避开所有坑快速复现这个漏洞
可浏览 0x01 漏洞环境搭建——>按照以下方式搭建一定能成功和 0x02 漏洞PoC构造——> 按照以下方式构造一定能成功
通过问题引导方式浏览
如果你也遇到了类似问题看这里
搭建环境总是失败
浏览 0x01 漏洞环境搭建——>坑1:此方法不要使用7.0.x的iso镜像，会有一个无解的BUG！
坑2:虚拟机网络适配器选择NAT模式无法保存主机名
手动修改上传数据包导致失败和使用macOS的tar打包会出问题
浏览 0x02 漏洞PoC构造——>坑2：为什么不能直接修改数据包？
然后配置SSO用户密码、root用户和密码，即可完成安装。 这里有个小坑：root用户名和密码不要很复杂，我这里用的root/root。
然后再继续即可导入成功，虚拟机会自动启动进行初始化。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
可浏览 0x01 漏洞环境搭建——>按照以下方式搭建一定能成功和 0x02 漏洞PoC构造——> 按照以下方式构造一定能成功
通过问题引导方式浏览
如果你也遇到了类似问题看这里
搭建环境总是失败
浏览 0x01 漏洞环境搭建——>坑1:此方法不要使用7.0.x的iso镜像，会有一个无解的BUG！
坑2:虚拟机网络适配器选择NAT模式无法保存主机名
手动修改上传数据包导致失败和使用macOS的tar打包会出问题
浏览 0x02 漏洞PoC构造——>坑2：为什么不能直接修改数据包？
然后配置SSO用户密码、root用户和密码，即可完成安装。 这里有个小坑：root用户名和密码不要很复杂，我这里用的root/root。
然后再继续即可导入成功，虚拟机会自动启动进行初始化。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
使用 Reaver 暴力破解 Archer C5 WPS PIN
首先，使用以下命令将 Wifi 适配器置于监控模式：
Airmon-ng 启动 wlan0
监控适配器的接口将是 wlan0mon。会收到一条关于可能造成麻烦的进程的消息，使用 kill 命令将其杀死。可以使用 airodump-ng 来定位接入点并检索 MAC 地址。使用以下命令启动 airodump-ng：
airodump-ng –i wlan0mon
MAC 地址出现在第一列，可以复制到剪贴板.
接下来将使用以下命令启动 Reaver：
reaver –I wlan0mon –b [路由器 MAC 地址]–c [通道]–vv
Reaver 攻击将开始测试一些常见的 PIN，然后从 0 开始，一直到第一个 WPS PIN 段的 9.999。TP Link 路由器对 WPS 尝试次数有速率限制。它会在几次尝试后锁定，需要手动解锁。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
首先，使用以下命令将 Wifi 适配器置于监控模式：
Airmon-ng 启动 wlan0
监控适配器的接口将是 wlan0mon。会收到一条关于可能造成麻烦的进程的消息，使用 kill 命令将其杀死。可以使用 airodump-ng 来定位接入点并检索 MAC 地址。使用以下命令启动 airodump-ng：
airodump-ng –i wlan0mon
MAC 地址出现在第一列，可以复制到剪贴板.
接下来将使用以下命令启动 Reaver：
reaver –I wlan0mon –b [路由器 MAC 地址]–c [通道]–vv
Reaver 攻击将开始测试一些常见的 PIN，然后从 0 开始，一直到第一个 WPS PIN 段的 9.999。TP Link 路由器对 WPS 尝试次数有速率限制。它会在几次尝试后锁定，需要手动解锁。
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在测试多种编程语言内置服务器上的请求流水线时，我们发现 PHP 的行为有些奇怪。深入研究后，我们发现 PHP 中存在一个安全漏洞，该漏洞可能会将 PHP 文件的源代码暴露为静态文件，而不是按预期执行。
经过进一步测试，我们发现该漏洞并不存在于最新的 PHP 版本中。我们对不同版本的 PHP 进行了进一步测试，以确定该漏洞何时修复以及修复原因。我们的调查使我们找到了修补后的 PHP 7.4.22 版本，通过比较未修补和修补后的代码，我们可以看到为修复漏洞所做的具体更改。
值得注意的是，虽然这个问题已经在 PHP 源代码中得到解决，但 Shodan 查询揭示了许多内置服务器的暴露实例。加入我们，我们将详细介绍我们的发现并分享我们通过分析学到的东西
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
经过进一步测试，我们发现该漏洞并不存在于最新的 PHP 版本中。我们对不同版本的 PHP 进行了进一步测试，以确定该漏洞何时修复以及修复原因。我们的调查使我们找到了修补后的 PHP 7.4.22 版本，通过比较未修补和修补后的代码，我们可以看到为修复漏洞所做的具体更改。
值得注意的是，虽然这个问题已经在 PHP 源代码中得到解决，但 Shodan 查询揭示了许多内置服务器的暴露实例。加入我们，我们将详细介绍我们的发现并分享我们通过分析学到的东西
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
lag{thats_a_lot_of_app_installs} - CLONE_REPO 中的命令注入
实际上，我们可能不应该访问azure_pipelines.yml文件。但是我们有，所以让我们深入研究一下。我们知道我们之前查看的build_tool是由管道配置调用的，而CLONE_REPO步骤会有一些有趣的秘密。在下面的代码片段中，我们可以看到它们使用注入的令牌来克隆存储库，然后对路径进行一些验证，最后将结果移动到最终目录
通常在 Python 中，执行命令的推荐方式是提供一个参数列表，这样可以防止任何类型的 shell 转义或求值，例如
useless_cat_call = subprocess.Popen(["cat", “filename”, user_input], … text=True)
但是，在本例中，我们的脚本非常有用，它在第 74 行将用户控制的 root_dir 直接提供给mv命令。下一个合乎逻辑的步骤是调查 root_dir 是否可以控制。那么，root_dir 是什么？它是用户控制的吗？
回到 Cloudflare UI，构建配置允许我们修改构建的“根目录”。看起来很熟悉，对吧？事实证明，这确实是上面代码片段中引用的 root_dir，因此我们可以控制Azure DevOps 管道调用的部署脚本中mv命令的参数。因此，我们的下一步是看看我们是否可以做一些有用的事情，比如转储环境变量或运行命令，并看看我们是否在原始安全上下文之外运行这些命令
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
实际上，我们可能不应该访问azure_pipelines.yml文件。但是我们有，所以让我们深入研究一下。我们知道我们之前查看的build_tool是由管道配置调用的，而CLONE_REPO步骤会有一些有趣的秘密。在下面的代码片段中，我们可以看到它们使用注入的令牌来克隆存储库，然后对路径进行一些验证，最后将结果移动到最终目录
通常在 Python 中，执行命令的推荐方式是提供一个参数列表，这样可以防止任何类型的 shell 转义或求值，例如
useless_cat_call = subprocess.Popen(["cat", “filename”, user_input], … text=True)
但是，在本例中，我们的脚本非常有用，它在第 74 行将用户控制的 root_dir 直接提供给mv命令。下一个合乎逻辑的步骤是调查 root_dir 是否可以控制。那么，root_dir 是什么？它是用户控制的吗？
回到 Cloudflare UI，构建配置允许我们修改构建的“根目录”。看起来很熟悉，对吧？事实证明，这确实是上面代码片段中引用的 root_dir，因此我们可以控制Azure DevOps 管道调用的部署脚本中mv命令的参数。因此，我们的下一步是看看我们是否可以做一些有用的事情，比如转储环境变量或运行命令，并看看我们是否在原始安全上下文之外运行这些命令
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
GIADIA方法
在这个方法中，三个参数都是可控的，Advised config实际上就是AdvisedSupport实例。
这个方法最终返回的就是interceptorList对象，核心是分析这个对象如何添加元素，然后往上找这个元素是怎么生成的。
经过分析，无论走哪个分支，这个元素最终都是通过registry.getInterceptors(advisor)获取的，
而registry则是直接通过静态GlobalAdvisorAdapterRegistry.getInstance()方法获取的静态单例类
最后审计，查找看到这个类
显然，这个类满足了实现MethodInterceptor接口的需求，但并没有实现Advice
通过JdkDynamicAopProxy来同时代理Advice和MethodInterceptor接口，并设置反射调用对象是AspectJAroundAdvice，如果后续仅被调用MethodInterceptor接口的方法，就可以直接混水摸鱼，如果还会调用Advice接口的方法，则可以再尝试使用CompositeInvocationHandlerImpl
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke
在这个方法中，三个参数都是可控的，Advised config实际上就是AdvisedSupport实例。
这个方法最终返回的就是interceptorList对象，核心是分析这个对象如何添加元素，然后往上找这个元素是怎么生成的。
经过分析，无论走哪个分支，这个元素最终都是通过registry.getInterceptors(advisor)获取的，
而registry则是直接通过静态GlobalAdvisorAdapterRegistry.getInstance()方法获取的静态单例类
最后审计，查找看到这个类
显然，这个类满足了实现MethodInterceptor接口的需求，但并没有实现Advice
通过JdkDynamicAopProxy来同时代理Advice和MethodInterceptor接口，并设置反射调用对象是AspectJAroundAdvice，如果后续仅被调用MethodInterceptor接口的方法，就可以直接混水摸鱼，如果还会调用Advice接口的方法，则可以再尝试使用CompositeInvocationHandlerImpl
接 /网站渗透 /黑客编程技术
/软件渗透 /提取数据
/网站权限 /网站入侵破解
有需求的找我 @MoA_Ke