由于 Windows 不开源，而 Windows 的某一项服务可能受多个配置项影响，所以很多研究员通过逆向的方式，分析服务调用过程，推测执行流程，例如
通过“计划任务”来实现渗透测试是过去十年中最流行的技术之一，而且该技术也是目前网络安全研究人员在实现持久化和横向移动时说普遍使用的。
近日，火绒安全团队截获蠕虫病毒“MinerGuard”新变种，严重威胁企业用户。该病毒通过网络服务器漏洞以及暴力破解服务器的方式迅速传播，并且可跨平台（Windows、linux）交叉感染。病毒入侵电脑后，会释放挖矿病毒挖取门罗币。此外，病毒作者可随时通过远程服务器更新病毒模块，甚至利用以太坊（区块链平台）钱包更新病毒服务器地址。
Windows系统被入侵后，通常会导致系统资源占用过高、异常端口和进程、可疑的账号或文件等，给业务系统带来不稳定等诸多问题。一些病毒木马会随着计算机启动而启动并获取一定的控制权，启动方式多种多样，比如注册表、服务、计划任务等，这些都是需要重点排查的地方。另外，需要重点关注服务器日志信息，并从里面挖掘有价值的信息。
xHunt活动从2018年7月份一直活跃至今，这个组织的主要目标针对的是科威特政府和航运运输组织。近期研究人员发现，xHunt的攻击者又攻击了科威特一家机构的Microsoft Exchange服务器。虽然我们无法确认攻击者是如何入侵这台Exchange服务器的，但是根据此次事件相关的计划任务创建时间戳，我们发现攻击者早在2019年8月22日之前就已经能够访问这台Exchange服务器了。在此活动中，攻击者使用了两个后门，一个是TriFive，另一个是Snugy的变种版本（这是一个Web Shell，我们称之为BumbleBee）。
IPC$ (Internet Process Connection) 是共享“命名管道”的资源，它是为了让进程间通信而开放的命名管道，通过提供可信任的用户名和口令，连接双方可以建立安全的通道并以此通道进行加密数据的交换，从而实现对远程计算机的访问。IPC$是NT2000的一项新功能，它有一个特点，即在同一时间内，两个IP之间只允许建立一个连接。NT2000在提供了 IPC$ 共享功能的同时，在初次安装系统时还打开了默认共享，即所有的逻辑共享(C$、D$、E$……)和系统目录共享(Admin$)。所有的这些初衷都是为了方便管理员的管理。但好的初衷并不一定有好的收效，一些别有用心者会利用IPC$，访问共享资源，导出用户列表，并使用一些字典工具，进行密码探测。
IPC(Internet Process Connection) 共享"命名管道"的资源，是为了实现进程间通信而开发的命名管道。IPC可以通过验证用户名和密码获取相应权限。通过IPC、D、E……)和系统目录共享(Admin)。
在内网渗透中，当攻击者获取到内网某台机器的控制权后，会以被攻陷的主机为跳板，通过收集域内凭证等各种方法，访问域内其他机器，进一步扩大资产范围。通过此类手段，攻击者最终可能获得域控制器的访问权限，甚至完全控制基于Windows操作系统的整个内网环境，控制域环境下的全部机器。
当企业发生黑客入侵、系统崩溃或其它影响业务正常运行的安全事件时，急需第一时间进行处理，使企业的网络信息系统在最短时间内恢复正常工作，进一步查找入侵来源，还原入侵事故过程，同时给出解决方案与防范措施，为企业挽回或减少经济损失。
文章首发与：奇安信攻防社区 https://forum.butian.net/share/2126 前言 在一个阳光明媚的下午和群里的兄弟在吹牛，然后甲方爸爸突然发了一张截图~ 📷 分析与处置 1.立马通知现场的同事先对服务器进行断网 2.此告警为防火墙与EDR联动之后由防火墙推送过来的，查看防火墙上的告警，发现受害主机在每天的0点、8点、14点、16点左右均会访问恶意域名down.b591.com和down.1226bye.pw，初步判断可能是入侵者配置的定时任务触发告📷 3.上机排查系统计划任务，计划任
---------------手动分割线--------------- 使用上面的方法若无权限问题可无碍运行，然在某些做了安全设置的情况下貌似有点走不通，故有了下面的版本
《ZABBIX全栈级监控实践》系列将由浅入深探讨如何实现ZABBIX全栈级别的监控。
如果您的环境中已经有成熟的配置管理工具，可以基于这些工具去实现。本文中所使用的通过组策略的部署方案更适合于没有Windows平台批量配置管理工具的场景。
1.最基本，最常用的，测试物理网络的 ping 192.168.10.88 －t ，参数－t是等待用户去中断测试
一、关机“右击”开始菜单—》关机或注销—》“关机” 或者 “更新并关机”EventID=1074进程：C:\Windows\Explorer.EXE，用户Administrator，关闭电源：其他(计划外)关机类型：关闭电源原因代码：0x0点击”开始菜单—》点击“电源”按钮—》关机EventID=1074进程：C:\Windows\System32\RuntimeBroker.exe，用户Administrator，关闭电源：其他(计划外)关机类型：关闭电源原因代码：0x0通过PowerShell执行sto
forfiles /p "E:\mysql\MySQL BackUp" /m backup_*.sql -d -30 /c "cmd /c del /f @path"
我们宣布可以使用官方的 Windows agent Docker 镜像了，这些镜像允许在 Docker 和 Kubernetes 上使用 Windows 操作系统配置 Jenkins agent。
自Windows Server 2008开始，GPO组策略对象开始支持计划任务，以便于管理域中的计算机和用户。利用组策略的计划任务实现命令执行，在目标不出网的情况下，可以批量帮助我们找到域内出网的机器，并且能帮助我们实现指定OU批量上线。
Windows排障对我来说很简单，毕竟是鼠标操作，而且有那么多小工具辅助排障，非常轻松。本文更偏重通用能力，不仅适用腾讯云，其他云也适用。专对腾讯云的话，推荐我写的一篇腾讯云SDK踩坑、填坑的文档，那个花了我上百个小时，是我10篇云+社区文档的集锦，腾讯云API Explorer工具的基本用法，让你熟练掌握6种SDK的使用。
1. 事件 WannaCry勒索病毒余波未平，如今又出现了更变本加厉的EternalRocks（“永恒之石”）新病毒。永恒之石来势汹汹，利用了之前泄露的NSA武器库中的7个漏洞进行传播，包括SMB漏洞利用（ETERNALBLUE、ETERNALCHAMPION、ETERNALROMANCE、ETERNALSYNERGY）及相关应用程序（DOUBLEPULSAR、ARCHITOUCH和SMBTOUCH）。 永恒之石利用服务器信息块（SMB）共享网络协议中的漏洞，去感染未修复的Windows系统。感染用户电脑后
在获取服务器权限后，通常会用一些后门技术来维持服务器权限，服务器一旦被植入后门，攻击者便如入无人之境。本文将对常见的window服务端自启动后门技术进行解析，知己知彼方能杜绝后门。
检查方法：打开 cmd 窗口，输入lusrmgr.msc命令，查看是否有新增/可疑的账号，如有管理员群组的（Administrators）里的新增账户，如有，请立即禁用或删除掉。
Certutil是Windows自带的命令行工具，用于管理Windows证书并作为证书服务的一部分安装。Certutil提供了从网络中下载文件的功能，测试人员可以在远程主机上执行Certutil命令，控制其下载预先部署在可控服务器上的恶意文件，如攻击载荷等。
这两天大家都在讨论微软开源的事情，作为一名曾经的Java程序员，我已经有十年没有碰到代码了，除了”hello World”那句能通往开发世界的问候语外，我已经不会写任何一行代码，但我还是认为微软开源错过了最佳时机，当年微软就被Java打的满地找牙，Java程序员在找工作上也比.Net高一头，程序员圈子里一直有一个怪象就是搞Java的看不上搞.Net，双方阵营一直在暗自较劲，特别是.Net在一些大型企业商务开发上，由于天生残疾，让很多软件开发商有选择的放弃.NET，.NET也被认为是一只关在笼子里的金丝雀，离
专注是做事成功的关键，是健康心灵的特质。当你与所关注的事物融为一体时，就不会让自己萦绕于焦虑之中。专注与放松，是同一枚硬币的两面而已。一个人对一件事只有专注投入才会带来乐趣。一旦你专注投入进去，它立刻就变得活生生起来。
Stealth Falcon黑客组织，自2012年以来一直活跃，其主要目标是中东的政治活动家和记者。citizen lab机构在2016年发表了一份针对某一网络攻击的分析报告。2019年1月，路透社发表了一份关于“Raven计划”的调查报告，该计划目标与Stealth Falcon相同。根据这两份关于同一目标和攻击的报告可以看出Stealth Falcon和Raven计划实际上是同一个群体。
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如果您对文章内容有疑问，可以尝试加入交流群讨论或留言私信，如有侵权请联系小编处理。
对于多达 13000 个客户端的服务器，建议使用以下硬件： * 4 Core E5-2609 2.1GHz 的处理器 * 8 GB 的 RAM
在应急响应的过程中，客户反馈防火墙AF报告客户服务器僵尸网络警告，服务器试图解析恶意域名msupdate.info。于是客户使用360，火绒剑等杀毒软件均没有发现异常现象。于是求助我，遂有此文章。
登录轻量云控制台的对象存储。点击创建存储桶，输入存储桶名称（例如，palgame2）。注意：一定要选择与轻量应用服务器同样的地域。
幻兽帕鲁无疑是近期的游戏大热门。在幻兽帕鲁中，玩家们可以享受到丰富多样的游戏玩法和无尽的神奇生物收集；玩家在游戏中可以充当赛博资本家，让帕鲁完成战斗、种植、建造等多种人物，体验各种不确定性。 幻兽帕鲁提供了官方服务器，还提供了专用服务器的玩法，吸引了大量玩家采用这种模式自建游戏服务。在游戏过程中，玩家需要定时备份存档，以防各种异常导致坏档、丢档的情况。腾讯云轻量对象存储针对这一场景，提供了存档备份的能力，相比整实例快照备份的能力，简化了备份门槛，减少了备份成本，也方便存档迁移到其他服务器上。 本文讲述如何将Windows服务器数据备份到腾讯云轻量对象存储服务（轻量COS），以及如何恢复数据。服务器间的存档迁移，也可以参考本指南，免去手动拷贝数据，直接使用云端数据同步到本地进行恢复。
没有公网的机器，内网 windows update参考https://cloud.tencent.com/document/product/213/2758
随着网络安全的快速发展，不少的互联网公司都积极的参与到了这个领域，随着《网络安全法》颁布与实施、等保2.0的颁布等为网路安全发展提供了有力的后盾。一个事物的快速发展，也会引起其它不利的事物萌芽。不错，就是网络入侵事件的出现，说白了就是黑产。比如Facebook泄露的8700万用户数据、前程无忧招聘网站求职信息的泄露、华住下多个连锁酒店5亿信息泄露、万豪喜达屋用户信息泄露等。
检查人员应该可以物理接触可疑的系统。因为黑客可能侦测到你可以在检查系统，例如网络监听，所以物理接触会比远程控制更好。
攻击者越来越多的采用云来构建自己的基础设施，这样不仅能够使攻击者以最少的时间或金钱部署攻击基础设施，也能让追踪攻击行动变得更困难。
驱动人生木马在1月24日的基础上再次更新，将攻击组件安装为计划任务、服务并启动。本次手工查杀主要针对该木马。
今天我们看看作为一个黑客对于Windows应该掌握哪些基础知识，主要内容包含以下四个方面：
在本教程中，您将学习如何使用DHCP控制台和PowerShell备份和还原Windows DHCP服务器。
通常情况下，Windows 2000/xp/2003域成员有个w32time时间服务，它会自动与域DC进行时间同步，无需人为干涉，保持域内时间的同步是kerberos认证协议的一个基本要求，也是为了防止重放攻击的一种手段，如果域成员客户机与DC的时间相差太大的话，它的登录将不能成功,从而影响使用。为了达到和DC时间同步，必须进行设置。以下对各种不同的设置方法进行比较分析：
描述:该工具显示在本地或远程机器上当前运行的进程列表，Tasklist 可以替代 TList 工具。 语法参数:
本篇继续阅读学习《内网安全攻防：渗透测试实战指南》，本章系统的介绍了域内横向移动的主要方法，复现并剖析了内网域方面最重要、最经典的漏洞，同时给出了相应的防范方法
收到很多小伙伴的反响，hw面试题很多但是带答案的面试题比较少，在这里红队蓝军整理了一份带部分答案的hw面试题分享给大家。
微软新任CEO Satya Nadella去年上任时，祭出“移动至上，云端优先”（mobile first and cloud first）的新政策，至今抛出了许多新服务与改变，来瞧瞧Nadella上任一年后端出什么样的成果。 新策略1：拉拢百万Android和iOS的App拥抱微软 为了快速扩张App市场，微软不惜化敌为友，让百万Android的App和iOS的App无痛转移到Windows 10 苹果和Google双双透过iOS和Android的App市集稳坐App两大龙头。这次微软决定改采化敌为友
根据遥测数据，Redline Stealer 木马已经日渐流行，覆盖北美洲、南美洲、欧洲和亚洲甚至大洋洲。
更新后的Mykings会在被感染系统安装开源远程控制木马PcShare，对受害电脑进行远程控制：可进行操作文件、服务、注册表、进程、窗口等多种资源，并且可以下载和执行指定的程序。
接收到了上级发来的通知，说内网有服务器中了CS木马，经过排查是在2022年中的CS木马，红队通过钓鱼方式获取到了集团的用户主机权限，通过计划任务开机自启动方式，将Windows白名单程序加载恶意DLL文件实现权限维持与免杀天擎。
当开发者深陷 Java 8 版本之际，这边下一版本 Java 16 有了最新的消息，与 Java 15 一样，作为短期版本，Oracle 仅提供 6 个月的支持。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
