="form1″ method this.scrollHeight"> </textarea> 日期减去天数等于第二个日期 <script language=Javascript> function cc(dd,dadd) { //可以加上错误处理 transition 表示使用哪种特效，取值为 1-23: 0 矩形缩小 1 矩形扩大 2 圆形缩小 3 圆形扩大 4 下到上刷新 5 上到下刷新 6 左到右刷新 7 右到左刷新 8 竖百叶窗 9 横百叶窗 – if(event.keyCode==13) event.keyCode=9; –> </script> 这样的处理方式,可以实现焦点往下移动,但对于按钮也起同样的作用,一般的客户在输入完资料以后,

1033 0

总结收藏的41个JavaScript实用技巧

< div>(division)用来定义大段的页面元素，会产生转行 < span>用来定义同一行内的元素，跟< div>的唯一区别是不产生转行 < layer>是 ns 的标记，ie 不支持，相当于< this.scrollHeight”> < /textarea> 日期减去天数等于第二个日期 < script language=Javascript> function cc(dd,dadd) { //可以加上错误处理回车用客户端脚本在页面添加document 的onkeydown事件,让页面在接受到回车事件后,进行Tab 键的功能,即只要把 event 的 keyCode 由 13 变为 9 这样的处理方式判断是否为 button, 是因为在 HTML 上会有 type=”button” 判断是否为 submit,是因为 HTML 上会有 type=”submit” 判断是否为 reset,是因为 HTML 上的”重置”应该要被执行判断是否为空,是因为对于 HTML 上的”链接”也应该被执行，这种情况发生的情况不多，可以使用”tabindex=-1″的方式来取消链接获得焦点。

3241 0

Microsoft 安全公告摘要（2015 年 10 月）

攻击者也可能在使用 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件，以将用户定向到经特殊设计的网站。如何使用该表？对于您可能需要安装的每个安全更新，使用该表了解安全公告发布 30 天内发生代码执行和拒绝服务漏洞的可能性。根据您的特定配置，检查下面的每个评估，从而确定部署本月更新的优先次序。您应该查看列出的每个软件程序或组件，了解是否需要安装任何安全更新。如果列出了软件程序或组件，则也会列出软件更新的严重等级。注意您可能必须为单个漏洞安装几个安全更新。 Microsoft Baseline Security Analyzer (MBSA) 支持管理员扫描本地和远程系统中缺少的安全更新和常见的安全错误配置。要确定是否可从安全软件供应商处得到活动保护，请访问计划合作伙伴（在 Microsoft Active Protections Program (MAPP) 合作伙伴中列出）提供的活动保护网站。

3427 0

WMI ——重写版

Windows管理规范（WMI）是Microsoft对基于Web的业务管理标准（WBEM），公共信息模型（CIM）和分布式管理任务组（DMTF）的实现。 data queries ，请在实际查询中使用，需要明确的是WQL仅能查询，无法使用 Methods 进行增删改等操作。 TotalPhysicalMemory < 2147483648 SELECT * FROM Win32_ComputerSystem WHERE NumberOfLogicalProcessors < 2 可通过内存与处理器的数量来判断是否为，当前机器大概率是Vmware 的 VM/Sandbox 在Powershell 中是这样的：后面不在啰嗦，只要理解这个类的查询逻辑，就很容易理解命令， Get-WmiObject 本质上也是使用了适用Process Explorer监控发现calc.exe进程在启动之后，自动结束进程，目前稳定性尚未明确，如果使用来上线，做好进程迁移。

5011 0

网页制作的中的一些工具代码

怎样通过asp的手段来检查来访者是否用了代理 <% if Request.ServerVariables("HTTP_X_FORWARDED_FOR")<>"" then response.write Const adLockOptimistic = 3 '只有在调用Update方法时才锁定记录集，而在此前的其他操作仍可对当前记录进行更改、插入和删除等 Const adLockBatchOptimistic = 4 '当编辑时记录不会被锁定，而更改、插入和删除是在批处理方式下完成的 Const adCmdText = &H0001 Const adCmdTable = &H0002 %> 18.

(division)用来定义大段的页面元素，会产生转行用来定义同一行内的元素，跟

的唯一区别是不产生转行 <layer>是ns的标记，ie不支持，相当于

让弹出窗口总是在最上面日期减去天数等于第二个日期 <script language=javascript> function cc(dd,dadd) { //可以加上错误处理 var a = new Date(dd) a =

1822 0

点击加载更多

相关产品

云服务器
云端获取和启用云服务器，并实时扩展或缩减云计算资源。云服务器支持按实际使用的资源计费，可以为您节约计算成本。腾讯云服务器（CVM）为您提供安全可靠的弹性云计算服务。只需几分钟，您就可以在云端获取和启用云服务器，并实时扩展或缩减云计算资源。云服务器支持按实际使用的资源计费，可以为您节约计算成本。

HOT100%CPU性能，云服务器1核2G首年60元，还有多款热门云产品满足您的上云需求！

相关资讯

热门标签