hacker网络技术 Penetration testing 黑客接单/黑客业务/入侵改分,改单/逆向破解/外挂/渗透业务咨询： @heikeshentou7799 3 days

— 让搜索更高效 · 让信息更有价值 — 🔍帮你找到有趣的群组、频道、视频、音乐、电影、新闻 📢: @CJYQNEWS | 🤖: @CJYQ 👇点击下方按钮，进行搜索👇

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 让搜索更高效 · 让信息更有价值 — 🔍帮你找到有趣的群组、频道、视频、音乐、电影、新闻 📢: @CJYQNEWS | 🤖: @CJYQ 👇点击下方按钮，进行搜索👇

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 专业索引工具 · 整合海量信息资源 — 索引机器 @SUOBOT｜@SYJQ 专业的信息索引与搜索平台，能帮你快速发现、重要资讯，出海推广营销助手！telegram频道、群组、视频等内容收录检索。

— 让搜索更高效 · 让信息更有价值 — 🔍帮你找到有趣的群组、频道、视频、音乐、电影、新闻 📢: @CJYQNEWS | 🤖: @CJYQ 👇点击下方按钮，进行搜索👇

[photo]

If the target we want to test has at least one server action, we can find at least one legitimate Next-Action header in the page source code or data packet: Put this hex string in the Next-Action header, and you can use application/x-www-form-urlencoded to send the data packet: 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

[photo]

也就是说除了首页那个列表和eventlog以外所有命令下发的回显和交互都是在AES里传递数据的，因此只要我们能看到的界面数据可以控制，就可以进行XSS攻击！这里我通过frada脚本来hook win api修改tasklist返回的进程名，将进程名改写成攻击payload，当攻击者点击beacon执行列出进程时，只要他浏览到带有payload的进程名，就会执行RCE！ 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

[photo]

[photo]

要使这种攻击效果更加明显，请求的资源要尽量大比如我这里的测试图片test.png，其大小为4M多。如果目标网站没有这么大的资源，但若其支持 http—pipelining的话，可以采用在同一连接中多次请求同一资源的方法来增大返回内容。从捕获的数据包中可以看出，当请求test.png资源时，客户端 window size被刻意设置为1120字节。客户端缓冲区在被来自服务的数据填满后，发出了[TCP ZeroWindow]告警，迫使服务端等待。从交互开始到断开，单个连接耗费了14秒。 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

远程摄像头，被控管理，短信记录，位置查看，需要破解的可以咨询 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

下面是AFNetworking某个漏洞版本的ARM指令，不同版本会有一定差异，所以还是需要对比多个不同版本，提取通用的检测规则（单纯检测下图标红的ARM指令会误报）。除此之外，还要对比修复版本的代码，避免误报 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

如果当前的数据既不是HLL_SPARSE_IS_ZERO也不是HLL_SPARSE_IS_XZERO会进入 HLL_DENSE_SET_REGISTER函数，在进入HLL_DENSE_SET_REGISTER函数之前有一个判断这个idx是否越界。 runlen和idx都是一个 int 类型的变量， ，而 idx 的值可以在HLL_SPARSE_IS_ZERO条件HLL_SPARSE_IS_ZERO下语句中累加而成。 我们可以通过构造HLL数据，让idx不断累加成一个负数。 然后在HLL_DENSE_SET_REGISTER函数中就会发生越界 接单黑客业务/入侵改分|改单/逆向破解/外挂/渗透业务技术 ：@heikeshentou7799

[photo]

安全信息和事件管理 (SIEM) 系统是监控和检测威胁的强大工具，能够识别组织基础设施中几乎任何环节各个阶段的攻击。然而，如果配置和操作不当，它可能会失效甚至完全失效，同时仍然消耗大量资源。因此，定期审核 SIEM 系统的组件、设置、检测规则和数据源至关重要。 如果安全运营中心 (SOC) 负荷过重或无法独立识别其安全信息和事件管理 (SIEM) 系统的运行问题，我们为卡巴斯基 SIEM 平台用户提供运行评估服务。评估完成后，我们会提供一系列建议，以解决我们发现的问题。需要说明的是，这些建议并非严格的指令，而是旨在指出需要关注和分析的领域，以提升产品性能、提高威胁检测准确率并实现更高效的 SIEM 使用。

[photo]

Turla是一个活跃了十多年的网络间谍组织。它入侵了世界各地的许多政府机构，特别是外交机构，并运营着一个庞大的恶意软件库，我们在过去几年中对此进行了 详细描述 。 归于 Turla 在研究过程中，我们发现 2016 年的 Crutch 投放器与Gazer之间存在密切联系。Gazer，又名 WhiteBear，是 Turla 在 2016-2017 年使用的第二阶段后门。我们的分析基于 SHA-1 值为A010D5449D29A1916827FDB443E3C84C405CB2A5的 Crutch 投放器和 SHA-1 值为1AE4775EFF21FB59708E8C2B55967CD24840C8D9的 Gazer 投放器。我们发现了以下相似之处： 这两个样本均在同一台机器的C:\Intel\~intel_upd.exe目录下放置，间隔五天。 这两个样本都会释放包含各种恶意软件组件的 CAB 文件。

[photo]

加载器使用相同的 RC4 密钥解密其有效载荷： E8 8E 77 7E C7 80 8E E7 CE CE CE C6 C6 CE C6 68 鉴于这些因素，并且已知 Turla 恶意软件家族不会在不同组织之间共享，我们认为 Crutch 是 Turla 武器库中的一种恶意软件家族。 另一个有趣的发现是，FatDuke 和 Crutch 同时存在于同一台机器上。FatDuke 是一个三阶段后门，我们在“幽灵行动”报告中将其归因于 Dukes/APT29 组织。然而，我们没有任何证据表明这两个恶意软件家族之间存在交互。有可能这两个组织各自独立地入侵了同一台机器。 Hacker Services/Grade Modification/Order Modification/Reverse Hacking/Plugins/Penetration Testing Consultation: @heikeshentou7799

[photo]

spring web（或者tomcat）默认使用commons-fileupload来处理文件上传的数据包，而在上传的数据超过一定阈值时会将上传的数据从内存中缓存到临时文件，在commons-fileupload的 Builder 类的构造方法中定义了一个缓冲区大小DiskFileItemFactory.DEFAULT_THRESHOLD（10240b） 而上传的数据超过这个缓冲区大小后，就会被缓存到磁盘中，但不确定文件路径，DiskFileItem类中的代码实现： 可以知道PathUtils.getTempDirectory获取了一个临时目录（实际测试中使用springweb临时目录在/tmp下的tomcat的work目录中），并且拼接了一个UID值和getUniqueId()，UID是类被初始化后就固定的一个随机UUID

[photo]

临时文件位置随机，无法直接获取 首先是第一个问题，重点在于请求结束自动删除，那我们能不能想个办法让这个请求永远不结束呢？当然是可以的，我们从HTTP包特性入手，通过开发思维思考一下，如果请求头指定的长度设置一个很大的值，并且发起请求时实际的大小远远小于这个值，且客户端不主动断开连接，服务器是不是就应该一直等待剩余的部分完成传输（当然，可能会设置超时机制）。 直接启动一个springweb进行测试，这个springweb项目不需要有任何的控制器和路由，按照我们的思路，可以写出这样的用于产生临时文件的脚本： 但是经过测试，临时文件依然被自动删除，即使客户端没有主动断开连接。这是因为虽然请求头指示的长度还没有接收完成，但是--xxxxxxxx--已经告诉服务器这个multipart包已经结束了，因此将最后一个结束标志的--去除，变成

[photo]

