某luo数据包加密逆向
抓包发现，大部分请求包和返回包都加密了，但是发现做了frida检测
第一种是使用修改过特征的frida-server
这里使用的是florida-server
找到用于检测的库，在它检测之前nop掉检测函数或者是直接删了这个so库
运行后发现在进入了libmsaoaidsec库后发生进程终止，说明这个库里存在检测机制
进入这个app文件夹里删了这个库
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
抓包发现，大部分请求包和返回包都加密了，但是发现做了frida检测
第一种是使用修改过特征的frida-server
这里使用的是florida-server
找到用于检测的库，在它检测之前nop掉检测函数或者是直接删了这个so库
运行后发现在进入了libmsaoaidsec库后发生进程终止，说明这个库里存在检测机制
进入这个app文件夹里删了这个库
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
LMXCMS 安装教程
1、本系统暂不支持 PHP5.6 以上，所以请“尽可能的调低您的 PHP 版本”，避免出现未知错误。
2、直接进入地址（域名/install），进入系统安装程序界面，请注意安装程序的要求和条件，并填写数据库及管理员信息，然后按照步骤安装即可。
3、安装成功以后，切记要删除安装程序，避免二次安装导致数据覆盖，删除的目录有（/install、/c/install）俩个目录，或者在后台首页也可以删除安装目录。
然后配置一下数据库，首先进入后台后可以备份数据，然后在恢复数据部分就有我们的数据了，然后我们点击删除。可以看到这里直接获取我们的文件名，然后直接删除，并没有限制目录
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
1、本系统暂不支持 PHP5.6 以上，所以请“尽可能的调低您的 PHP 版本”，避免出现未知错误。
2、直接进入地址（域名/install），进入系统安装程序界面，请注意安装程序的要求和条件，并填写数据库及管理员信息，然后按照步骤安装即可。
3、安装成功以后，切记要删除安装程序，避免二次安装导致数据覆盖，删除的目录有（/install、/c/install）俩个目录，或者在后台首页也可以删除安装目录。
然后配置一下数据库，首先进入后台后可以备份数据，然后在恢复数据部分就有我们的数据了，然后我们点击删除。可以看到这里直接获取我们的文件名，然后直接删除，并没有限制目录
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
👍1
beacon差异性分析
module_x86
首先，采用默认的C2Profile生成beacon文件，至于生成beacon的流程可以参考这篇文章。然后测试一下module_x86属性。修改C2Profile文件的stage块。添加set module_x86 "xpsservices.dll";这个语句。module_x86这个语句的作用是加载module_x86指定的模块，然后将beacon复写到该模块的内存区域。
在MalleablePE.java的pre_process会根据c2profile的set命令获取相对于的值，然后根据值对PE进行对于的操作。
在setModuleStomp这个方法中，首先将设置Characteristic为0x4000。然后在PE偏移为0x40的地方，添加大小为0x40的随机数据，接着在将C2Profile解析到的模块名(xpsservices.dll)写入PE偏移为0x40的地方，相当于重新覆盖直接写的随机数据的一部分。由此完成操作。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
module_x86
首先，采用默认的C2Profile生成beacon文件，至于生成beacon的流程可以参考这篇文章。然后测试一下module_x86属性。修改C2Profile文件的stage块。添加set module_x86 "xpsservices.dll";这个语句。module_x86这个语句的作用是加载module_x86指定的模块，然后将beacon复写到该模块的内存区域。
在MalleablePE.java的pre_process会根据c2profile的set命令获取相对于的值，然后根据值对PE进行对于的操作。
在setModuleStomp这个方法中，首先将设置Characteristic为0x4000。然后在PE偏移为0x40的地方，添加大小为0x40的随机数据，接着在将C2Profile解析到的模块名(xpsservices.dll)写入PE偏移为0x40的地方，相当于重新覆盖直接写的随机数据的一部分。由此完成操作。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
👍2
初始命令会调出如下所示的操作员控制台。操作员控制台包括我们从零售空间克隆的 SSID（CORP-RETAIL），并作为开放网络呈现给客户。控制台还包括列表中的一些已知网络（SFO FREE WIFI、FREE WIFI、Hotel 等）。已建立的客户端连接也显示在此处。同样有趣的是，一旦 Windows 客户端连接，我们就会看到该客户端尝试连接到 windowsupdat【e.】com 和 msftconnecttes【t.】com
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
👍1
利用 Supabase 进行数据泄露
在之前的报告中，我们介绍了恶意软件使用的各种 C2 服务器。然而，这种恶意软件因其对开源数据库服务 Supabase 的独特使用而引人注目。Supabase 是一种开源后端即服务，类似于 Firebase，提供基于 PostgreSQL 的数据库、身份验证、实时功能和存储。它可以帮助开发人员快速构建应用程序，而无需管理后端基础设施。此外，它还支持 RESTful API 来管理其数据库。该恶意软件利用这些 API 来存储被盗数据
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在之前的报告中，我们介绍了恶意软件使用的各种 C2 服务器。然而，这种恶意软件因其对开源数据库服务 Supabase 的独特使用而引人注目。Supabase 是一种开源后端即服务，类似于 Firebase，提供基于 PostgreSQL 的数据库、身份验证、实时功能和存储。它可以帮助开发人员快速构建应用程序，而无需管理后端基础设施。此外，它还支持 RESTful API 来管理其数据库。该恶意软件利用这些 API 来存储被盗数据
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
适用于Tomcat 8,9,10，因为8以下不能调用getContextClassLoader()获取到StandardContext，但是可以用于shiro回显
从ApplicationFilterChain找request和response还是太深的调用栈了。
从最开始的Http11Processor开始看起
其核心方法肯定是service()，在service()方法内，调用了getAdapter().service(request,response)，其中的参数request,response静态变量分别是Request和Response对象
获取Request、Response，那参照上面JSP获取StandardContext的方法2
我草，直接在Http11Processor反射取request和response字段的值不就完了，那怎么获取当前环境的Http11Processor呢？
request和response并不是Http11Processor的字段，而是其父类AbstractProcessor的字段
找下看request和response在哪赋的值，栈里面可以看出在Http11Processor.service的上两帧，调用了AbstarctProtocol$ConnectionHandler#process
在调用到AbstractProcessorLight之前，有两个processor == null的if块。第一个是从recycledProcessors出栈，也就是看看缓存表里是否已有Processor了；第二个if块内，也就是缓存表里没有Processor，就调用createProcessor()新建一个。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
从ApplicationFilterChain找request和response还是太深的调用栈了。
从最开始的Http11Processor开始看起
其核心方法肯定是service()，在service()方法内，调用了getAdapter().service(request,response)，其中的参数request,response静态变量分别是Request和Response对象
获取Request、Response，那参照上面JSP获取StandardContext的方法2
我草，直接在Http11Processor反射取request和response字段的值不就完了，那怎么获取当前环境的Http11Processor呢？
request和response并不是Http11Processor的字段，而是其父类AbstractProcessor的字段
找下看request和response在哪赋的值，栈里面可以看出在Http11Processor.service的上两帧，调用了AbstarctProtocol$ConnectionHandler#process
在调用到AbstractProcessorLight之前，有两个processor == null的if块。第一个是从recycledProcessors出栈，也就是看看缓存表里是否已有Processor了；第二个if块内，也就是缓存表里没有Processor，就调用createProcessor()新建一个。
/网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke