持久化操作从初始阶段脚本转移到Anondoor
在之前捕获的孔子攻击样本中，持久化通常是在初始脚本中进行的，比如在LNK脚本中写入自启动注册表项，或者在远程下载脚本中写入注册表项。
woopersteler作为组件使用，通过anondoor参数传入通信地址
捕获样本最终下载的组件是wooperstealer，但是该组件本身没有服务器地址，是在上一阶段（anondoor）加载过程中传入的。
下载器升级为组件化后门
攻击者升级了之前使用的下载器，增加了后续payload下载地址的服务端分发逻辑，并添加了多个后门功能。所有功能都需要通过从服务端下载相应组件来实现。更多细节请参考后续分析。
第一个是LNK文件，Lnk参数里的脚本会下载多个文件，其中“python313.dll”是anondoor，“BlueAle.exe”是一个白名单文件（其实是python官方程序“pythonw.exe”）。“BlueAle.exe”运行时会加载并运行anondoor。
2.1 持久性
将BlueAle.exe写入名为“SystemCheck”的计划任务
2.2 系统信息收集
获取主机系统版本、本地IP、主机名、公网IP和IP位置，并将获取到的信息与uhhg$!!$拼接后发送给服务器
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在之前捕获的孔子攻击样本中，持久化通常是在初始脚本中进行的，比如在LNK脚本中写入自启动注册表项，或者在远程下载脚本中写入注册表项。
woopersteler作为组件使用，通过anondoor参数传入通信地址
捕获样本最终下载的组件是wooperstealer，但是该组件本身没有服务器地址，是在上一阶段（anondoor）加载过程中传入的。
下载器升级为组件化后门
攻击者升级了之前使用的下载器，增加了后续payload下载地址的服务端分发逻辑，并添加了多个后门功能。所有功能都需要通过从服务端下载相应组件来实现。更多细节请参考后续分析。
第一个是LNK文件，Lnk参数里的脚本会下载多个文件，其中“python313.dll”是anondoor，“BlueAle.exe”是一个白名单文件（其实是python官方程序“pythonw.exe”）。“BlueAle.exe”运行时会加载并运行anondoor。
2.1 持久性
将BlueAle.exe写入名为“SystemCheck”的计划任务
2.2 系统信息收集
获取主机系统版本、本地IP、主机名、公网IP和IP位置，并将获取到的信息与uhhg$!!$拼接后发送给服务器
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
tar2db.py源码解析
核心功能FIRMADYNE的tar2db.py主要承担固件元数据与数据库的桥梁作用。其核心任务可归纳为两方面。首先是对固件包进行深度解析，提取文件哈希、权限属性及符号链接等关键元数据。其次是实现与数据库的高效交互，通过智能去重和批量操作机制，将解析结果持久化存储。这种设计既能确保数据完整性，又能显著降低存储冗余。
手动修复tar2db.py文件中存在的Bug
FIRMADYNE的tar2db.py主要工作:1.解析tar文件中的文件成员，计算常规文件MD5哈希值，记录符号连接信息2.将获取到的所有数据统一存储到数据库，将解析结果持久化存储
代码存在一些bug，多次运行可能会出现，这个错误是因为数据库中已经存在相同的记录导致的唯一约束冲突。
首先在 insertObjectToImage 函数中添加冲突处理
在使用前清理旧数据,创建QEMU镜像脚本
创建QEMU镜像脚本,会在scratch/id目录下有个run.sh脚本
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
核心功能FIRMADYNE的tar2db.py主要承担固件元数据与数据库的桥梁作用。其核心任务可归纳为两方面。首先是对固件包进行深度解析，提取文件哈希、权限属性及符号链接等关键元数据。其次是实现与数据库的高效交互，通过智能去重和批量操作机制，将解析结果持久化存储。这种设计既能确保数据完整性，又能显著降低存储冗余。
手动修复tar2db.py文件中存在的Bug
FIRMADYNE的tar2db.py主要工作:1.解析tar文件中的文件成员，计算常规文件MD5哈希值，记录符号连接信息2.将获取到的所有数据统一存储到数据库，将解析结果持久化存储
代码存在一些bug，多次运行可能会出现，这个错误是因为数据库中已经存在相同的记录导致的唯一约束冲突。
首先在 insertObjectToImage 函数中添加冲突处理
在使用前清理旧数据,创建QEMU镜像脚本
创建QEMU镜像脚本,会在scratch/id目录下有个run.sh脚本
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
BC网站渗
信息收集
以下由tfxxx来代替域名
锁定网站：tfxxx.com，查看服务器ip以及判断是否有cdn
这个没有cdn，很nice,目录扫描,总体来说，并没有得到什么有用的价值。
二级域名扫描
不错，得到了一个后台 admin.tfxxx.com，留着待会看，
端口扫描，全端口扫描，这里就不截图了，扫的太慢了，基本上也没有啥利用的，远程端口更改了，扫出来的是20119端口。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
信息收集
以下由tfxxx来代替域名
锁定网站：tfxxx.com，查看服务器ip以及判断是否有cdn
这个没有cdn，很nice,目录扫描,总体来说，并没有得到什么有用的价值。
二级域名扫描
不错，得到了一个后台 admin.tfxxx.com，留着待会看，
端口扫描，全端口扫描，这里就不截图了，扫的太慢了，基本上也没有啥利用的，远程端口更改了，扫出来的是20119端口。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
👍1
漏洞探测
1.后台页面
通过上面收集的信息来说，还是比较局限，先不管吧，有一个后台，就来尝试一下后台登录，看是否ok
2.猜账户
随手一个admin，进入到输入密码和安全码的页面，输入其他账号会提示用户名不正确，所以这里判断账号为：admin
3.爆破安全码
这里开始爆破安全码，因为进入到这个界面随便输入一个安全码它会提示安全码不正确，所以我在想如果把安全码输入正确了密码不对，它是不是只会提示密码错误。这个问题用burp来爆破看看
通过URL解码，然后在网站后台登录看看，既然这样提示了，那应该是验证了我的想法，所以这里判断安全码为：123456
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
1.后台页面
通过上面收集的信息来说，还是比较局限，先不管吧，有一个后台，就来尝试一下后台登录，看是否ok
2.猜账户
随手一个admin，进入到输入密码和安全码的页面，输入其他账号会提示用户名不正确，所以这里判断账号为：admin
3.爆破安全码
这里开始爆破安全码，因为进入到这个界面随便输入一个安全码它会提示安全码不正确，所以我在想如果把安全码输入正确了密码不对，它是不是只会提示密码错误。这个问题用burp来爆破看看
通过URL解码，然后在网站后台登录看看，既然这样提示了，那应该是验证了我的想法，所以这里判断安全码为：123456
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤2
提权
尝试突破命令限制
其实这里已经是system权限了，但是蚁剑和菜刀都无法执行命令，尝试了各种办法突破都未果；
使用sys_eval函数
这里使用udf提权的方式，将sys_eval引入进去，然后完成执行添加账户，在加入用户组，我不能执行sys_exec不知道为啥...
select sys_eval('net user admin 123456 /add');
成功登录桌面
.获取管理员密码，wce下载，这里使用wce获取管理员明文密码，掌握到常用密码，可以进一步掌握这人的信息
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
尝试突破命令限制
其实这里已经是system权限了，但是蚁剑和菜刀都无法执行命令，尝试了各种办法突破都未果；
使用sys_eval函数
这里使用udf提权的方式，将sys_eval引入进去，然后完成执行添加账户，在加入用户组，我不能执行sys_exec不知道为啥...
select sys_eval('net user admin 123456 /add');
成功登录桌面
.获取管理员密码，wce下载，这里使用wce获取管理员明文密码，掌握到常用密码，可以进一步掌握这人的信息
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
👍2❤1
爆破密码
既然有了用户名和安全码，那就试着来爆破一下密码，最终最终！弱口令啊，YYDS！！密码：qwe123456
漏洞利用
文件上传，来到后台开始寻找是否有上传的地方或者其他能getshell的地方，找到一个上传点，抓包，提示上传失败
然后试着把Content-Type：application/octet-stream改成Content-Type: image/jpg，万万没想到这么顺利，直接上传成功。
蚁剑连接
找到刚才的小马地址，成功连接
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
既然有了用户名和安全码，那就试着来爆破一下密码，最终最终！弱口令啊，YYDS！！密码：qwe123456
漏洞利用
文件上传，来到后台开始寻找是否有上传的地方或者其他能getshell的地方，找到一个上传点，抓包，提示上传失败
然后试着把Content-Type：application/octet-stream改成Content-Type: image/jpg，万万没想到这么顺利，直接上传成功。
蚁剑连接
找到刚才的小马地址，成功连接
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤2👍1
简单代码审计
通过fuzz测试，发现站点不存在SQL注入，也不存在解析漏洞，但是发现了后台路径http//targetcom/m/login/
后台限制了ip登录，伪造XFF ip为服务器ip可成功绕过。
可以爆破后台，或者通过前台XSS盲打来突破，幸运的是，我们目录扫描过程中发现了网站源码备份文件，因此我们选择优先审计源码
源码比较简单，采用MVC框架编写，代码量也比较少，我们很快就发现了一处文件上传功能。
可以看出该处文件上传限制不严，并且没有做权限校验，任何人都可以访问这个接口，因此我们可以通过本地构造上传表单来getshell。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
通过fuzz测试，发现站点不存在SQL注入，也不存在解析漏洞，但是发现了后台路径http//targetcom/m/login/
后台限制了ip登录，伪造XFF ip为服务器ip可成功绕过。
可以爆破后台，或者通过前台XSS盲打来突破，幸运的是，我们目录扫描过程中发现了网站源码备份文件，因此我们选择优先审计源码
源码比较简单，采用MVC框架编写，代码量也比较少，我们很快就发现了一处文件上传功能。
可以看出该处文件上传限制不严，并且没有做权限校验，任何人都可以访问这个接口，因此我们可以通过本地构造上传表单来getshell。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke