添加完内存马后在控制台打印的内容
在JVM中，同一个类是允许被javaagent动态修改多次的。而且在java中，在retransform方法被调用的时候，jvm会将类的字节码作为参数传递给用户的Transform转换类。
在这里有一个大坑，也就是在调用retransformClass方法的时候参数中的字节码并不是调用redefineClass后被修改的类的字节码。对于冰蝎来讲，我们根本无法获取被冰鞋修改后类的字节码，这一点才是冰蝎最骚的地方。
我们自己写javaagent清除内存马的时候，同样也是无法获取到被redefineClass修改后的字节码，只能获取到被retransformClass修改后的字节码。通过javaassist等asm工具获取到类的字节码，也只是读取磁盘上响应类的字节码，而不是jvm中的字节码。这也就是我说清除容易，检测难的缘由。/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在JVM中，同一个类是允许被javaagent动态修改多次的。而且在java中，在retransform方法被调用的时候，jvm会将类的字节码作为参数传递给用户的Transform转换类。
在这里有一个大坑，也就是在调用retransformClass方法的时候参数中的字节码并不是调用redefineClass后被修改的类的字节码。对于冰蝎来讲，我们根本无法获取被冰鞋修改后类的字节码，这一点才是冰蝎最骚的地方。
我们自己写javaagent清除内存马的时候，同样也是无法获取到被redefineClass修改后的字节码，只能获取到被retransformClass修改后的字节码。通过javaassist等asm工具获取到类的字节码，也只是读取磁盘上响应类的字节码，而不是jvm中的字节码。这也就是我说清除容易，检测难的缘由。/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
DIE扫出来是一个flutter架构的apk，考虑用blutter来反编译
我之前在ubuntu上配置成功过，后来因为虚拟机坏了全删了。重新配置时kali、ubuntu
网络问题（要全局代理），缺少编译环境
cmake相关的报错就是缺少环境，一定要检查VS这个模块有没有安装
环境配置成功之后就快乐启动
得到输出，利用里面的文件可以恢复符号表，把addName的脚本跑一遍
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
我之前在ubuntu上配置成功过，后来因为虚拟机坏了全删了。重新配置时kali、ubuntu
网络问题（要全局代理），缺少编译环境
cmake相关的报错就是缺少环境，一定要检查VS这个模块有没有安装
环境配置成功之后就快乐启动
得到输出，利用里面的文件可以恢复符号表，把addName的脚本跑一遍
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤2🔥1
SQL注入
在产品中心发现有一个搜索框
看到源码，没有发现有过滤字符，这里采用之前开启的mysql日志，通过日志文件的sql语句判断是否有过滤。
直接输入单引号发现该cms返回500报错，很有可能存在sql注入。
于是使用两个单引号''使得系统不抛出异常，然后查看日志文件中发现sql语句没有过滤单引号，说明注入确实存在。
/common/down路由中的file方法，直接获取http请求中的filekey参数，并且没有过滤../等关键字符。fileKey的值和PathKit.getWebRootPath()函数的返回值拼接。然后fileKey其实就是http中的参数。
该路由不在前台，只能通过白盒的方式去进行，但是后续通过github上的fuzz字典发现也可以fuzz得到但是fuzz发包数量巨大不作为参考。但是日后如果实在挖不出洞，可以考虑多fuzz一下，也许就出货了也说不准。这里用的字典较大，其实可以考虑小一些的字典，算是个人的一些挖洞经验吧。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在产品中心发现有一个搜索框
看到源码，没有发现有过滤字符，这里采用之前开启的mysql日志，通过日志文件的sql语句判断是否有过滤。
直接输入单引号发现该cms返回500报错，很有可能存在sql注入。
于是使用两个单引号''使得系统不抛出异常，然后查看日志文件中发现sql语句没有过滤单引号，说明注入确实存在。
/common/down路由中的file方法，直接获取http请求中的filekey参数，并且没有过滤../等关键字符。fileKey的值和PathKit.getWebRootPath()函数的返回值拼接。然后fileKey其实就是http中的参数。
该路由不在前台，只能通过白盒的方式去进行，但是后续通过github上的fuzz字典发现也可以fuzz得到但是fuzz发包数量巨大不作为参考。但是日后如果实在挖不出洞，可以考虑多fuzz一下，也许就出货了也说不准。这里用的字典较大，其实可以考虑小一些的字典，算是个人的一些挖洞经验吧。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
CS上线
1、因为有杀软，我们要考虑绕过，直接上传CS木马肯定是不行的，本次绕过的是潮汐shellcode免杀，因为很多github上利用python打包的exe文件太大，上传很慢，而潮汐shellcode免杀文件较小，上传快。
2、CS先生成c语言的shellcode
3、将shellcode内容复制到潮汐网站上，生成的exe上传到目标机器，然后执行命令
C:\\usr\\desarrollo\\jboss-5.1.0.GA\\server\\sigAmeServer\\deploy\\ROOT.war\\TideAv-Go1-2023
4、CS成功上线
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
1、因为有杀软，我们要考虑绕过，直接上传CS木马肯定是不行的，本次绕过的是潮汐shellcode免杀，因为很多github上利用python打包的exe文件太大，上传很慢，而潮汐shellcode免杀文件较小，上传快。
2、CS先生成c语言的shellcode
3、将shellcode内容复制到潮汐网站上，生成的exe上传到目标机器，然后执行命令
C:\\usr\\desarrollo\\jboss-5.1.0.GA\\server\\sigAmeServer\\deploy\\ROOT.war\\TideAv-Go1-2023
4、CS成功上线
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
持久化操作从初始阶段脚本转移到Anondoor
在之前捕获的孔子攻击样本中，持久化通常是在初始脚本中进行的，比如在LNK脚本中写入自启动注册表项，或者在远程下载脚本中写入注册表项。
woopersteler作为组件使用，通过anondoor参数传入通信地址
捕获样本最终下载的组件是wooperstealer，但是该组件本身没有服务器地址，是在上一阶段（anondoor）加载过程中传入的。
下载器升级为组件化后门
攻击者升级了之前使用的下载器，增加了后续payload下载地址的服务端分发逻辑，并添加了多个后门功能。所有功能都需要通过从服务端下载相应组件来实现。更多细节请参考后续分析。
第一个是LNK文件，Lnk参数里的脚本会下载多个文件，其中“python313.dll”是anondoor，“BlueAle.exe”是一个白名单文件（其实是python官方程序“pythonw.exe”）。“BlueAle.exe”运行时会加载并运行anondoor。
2.1 持久性
将BlueAle.exe写入名为“SystemCheck”的计划任务
2.2 系统信息收集
获取主机系统版本、本地IP、主机名、公网IP和IP位置，并将获取到的信息与uhhg$!!$拼接后发送给服务器
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在之前捕获的孔子攻击样本中，持久化通常是在初始脚本中进行的，比如在LNK脚本中写入自启动注册表项，或者在远程下载脚本中写入注册表项。
woopersteler作为组件使用，通过anondoor参数传入通信地址
捕获样本最终下载的组件是wooperstealer，但是该组件本身没有服务器地址，是在上一阶段（anondoor）加载过程中传入的。
下载器升级为组件化后门
攻击者升级了之前使用的下载器，增加了后续payload下载地址的服务端分发逻辑，并添加了多个后门功能。所有功能都需要通过从服务端下载相应组件来实现。更多细节请参考后续分析。
第一个是LNK文件，Lnk参数里的脚本会下载多个文件，其中“python313.dll”是anondoor，“BlueAle.exe”是一个白名单文件（其实是python官方程序“pythonw.exe”）。“BlueAle.exe”运行时会加载并运行anondoor。
2.1 持久性
将BlueAle.exe写入名为“SystemCheck”的计划任务
2.2 系统信息收集
获取主机系统版本、本地IP、主机名、公网IP和IP位置，并将获取到的信息与uhhg$!!$拼接后发送给服务器
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
tar2db.py源码解析
核心功能FIRMADYNE的tar2db.py主要承担固件元数据与数据库的桥梁作用。其核心任务可归纳为两方面。首先是对固件包进行深度解析，提取文件哈希、权限属性及符号链接等关键元数据。其次是实现与数据库的高效交互，通过智能去重和批量操作机制，将解析结果持久化存储。这种设计既能确保数据完整性，又能显著降低存储冗余。
手动修复tar2db.py文件中存在的Bug
FIRMADYNE的tar2db.py主要工作:1.解析tar文件中的文件成员，计算常规文件MD5哈希值，记录符号连接信息2.将获取到的所有数据统一存储到数据库，将解析结果持久化存储
代码存在一些bug，多次运行可能会出现，这个错误是因为数据库中已经存在相同的记录导致的唯一约束冲突。
首先在 insertObjectToImage 函数中添加冲突处理
在使用前清理旧数据,创建QEMU镜像脚本
创建QEMU镜像脚本,会在scratch/id目录下有个run.sh脚本
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
核心功能FIRMADYNE的tar2db.py主要承担固件元数据与数据库的桥梁作用。其核心任务可归纳为两方面。首先是对固件包进行深度解析，提取文件哈希、权限属性及符号链接等关键元数据。其次是实现与数据库的高效交互，通过智能去重和批量操作机制，将解析结果持久化存储。这种设计既能确保数据完整性，又能显著降低存储冗余。
手动修复tar2db.py文件中存在的Bug
FIRMADYNE的tar2db.py主要工作:1.解析tar文件中的文件成员，计算常规文件MD5哈希值，记录符号连接信息2.将获取到的所有数据统一存储到数据库，将解析结果持久化存储
代码存在一些bug，多次运行可能会出现，这个错误是因为数据库中已经存在相同的记录导致的唯一约束冲突。
首先在 insertObjectToImage 函数中添加冲突处理
在使用前清理旧数据,创建QEMU镜像脚本
创建QEMU镜像脚本,会在scratch/id目录下有个run.sh脚本
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke