现在让我们来看看针对 Web 应用程序的攻击类型。尽管 Web 应用程序具有诸多优势，但其编码不当也会带来许多安全问题。严重的弱点或漏洞使犯罪分子能够直接公开访问数据库，以窃取敏感数据 - 这就是所谓的 Web 应用程序攻击。许多此类数据库都包含有价值的信息（例如个人数据和财务详细信息），因此经常成为攻击目标。尽管破坏公司网站等破坏行为（通常由所谓的脚本小子执行）仍然很常见，但如今攻击者更喜欢访问数据库服务器上的敏感数据，因为出售数据泄露的结果可以获得巨额回报。在上述框架中，很容易看出犯罪分子如何通过一定的创造力快速访问数据库中的数据，如果运气好、疏忽或人为错误，则会导致 Web 应用程序出现漏洞。
如上所述，网站依靠数据库向访问者提供所需的信息。如果 Web 应用程序不安全，即容易受到各种黑客技术的攻击，那么您的整个敏感信息数据库都将面临着遭受 Web 应用程序攻击的严重风险。直接针对数据库的SQL 注入 攻击类型仍然是最常见、最危险的漏洞类型。其他攻击者可能会使用易受攻击的 Web 应用程序的用户输入注入恶意代码来欺骗用户并将其重定向到钓鱼网站。这种类型的攻击称为跨站点脚本(XSS 攻击)，即使 Web 服务器和数据库引擎本身没有漏洞也可能会被使用。它通常与其他攻击媒介（如社会工程攻击）结合使用。还有许多其他类型的常见攻击，如目录遍历、本地文件包含等等。
最近的研究表明，75% 的网络攻击是在 Web 应用程序级别进行的。
如上所述，网站依靠数据库向访问者提供所需的信息。如果 Web 应用程序不安全，即容易受到各种黑客技术的攻击，那么您的整个敏感信息数据库都将面临着遭受 Web 应用程序攻击的严重风险。直接针对数据库的SQL 注入 攻击类型仍然是最常见、最危险的漏洞类型。其他攻击者可能会使用易受攻击的 Web 应用程序的用户输入注入恶意代码来欺骗用户并将其重定向到钓鱼网站。这种类型的攻击称为跨站点脚本(XSS 攻击)，即使 Web 服务器和数据库引擎本身没有漏洞也可能会被使用。它通常与其他攻击媒介（如社会工程攻击）结合使用。还有许多其他类型的常见攻击，如目录遍历、本地文件包含等等。
最近的研究表明，75% 的网络攻击是在 Web 应用程序级别进行的。
Android 因其用户友好性而占据了全球移动市场的大部分份额。Android 使用 Linux 操作系统，它使用 Dalvik 虚拟机，通过将 Java 文件转换为 .dvk 文件来运行 Java 文件，以提高速度和性能。本机库和模块用于 Android 的各种功能。应用程序通过称为意图的消息与其他应用程序通信
回调数据操作
当攻击者接收到数据,我们澄清了“信息披露”的观点,其中一些数据用于与服务通信服务器澄清一些关于用户的信息可在用户的应用程序。 不幸的是有时这些数据在不安全的网络连接交换使得这些数据很容易被攻击者控制给他修改甚至删除它的能力
当攻击者接收到数据,我们澄清了“信息披露”的观点,其中一些数据用于与服务通信服务器澄清一些关于用户的信息可在用户的应用程序。 不幸的是有时这些数据在不安全的网络连接交换使得这些数据很容易被攻击者控制给他修改甚至删除它的能力
DCSync 是一种在 AD 域渗透中常用的凭据窃取技术。默认情况下，域内的不同域控制器（DC）会每隔 一段时间进行一次数据同步。当一个域控制器从另一个域控制器同步数据时，发起请求的域控制器会通过目录复制协议（MS-DRSR）来复制目标域控制器中的用户密码信息。
DCSync 正是利用了这一机制，通过“模拟”一个域控制器向真实域控制器发送同步请求，从而获取用户凭据数据。由于这种攻击利用了 Windows RPC 协议，无需登录域控制器或在域控制器上执行文件操作
typedef struct {
UUID uuidDsaObjDest;
UUID uuidInvocIdSrc;
[ref] DSNAME* pNC;
USN_VECTOR usnvecFrom;
[unique] UPTODATE_VECTOR_V1_EXT* pUpToDateVecDest;
ULONG ulFlags;
ULONG cMaxObjects;
ULONG cMaxBytes;
ULONG ulExtendedOp;
ULARGE_INTEGER liFsmoInfo;
[unique] PARTIAL_ATTR_VECTOR_V1_EXT* pPartialAttrSet;
[unique] PARTIAL_ATTR_VECTOR_V1_EXT* pPartialAttrSetEx;
SCHEMA_PREFIX_TABLE PrefixTableDest;
} DRS_MSG_GETCHGREQ_V8;
pNC: NC root of the replica to replicate or the FSMO role object for an extended operation. 可以用来指定对应的账户，但是mimikatz设置的pNC 为{0}为空，并且设置了最大的最大的返回对象数量（就是dump了）。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
DCSync 正是利用了这一机制，通过“模拟”一个域控制器向真实域控制器发送同步请求，从而获取用户凭据数据。由于这种攻击利用了 Windows RPC 协议，无需登录域控制器或在域控制器上执行文件操作
typedef struct {
UUID uuidDsaObjDest;
UUID uuidInvocIdSrc;
[ref] DSNAME* pNC;
USN_VECTOR usnvecFrom;
[unique] UPTODATE_VECTOR_V1_EXT* pUpToDateVecDest;
ULONG ulFlags;
ULONG cMaxObjects;
ULONG cMaxBytes;
ULONG ulExtendedOp;
ULARGE_INTEGER liFsmoInfo;
[unique] PARTIAL_ATTR_VECTOR_V1_EXT* pPartialAttrSet;
[unique] PARTIAL_ATTR_VECTOR_V1_EXT* pPartialAttrSetEx;
SCHEMA_PREFIX_TABLE PrefixTableDest;
} DRS_MSG_GETCHGREQ_V8;
pNC: NC root of the replica to replicate or the FSMO role object for an extended operation. 可以用来指定对应的账户，但是mimikatz设置的pNC 为{0}为空，并且设置了最大的最大的返回对象数量（就是dump了）。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
RPC ETW
通过ETW记录RCP请求记录
logman create trace "DRSMonitor" -p "Microsoft-Windows-RPC" -o C:\DRSMonitor.etl -ets
logman stop "DRSMonitor" -ets
发起dcshync的的guid是e3514235-4b06-11d1-ab04-00c04fc2dcd2
直接进行过滤抓包,只能记录到哪台域控机器在dump，但是无法记录到谁发起的请求。这里可以结合一下域里面高权限用户，谁进行了身份进行综合判断
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
通过ETW记录RCP请求记录
logman create trace "DRSMonitor" -p "Microsoft-Windows-RPC" -o C:\DRSMonitor.etl -ets
logman stop "DRSMonitor" -ets
发起dcshync的的guid是e3514235-4b06-11d1-ab04-00c04fc2dcd2
直接进行过滤抓包,只能记录到哪台域控机器在dump，但是无法记录到谁发起的请求。这里可以结合一下域里面高权限用户，谁进行了身份进行综合判断
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
网络流量监控
进行网络流量监控，我们可以监控DRSUAPI的流量，找到DsGetNCChanges请求，并且获取到哪个ip发起了dcsync请求，如果是非域控机器发起的请求，一般算认为可疑。
也可以通过MessageAnalyzer进行监控同样也是可以。
这个方案理论上不错，但是实际落地IT一般都不会接受，因为域控的流量巨大，进行监控会损失性能，而且需要额外安装一些安全软件或者流量监控软件。
最后就是windows日志了，默认会记录此行为，不需要额外安装软件，性能上也不会有太大的影响。但是dcsync操作windows域本身机制也有（日志id是4662，每次对 Active Directory 对象执行操作时都会生成此事件），也就是意味着不仅仅攻击者的行为会产生这个日志，正常的行为也会产生此类日志。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
进行网络流量监控，我们可以监控DRSUAPI的流量，找到DsGetNCChanges请求，并且获取到哪个ip发起了dcsync请求，如果是非域控机器发起的请求，一般算认为可疑。
也可以通过MessageAnalyzer进行监控同样也是可以。
这个方案理论上不错，但是实际落地IT一般都不会接受，因为域控的流量巨大，进行监控会损失性能，而且需要额外安装一些安全软件或者流量监控软件。
最后就是windows日志了，默认会记录此行为，不需要额外安装软件，性能上也不会有太大的影响。但是dcsync操作windows域本身机制也有（日志id是4662，每次对 Active Directory 对象执行操作时都会生成此事件），也就是意味着不仅仅攻击者的行为会产生这个日志，正常的行为也会产生此类日志。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
通过mimikatz dumphash，会产生两条4662日志，并且分别带1131f6aa-9c07-11d1-f79f-00c04fc2dcd2（DS-复制-获取-更改）、1131f6ad-9c07-11d1-f79f-00c04fc2dcd2（DS-复制-获取-更改-全部）两个属性。
其实从上面的dump hash过程中，我们发现登录和dump hash动作基本都是一起的，先登录再dump，可以根据这个特征再进行筛选。
即使这样总觉得还是不够准确优雅，所以还需要另辟蹊径，笔者找到一个在实验环境表现不错的第二个新方法，等实践不错后再分享出来。
至于impacket的secretdump.py dcsync，检测起来就比较简单，短时间内触发几十条4662日志就为可疑了
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
其实从上面的dump hash过程中，我们发现登录和dump hash动作基本都是一起的，先登录再dump，可以根据这个特征再进行筛选。
即使这样总觉得还是不够准确优雅，所以还需要另辟蹊径，笔者找到一个在实验环境表现不错的第二个新方法，等实践不错后再分享出来。
至于impacket的secretdump.py dcsync，检测起来就比较简单，短时间内触发几十条4662日志就为可疑了
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
PowerShell Empire 的优势：
-与 PowerShell 的强大集成使其能够使用在内存中执行的 Powershell 脚本自动执行后开发活动，从而更难检测到。
-专为攻击的后利用阶段而设计，并具有用于权限提升、横向移动和数据泄露的内置工具
-具有模块化架构，允许您扩展框架以满足您的需求。
Kali Linux 上通过运行以下命令执行此操作：
sudo apt update && sudo apt upgrade
sudo apt install powershell-empire
运行命令：sudo powershell-empire server 启动 PowerShell Empire Server。
在新的终端窗口中，运行sudo powershell-empire client 以使用 Empire Client 连接到服务器。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
-与 PowerShell 的强大集成使其能够使用在内存中执行的 Powershell 脚本自动执行后开发活动，从而更难检测到。
-专为攻击的后利用阶段而设计，并具有用于权限提升、横向移动和数据泄露的内置工具
-具有模块化架构，允许您扩展框架以满足您的需求。
Kali Linux 上通过运行以下命令执行此操作：
sudo apt update && sudo apt upgrade
sudo apt install powershell-empire
运行命令：sudo powershell-empire server 启动 PowerShell Empire Server。
在新的终端窗口中，运行sudo powershell-empire client 以使用 Empire Client 连接到服务器。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke