ummaC2 等窃取者如何感染设备？
信息窃取者正在威胁在您的计算机后台运行的应用程序，收集和收集您的个人信息，包括信用卡号、银行信息和密码。当您下载免费软件或访问安全措施不佳的损坏网站时，它们可以进入您的计算机。由于信息窃取程序难以检测，因此有必要了解它们在您的计算机上存在的迹象，例如性能下降、奇怪的系统消息和突然弹出窗口。此外，您还应该安装具有实时恶意软件保护功能的受信任的反恶意软件程序，以防止信息窃取。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
信息窃取者正在威胁在您的计算机后台运行的应用程序，收集和收集您的个人信息，包括信用卡号、银行信息和密码。当您下载免费软件或访问安全措施不佳的损坏网站时，它们可以进入您的计算机。由于信息窃取程序难以检测，因此有必要了解它们在您的计算机上存在的迹象，例如性能下降、奇怪的系统消息和突然弹出窗口。此外，您还应该安装具有实时恶意软件保护功能的受信任的反恶意软件程序，以防止信息窃取。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
恶意软件加载运行后，会执行一系列的初始化操作，如动态加载库函数、与C2服务器的网络初始化、窃密函数初始化等，并扫描受害主机是否存在常见浏览器，如Chrome、IE、Edge、Firefox等；一旦存在相应浏览器，恶意软件将会遍历浏览器安装目录获取浏览器存储的社交网站cookie及凭证信息，获取所对应的个人信息。
在获取各种浏览器cookie及凭证信息后，恶意软件检测受害主机的cookie信息中是否存在facebook、instagram、ebay、etsy等社交媒体账号；如果存在，则恶意软件将会爬取相应的账号信息。
该恶意软件的另一个重要功能是向C&C服务器下载其他模块用于升级自身，通过动态加载运行其下载的文件，使该窃取程序能不断扩展其窃取功能
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在获取各种浏览器cookie及凭证信息后，恶意软件检测受害主机的cookie信息中是否存在facebook、instagram、ebay、etsy等社交媒体账号；如果存在，则恶意软件将会爬取相应的账号信息。
该恶意软件的另一个重要功能是向C&C服务器下载其他模块用于升级自身，通过动态加载运行其下载的文件，使该窃取程序能不断扩展其窃取功能
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
蠕虫攻击的结构可以分为三个影响深远的小步骤，这些阶段列表如下：
第一阶段称为启用漏洞，是将作品安装在易受攻击的系统上的过程的第一步。
在安装到易受攻击的系统后，蠕虫会进一步传播到新的目标。它通过自动复制自身并攻击其他系统来实现这一点
在最后阶段或有效载荷阶段，提高其访问级别。以特权用户身份使用目标系统，但随着时间的推移，争取获得相当于管理员的访问权限，然后造成最大损害。
一旦上述循环完成，蠕虫就会利用最初目标系统所附带的其他系统的漏洞，通过自动传输机制进行传播，然后整个过程重新开始。
通过这种方式，可能能够访问多个系统，甚至可以使用整个受感染的系统来发起僵尸网络攻击
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
第一阶段称为启用漏洞，是将作品安装在易受攻击的系统上的过程的第一步。
在安装到易受攻击的系统后，蠕虫会进一步传播到新的目标。它通过自动复制自身并攻击其他系统来实现这一点
在最后阶段或有效载荷阶段，提高其访问级别。以特权用户身份使用目标系统，但随着时间的推移，争取获得相当于管理员的访问权限，然后造成最大损害。
一旦上述循环完成，蠕虫就会利用最初目标系统所附带的其他系统的漏洞，通过自动传输机制进行传播，然后整个过程重新开始。
通过这种方式，可能能够访问多个系统，甚至可以使用整个受感染的系统来发起僵尸网络攻击
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
用 GotoHTTP 攻击 MS-SQL 服务器
转到HTTP
远程控制工具用于远程控制系统，提供远程桌面和文件传输等功能。AnyDesk、ToDesk、RuDesktop、TeamViewer 和 AmmyyAdmin 是著名的远程控制工具
它们允许公司或个人在正常情况下远程控制和管理系统。然而，由于后门和 RAT 恶意软件也提供远程控制系统的功能，威胁行为者也可以利用它们。过去，TeamViewer 和 AmmyyAdmin 曾多次被滥用，而最近 AnyDesk 也频繁被用于攻击。
AnyDesk 经常用于针对管理不当的 Web 服务器或 MS-SQL 服务器的攻击
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
转到HTTP
远程控制工具用于远程控制系统，提供远程桌面和文件传输等功能。AnyDesk、ToDesk、RuDesktop、TeamViewer 和 AmmyyAdmin 是著名的远程控制工具
它们允许公司或个人在正常情况下远程控制和管理系统。然而，由于后门和 RAT 恶意软件也提供远程控制系统的功能，威胁行为者也可以利用它们。过去，TeamViewer 和 AmmyyAdmin 曾多次被滥用，而最近 AnyDesk 也频繁被用于攻击。
AnyDesk 经常用于针对管理不当的 Web 服务器或 MS-SQL 服务器的攻击
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
恶意软件在Andariel过去的攻击中被发现。此外，分发恶意软件时使用的攻击技术与Andariel组织一直使用的攻击技术类似。
在内部传播阶段，首先安装的恶意软件是一个dropper，它会解密资源中存在的三个文件，并使用名为“mozillasvcone”的服务进行安装。通过“mozillasvcone”服务执行的文件“%SystemDirectory%\mozillasvcone.dll”会加载在“%SystemDirectory%\0OGPWm4uRZ0CAkHZ9o\c0FcEpj86LSNmZ5.dll”路径中创建的DLL，并调用RyXmqIUMXViyw6Uvkf()函数。“c0FcEpj86LSNmZ5.dll”会读取在“%SystemDirectory%\OQAuagarc0wDTo\mNyKQBP3vV4uX”路径中创建的加密数据文件，并解密文件以在内存中执行它们。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在内部传播阶段，首先安装的恶意软件是一个dropper，它会解密资源中存在的三个文件，并使用名为“mozillasvcone”的服务进行安装。通过“mozillasvcone”服务执行的文件“%SystemDirectory%\mozillasvcone.dll”会加载在“%SystemDirectory%\0OGPWm4uRZ0CAkHZ9o\c0FcEpj86LSNmZ5.dll”路径中创建的DLL，并调用RyXmqIUMXViyw6Uvkf()函数。“c0FcEpj86LSNmZ5.dll”会读取在“%SystemDirectory%\OQAuagarc0wDTo\mNyKQBP3vV4uX”路径中创建的加密数据文件，并解密文件以在内存中执行它们。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
单击“启用内容”按钮以绕过警告并执行恶意宏代码。该宏有一个名为“Wookbook_Active()”的函数，当它打开时会自动调用。它的任务是将单元格中的 VBS 代码提取到文件“%AppData%\HobYQ.vbs”中，然后执行它。
为了保护 Remcos 有效负载文件，它使用了一种超级复杂的方式来下载它。通过这种方式，它同时执行 VBS 和 PowerShell 脚本代码。“HobYQ.vbs”运行一段动态拼接的PowerShell代码，从攻击者的服务器下载另一个VBS文件（“flip.vbs”）并运行。
接下来，“flip.vbs”继续从服务器下载一个文件（称为“mem.txt”），这是一段编码的VBS代码，稍后将在“flip.vbs”中执行以从服务器下载最终文件同一服务器，称为“faze.jpg”。在图 4 中，它显示了三个下载文件“flip.vbs”、“mem.txt”和“faze.jpg”的捕获流量。[color=var(--link-color)]
将 Remcos 添加到系统注册表中的自动运行组
启动看门狗程序（Remcos 的守护程序）
从输入设备（麦克风）记录入侵机器的音频输入
在启动时捕获目标的屏幕截图
在目标的设备上禁用 UAC（用户帐户控制）
等等
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
为了保护 Remcos 有效负载文件，它使用了一种超级复杂的方式来下载它。通过这种方式，它同时执行 VBS 和 PowerShell 脚本代码。“HobYQ.vbs”运行一段动态拼接的PowerShell代码，从攻击者的服务器下载另一个VBS文件（“flip.vbs”）并运行。
接下来，“flip.vbs”继续从服务器下载一个文件（称为“mem.txt”），这是一段编码的VBS代码，稍后将在“flip.vbs”中执行以从服务器下载最终文件同一服务器，称为“faze.jpg”。在图 4 中，它显示了三个下载文件“flip.vbs”、“mem.txt”和“faze.jpg”的捕获流量。[color=var(--link-color)]
将 Remcos 添加到系统注册表中的自动运行组
启动看门狗程序（Remcos 的守护程序）
从输入设备（麦克风）记录入侵机器的音频输入
在启动时捕获目标的屏幕截图
在目标的设备上禁用 UAC（用户帐户控制）
等等
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
检测execute-assembly
一般检测execute-assembly都会使用windows事件跟踪，即ETW，例如这里启动一个powershell进程，通过procexp查看可以看到被CLR托管的dll
我们可以从processhacker工具源码里面的asmpage.c(processhacker/processhacker/blob/master/plugins/DotNetTools/asmpage.c)源码里面查看这类工具是怎样枚举.net工具集的，这里挑出关键代码编译成etw2.exe
首先cs上线,然后启动我们的监控程序,在beacon里面调用SharpHound.exe，这里需要在域内且具有.net环境才能够运行成功，执行以下命令
这里就会在exe存放的位置生成以下三个文件
然后我们去看一下我们的监控程序，可以看到已经识别出了SharpHound的调用
这里如果想要规避检测，可以更改程序名的名字，但是这里只要修改检测方法为显示可疑方法的名称即可
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
一般检测execute-assembly都会使用windows事件跟踪，即ETW，例如这里启动一个powershell进程，通过procexp查看可以看到被CLR托管的dll
我们可以从processhacker工具源码里面的asmpage.c(processhacker/processhacker/blob/master/plugins/DotNetTools/asmpage.c)源码里面查看这类工具是怎样枚举.net工具集的，这里挑出关键代码编译成etw2.exe
首先cs上线,然后启动我们的监控程序,在beacon里面调用SharpHound.exe，这里需要在域内且具有.net环境才能够运行成功，执行以下命令
这里就会在exe存放的位置生成以下三个文件
然后我们去看一下我们的监控程序，可以看到已经识别出了SharpHound的调用
这里如果想要规避检测，可以更改程序名的名字，但是这里只要修改检测方法为显示可疑方法的名称即可
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤1
SQL注入是一种代码注入技术，过去常常用于攻击数据驱动性的应用，比如将恶意的SQL代码注入到特定字段用于实施拖库攻击等。SQL注入的成功必须借助应用程序的安全漏洞，例如用户输入没有经过正确地过滤（针对某些特定字符串）或者没有特别强调类型的时候，都容易造成异常地执行SQL语句。SQL注入是网站渗透中最常用的攻击技术，但是其实SQL注入可以用来攻击所有的SQL数据库。在这个指南中我会向你展示在Kali Linux上如何借助SQLMAP来渗透一个网站（更准确的说应该是数据库），以及提取出用户名和密码信息。
SQLMAP是一个开源的渗透测试工具，它主要用于自动化地侦测和实施SQL注入攻击以及渗透数据库服务器。SQLMAP配有强大的侦测引擎，适用于高级渗透测试用户，不仅可以获得不同数据库的指纹信息，还可以从数据库中提取数据，此外还能够处理潜在的文件系统以及通过带外数据连接执行系统命令等。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
SQLMAP是一个开源的渗透测试工具，它主要用于自动化地侦测和实施SQL注入攻击以及渗透数据库服务器。SQLMAP配有强大的侦测引擎，适用于高级渗透测试用户，不仅可以获得不同数据库的指纹信息，还可以从数据库中提取数据，此外还能够处理潜在的文件系统以及通过带外数据连接执行系统命令等。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
❤2