分类目录归档：网络安全

对 Mirai 病毒的初步分析——物联网安全形式严峻

发表评论

前几天，半个美国的吃瓜群众纷纷表示上不了网了。经过各种调查，发现是一个代号为 Mirai（日语：未来）的病毒感染了物联网设备，形成了一个僵尸网络，最终这个超大型的僵尸网络向美国某 DNS 公司的服务器发起了 DDoS 攻击。Mirai 的 C 语言源码在网上很容易获取到，刚好我最近在上计算机病毒课，于是就下载下来研究了一下，顺便看一下以自己现在的能力可以理解到哪一步。

下载下来之后粗略看了一下，第一感觉就是作者的代码风格真的是超级好！不光代码格式很赞（虽说大括号放到了下一行），而且变量名、文件名都很有目的性，重要的地方都写了注释或者打了 log，因此分析起来还是相对比较简单的。

目录结构

Mirai 源码目录结构是这样的：

Mirai_Source_Code
├─loader           # 加载器
│  ├─bins          # 一部分二进制文件
│  └─src           # 加载器的源码
│      └─headers
└─mirai            # 病毒本体
    ├─bot          # 攻击、扫描器、域名解析等模块
    ├─cnc          # 使用 go 语言写的服务器程序
    └─tools        # 存活状态检测、加解密、下载文件等功能

继续阅读 →

靶场收集

发表评论

1、HackaZon

HackaZon 是一个免费的WEB渗透测试练习环境，他是由rapid7开发的，也就是metasploit的所在的公司。 由于应用包括基于REST的接口，AJAX功能和移动客户端（JSON，XML，GWT，AMF），用户需要的最新应用安全测试工具和技术来发现所有的漏洞

详情参考：http://www.92aq.com/2016/01/19/hackazon-web-pentest.html

下载地址：https://github.com/rapid7/hackazon

2、Damn Vulnerable Router

Damn Vulnerable Router是一款基于Openwrt(一款嵌入式linux发行版)的漏洞练习环境，我们也见过多个漏洞练习环境，比如表哥之前发的HackAzon,但是这些东西都是面向web的，在现在这个到处都宣扬智能化的时代，越来越多的路由器也做的越来越强大，越来越智能，所以就需要这么一款路由器的靶场程序，来让广大的安全爱好者来学习openwrt的漏洞的挖掘。

详情参考：http://www.92aq.com/2016/01/20/damn-vulnerable-router.html

下载地址：https://github.com/praetorian-inc/DVRF

3、wooyun靶场

集合了wooyun上经典的漏洞

详情参考：http://zone.wooyun.org/content/14460

下载地址：http://sourceforge.net/projects/dvwa-wooyun/

4、dvwa

下载地址：https://github.com/RandomStorm/DVWA

各类Ddos防护经验

发表评论

本人从事网络安全行业20年。有15年防ddos攻击防护经验。被骗了很多回（都说能防300G，500G，买完就防不住了），本文当然重点给大家说明，ddos攻击是什么，中小企业如何防护，用到成本等。

2004年记得是，晚上我带着螺丝刀，晚上2点去机房维护，有ddos攻击，被警察当贼了，汗，那时华夏黑客同盟天天有攻击，远程连接不上得去机房，机房也不知道ddos是什么只知道流量大，一句话，你中病毒了。电信通机房惠普大厦机房。

继续阅读 →

关于ssp后门的一些补充

发表评论

之前在乌云转载了三好学生的这篇文章，详细讲述了什么是SSP(Security Support Provider) 以及如何使用 mimilib.dll&注册表 来维持域控权限。这里再记录一下如何使用mimikatz的ssp注入lsass进程来实现记录密码的目的（重启失效）

1

这个新注入的ssp可以记录计算机账户密码，运行服务凭据和登陆的任何账户

在非域环境下测试，生成的密码记录文件默认位置在 system32\mimilsa.log

2

防御方法：

监控cmd和powershell在域控上的运行

 

域渗透——Hook PasswordChangeNotify

发表评论

0x00 前言

在之前的文章中介绍了两种维持域控权限的方法——SSP和Skeleton Key，这两种方法均需要借助Mimikatz来实现，或多或少存在一些不足，所以这次接着介绍一个更加隐蔽且不需要使用Mimikatz的后门方法——Hook PasswordChangeNotify.

0x01 简介

Hook PasswordChangeNotify这个概念最早是在2013年9月15日由clymb3r提出，通过Hook PasswordChangeNotify拦截修改的帐户密码。

需要了解的相关背景知识如下：

继续阅读 →

域渗透——Skeleton Key

发表评论

0x00 前言

上篇介绍了利用SSP来维持域控权限，美中不足在于其需要域控重启才能生效，而在众多的域渗透方法中，当然存在不需要域控重启即能生效的方法，所以这次就介绍其中的一个方法——Skeleton Key

0x01 简介

  • Skeleton Key被安装在64位的域控服务器上
  • 支持Windows Server2003—Windows Server2012 R2
  • 能够让所有域用户使用同一个万能密码进行登录
  • 现有的所有域用户使用原密码仍能继续登录
  • 重启后失效
  • Mimikatz(Version 2.0 alpha,20150107)支持 Skeleton Key

继续阅读 →

域渗透——Security Support Provider

发表评论

0x00 前言

在之前的文章中介绍了一些域环境中的渗透方法和技巧，所以这次接着介绍一个用来维持域控权限的方法——SSP.

1

0x01 简介

SSP：

Security Support Provider，直译为安全支持提供者，又名Security Package.

简单的理解为SSP就是一个DLL，用来实现身份认证，例如：

继续阅读 →

从活动目录获取域管理员权限的各种姿势

发表评论
作者：Sean Metcalf
原文：Attack Methods for Gaining Domain Admin Rights in Active Directory
译：乌云–修码的马修 

0x00 前言

对于一个攻击者来说，有很多方法能在活动目录中获得域管理员权限。这篇文章旨在介绍一些当下比较流行的方法，这里介绍的方法都基于一个前提——攻击者已经获得内网中一台（或几台）机器的权限并且获得了普通域用户的账户。

继续阅读 →

Powershell 提权框架-Powerup

发表评论

0x00 简介

通常，在Windows下面我们可以通过内核漏洞来提升权限，但是，我们常常会碰到所处服务器通过内核漏洞提权是行不通的，这个时候，我们就需要通过脆弱的Windows服务提权，比如我们替换掉服务所依赖的DLL文件，当服务重启时，加载我们替换的DLL文件从而完成比如添加管理员账号的操作。或者通过常见的Mssql，Mysql等服务，通过其继承的系统权限来完成提权等等，而今天我将介绍一个非常实用的Powershell框架-Powerup，此框架可以在内核提权行不通的时候，帮助我们寻找服务器脆弱点进而通过脆弱点实现提权的目的。

继续阅读 →