当然，在我们分析heapdump的时间里面，可能已经触发了超时机制，连接被强制断开并删除临时文件了。但是我们可以预判下一个临时文件的名字，只需要修改 /tmp/{tomcat_path}/work/Tomcat/localhost/ROOT/upload_{UID}_{UniqueId}.tmp 中的UniqueId + 1即可。因此，在有heapdump泄露的情况下，假设/jdbc接受url参数进行连接，我们可以通过以下payload完成反序列化攻击，将[[unser_payload_hex]]修改为自己生成的恶意序列化数据即可：

By analyzing this code block, we can see that if the requested route is in the form of /browse/book/{%}, the server will directly insert the content of the incoming reset parameter into the redirect variable, and then use lxml functions to directly concatenate this variable into HTML and JavaScript code. The JavaScript code mentions window.location.href = '...', and the user-controllable rest parameters are not filtered, cleaned, or escaped before being inserted. If the parameter contains double quotes, it will close the string, and the subsequent content will be executed as code, thus leading to an XSS vulnerability. Hacker Services/Grade Modification/Order Modification/Reverse Hacking/Plugins/Penetration Testing Consultation: @zhxbnth

We can directly use file functions such as is_dir and file_exist. They are located in the path: source code/Fms/Control/Admin/Api.php. In fact, many functions have triggers for phar deserialization. For hacking services/invading to change scores/change orders/reverse engineering/cheating/penetration testing consultations: @zhxbnth

[photo]

[photo]

The detele_files() function requires importing helper(['filesystem']); Idea: Trigger the helper('filesystem') to introduce the delete_files() class by calling new Publisher through any property of MemcachedHandler Analysis First, let's look at the important methods (simplified) Publisher _construct method() _destruct() method wipeDirectory method During deserialization, objects are not created. No matter where new appears in the serialization, it only tells the parser that the new position needs to replace the type object's property. Deserialization principle: create an empty object and import property values (essentially, property replacement) For hacker business/order acceptance/intrusion modification|order modification/reverse engineering/crack/cheat/penetration business consultation: @zhxbnth

[photo]

[photo]

[photo]

Implemented the unlink file deletion function, with the path structure: $this->path->$key->$this->prefix $key is passed in from outside. For easier control, we directly let the external $key be the file deletion path. Both path and prefix can be empty. At the same time, When looking for the POP chain, infinite nesting is needed, one object nested inside another. Classes that can be used generally have namespaces. Our first step is to find the destruct method and observe it: controllable variables and methods. The second step: 1. Based on the method, globally search for classes that implement it; 2. Specify the number and types of parameters for the method, and globally find classes that need to use the __call magic method for analysis. Third step, nesting to find the ability to trigger our target function (RCE, any file deletion, any file writing, etc.) Accepting hacker jobs / intrusion modification | modification / reverse engineering / cheating / penetration business consultation: @zhxbnth

[photo]

The RCE caused by deserialization leading to pollution of classes and attributes is roughly explained in the author's description of the vulnerability principle. This vulnerability bypasses Deepdiff's deserialization restrictions, including bypassing magic methods and whitelist bypass. Through magic methods, it can access other modules, classes, and instances, and use this arbitrary attribute writing to ultimately cause RCE. Next, I will analyze this vulnerability combined with the PoC and code. Order hacking services / intrusion score modification | modification / reverse engineering / cheating / penetration service consultation: @zhxbnth

In the following code, the program will first remove the delta objects from the queue; if there are multiple, it will iterate through them, then perform the + operation. When performing the + operation, it actually calls the add method in the class. In this method, we mainly look at self._do_attribute_added(). In self._do_attribute_added(), it obtains the contents of attribute_added, and then dynamically adds attributes and values to the class based on the key-value pairs in its content. Here, attribute_added is still the dictionary we passed in, but its content has been deserialized. The key code of _do_item_added() is shown in the figure. Order hacking services / intrusion score modification | order modification / reverse engineering / cheating / penetration business consultation: @zhxbnth