更改此Stager的配置。要查看可以更改的内容，请运行命令options，然后使用set 命令后跟要更改的选项。例如，要将Stager附加到您之前创建的侦听器，请运行命令set Listener MyListener。接下来，通过设置 来混淆 PowerShell 启动器代码以逃避网络检测Obfuscate True。最后，键入execute 以保存设置并生成Stager。
创建了Listener和Stager。最后一步是在目标系统上执行您创建的Stager 。一旦它重新连接到 Empire Server，这将生成一个新的Agent ，这允许您远程控制目标机器。
首先，将创建的Stager传输到目标机器。PowerShell Empire 将告诉在运行命令时此Stagerexecute 被写入的位置。
此Stager传输到目标机器后，运行它。
创建了Listener和Stager。最后一步是在目标系统上执行您创建的Stager 。一旦它重新连接到 Empire Server，这将生成一个新的Agent ，这允许您远程控制目标机器。
首先，将创建的Stager传输到目标机器。PowerShell Empire 将告诉在运行命令时此Stagerexecute 被写入的位置。
此Stager传输到目标机器后，运行它。
Rubeus 一起进行 Kerberoasting
Rubeus 是一套用于原始 Kerberos 交互和滥用的 C# 工具集。它是一款多功能工具，专为与 Kerberos 票证交互和了解身份验证流程而设计。
= TryHackMe 的“攻击 Kerberos 房间”和 TCM Security
第一步是将rubeus下载到受害者的机器中并导航到其存储的目录。
通过搜索域名，我们发现了 2 个可进行 kerberoast 攻击的服务账户（SQLService 和 HTTPService），以及它们的哈希值
cd 下载-> 导航到 rubeus.exe 所在的目录。
Rubeus.exe kerberoast ->这将转储任何 kerberoastable 用户的 kerberos krb5tgs 哈希
Rubeus 是一套用于原始 Kerberos 交互和滥用的 C# 工具集。它是一款多功能工具，专为与 Kerberos 票证交互和了解身份验证流程而设计。
= TryHackMe 的“攻击 Kerberos 房间”和 TCM Security
第一步是将rubeus下载到受害者的机器中并导航到其存储的目录。
通过搜索域名，我们发现了 2 个可进行 kerberoast 攻击的服务账户（SQLService 和 HTTPService），以及它们的哈希值
cd 下载-> 导航到 rubeus.exe 所在的目录。
Rubeus.exe kerberoast ->这将转储任何 kerberoastable 用户的 kerberos krb5tgs 哈希
安天CERT认为该攻击可能被用于扩展户网络、挖矿等攻击活动，同时也会在无管理目标网络中，被APT攻击者用于突防和内部横向移动
与此同时，我们还需要警漏洞可用性的演进，包括可能和其他组合利用。包括该漏洞利用是本存在某种高阶形态
从安全管理、监测角度，可以肯定近期会有相关端口服务的流量连接增加，监测相关流量和连接、关注内存事件和日志，并可以采取关闭不需要开放的相关端口（默认22）服务、联动封堵可疑访问IP、定时Reset超长时间连接、对于设备或服务器的管理设定访问IP或范围限制等方式进行防护
与此同时，我们还需要警漏洞可用性的演进，包括可能和其他组合利用。包括该漏洞利用是本存在某种高阶形态
从安全管理、监测角度，可以肯定近期会有相关端口服务的流量连接增加，监测相关流量和连接、关注内存事件和日志，并可以采取关闭不需要开放的相关端口（默认22）服务、联动封堵可疑访问IP、定时Reset超长时间连接、对于设备或服务器的管理设定访问IP或范围限制等方式进行防护
匿影”僵尸网络曾投放“WannaRen”等旧的病毒木马，利用了Thinkphp5.0.0~5.0.23版本远程进行代码调用的漏洞进行的getshell，通过PHP文件后门调取受害者服务器系统设置，进行脱库删库SQL数据库文件导出，篡改注册表等等一系列操作
该后门程序投放的间谍木马，利用用户QQ登录凭证，进入QQ空间窃取用户的年龄、出生日期、性别等重要个人隐私信息并回传至后台
该后门程序投放的间谍木马，利用用户QQ登录凭证，进入QQ空间窃取用户的年龄、出生日期、性别等重要个人隐私信息并回传至后台
Airmon-ng 启动 wlan0
监控适配器的接口将是 wlan0mon。会收到一条关于可能造成麻烦的进程的消息，使用 kill 命令将其杀死。可以使用 airodump-ng 来定位接入点并检索 MAC 地址。使用以下命令启动 airodump-ng：
airodump-ng –i wlan0mon
MAC 地址出现在第一列，可以复制到剪贴板.
接下来将使用以下命令启动 Reaver：
reaver –I wlan0mon –b [路由器 MAC 地址]–c [通道]–vv
Reaver 攻击将开始测试一些常见的 PIN，然后从 0 开始，一直到第一个 WPS PIN 段的 9.999。TP Link 路由器对 WPS 尝试次数有速率限制。它会在几次尝试后锁定，需要手动解锁。
监控适配器的接口将是 wlan0mon。会收到一条关于可能造成麻烦的进程的消息，使用 kill 命令将其杀死。可以使用 airodump-ng 来定位接入点并检索 MAC 地址。使用以下命令启动 airodump-ng：
airodump-ng –i wlan0mon
MAC 地址出现在第一列，可以复制到剪贴板.
接下来将使用以下命令启动 Reaver：
reaver –I wlan0mon –b [路由器 MAC 地址]–c [通道]–vv
Reaver 攻击将开始测试一些常见的 PIN，然后从 0 开始，一直到第一个 WPS PIN 段的 9.999。TP Link 路由器对 WPS 尝试次数有速率限制。它会在几次尝试后锁定，需要手动解锁。
AgentSmith HIDS 基于主机的入侵检测系统的一个强大组件，具有反 rootkit 功能，并且是一种非常有效的收集主机信息的方法。
内核堆栈模块通过Kprobe hooks execve、connect、进程注入、创建文件、DNS查询、加载LKM 行为，同时还能够通过兼容Linux namespace来监控容器。
用户堆栈模块利用内置的检测功能，包括查询 用户列表、监听端口列表、系统 RPM 列表、计划作业
AntiRootkit，来自：Tyton ，目前添加 PROC_FILE_HOOK，SYSCALL_HOOK，LKM_HIDDEN，INTERRUPTS_HOOK 功能，但仅适用于 Kernel > 3.10。
Cred 变更监控.
内核堆栈模块通过Kprobe hooks execve、connect、进程注入、创建文件、DNS查询、加载LKM 行为，同时还能够通过兼容Linux namespace来监控容器。
用户堆栈模块利用内置的检测功能，包括查询 用户列表、监听端口列表、系统 RPM 列表、计划作业
AntiRootkit，来自：Tyton ，目前添加 PROC_FILE_HOOK，SYSCALL_HOOK，LKM_HIDDEN，INTERRUPTS_HOOK 功能，但仅适用于 Kernel > 3.10。
Cred 变更监控.
把010Editor.exe拖进x64dbg，按F9到达主程序入口，发现很多jmp指令，按Shift+D搜索字符串“Evaluation”（上面截图里有），发现有4行可能是注册成功的提示，
任选一个注册成功的地址双击进入代码，发现它们位于同一子程序。拉到上面找到子程序第一句（图里选中了第4句，其实没差别），下个断点然后运行，提示注册信息的界面果然没有弹出来，这说明这段程序就是验证软件是否注册的。选中cmp ebx,DB指令，按Shift+C复制指令码，然后在当前模块按“匹配特征”进行搜索，把十六进制指令码粘贴进去
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
任选一个注册成功的地址双击进入代码，发现它们位于同一子程序。拉到上面找到子程序第一句（图里选中了第4句，其实没差别），下个断点然后运行，提示注册信息的界面果然没有弹出来，这说明这段程序就是验证软件是否注册的。选中cmp ebx,DB指令，按Shift+C复制指令码，然后在当前模块按“匹配特征”进行搜索，把十六进制指令码粘贴进去
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
LLMNR 中毒反应
Responder 默认安装在 Kali Linux 上。但是，在使用 Responder 执行 LLMNR 中毒攻击之前，您需要满足以下要求：
1.您需要与目标机器位于同一网络上。
2.您需要具备嗅探网络数据包的能力。
现在可以运行以下命令来启动 Responder：
sudo responder -I eth0 -v
此命令将启动 Responder 监听您的eth0网络接口（-I）并以详细模式（-v）提供更多输出。
现在必须等待 DNS 无法解析的事件发生。当用户尝试通过 SMB、SQL、FTP、SMTP 等连接到计算机，但使用本地 DNS 服务器无法解析的名称或使用 IP 地址时。这将触发计算机发送 LLMNR 请求以查找它尝试访问的计算机或资源。Responder 将捕获此 LLMNR 请求并显示 NTLM 哈希供您使用。
以 StationX-admin 用户身份从 Workstation1 访问测试机器的 C: 驱动器。Workstation1 将向 Active Directory DNS 服务器发出 DNS 请求，以找出测试机器的位置。但是，这台机器不存在。因此，DNS 请求将失败。现在，Worksation1 将发出 LLMNR 请求作为后备。响应者可以捕获此 LLMNR 请求并窃取用户的 NTLM 哈希.
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
Responder 默认安装在 Kali Linux 上。但是，在使用 Responder 执行 LLMNR 中毒攻击之前，您需要满足以下要求：
1.您需要与目标机器位于同一网络上。
2.您需要具备嗅探网络数据包的能力。
现在可以运行以下命令来启动 Responder：
sudo responder -I eth0 -v
此命令将启动 Responder 监听您的eth0网络接口（-I）并以详细模式（-v）提供更多输出。
现在必须等待 DNS 无法解析的事件发生。当用户尝试通过 SMB、SQL、FTP、SMTP 等连接到计算机，但使用本地 DNS 服务器无法解析的名称或使用 IP 地址时。这将触发计算机发送 LLMNR 请求以查找它尝试访问的计算机或资源。Responder 将捕获此 LLMNR 请求并显示 NTLM 哈希供您使用。
以 StationX-admin 用户身份从 Workstation1 访问测试机器的 C: 驱动器。Workstation1 将向 Active Directory DNS 服务器发出 DNS 请求，以找出测试机器的位置。但是，这台机器不存在。因此，DNS 请求将失败。现在，Worksation1 将发出 LLMNR 请求作为后备。响应者可以捕获此 LLMNR 请求并窃取用户的 NTLM 哈希.
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
Kali Linux 默认使用“kali”作为用户名和密码。这是众所周知的，如果不进行更改，任何人都可以非常轻松地访问您的系统。'root' 是 Linux 系统中的超级用户帐户。它可以不受限制地访问所有命令、文件和资源。
方法：
1.打开终端
2. 输入“sudo su”并按 Enter
3. 输入“passwd root”和/或“passwd kali”，然后按 Enter
4. 按照提示为任一用户名设置一个新的强密码。
5. 重启电脑，使用新密码以 root 或 kali 身份登录
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
方法：
1.打开终端
2. 输入“sudo su”并按 Enter
3. 输入“passwd root”和/或“passwd kali”，然后按 Enter
4. 按照提示为任一用户名设置一个新的强密码。
5. 重启电脑，使用新密码以 root 或 kali 身份登录
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
cShell DDoS 僵尸网络,cShell 采用 Go 语言开发，相对简单，因为它使用了上面讨论过的 screen 和 hping3 等现有工具。它包含 6 个 DDoS 命令和一个更新功能（如下所示）。它还包含源代码信息，通过名称“Test”表明它很可能是一个早期版本。
当 cShell 执行时，它会使用上面提到的 apt 命令安装 curl、screen 和 hping3。然后它会连接到 C&C URL 以发送“1”，并在空闲状态下接收标记为“2”的数据包。
从C＆C服务器可以接收的命令如下，其中大多数是DDoS攻击。
UPDATE”命令只是从 C&C 服务器接收字符串；但在 DDoS 命令的情况下，它会接收 5 个以空格分隔的字符串。以下是 DDoS 命令的格式。
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
当 cShell 执行时，它会使用上面提到的 apt 命令安装 curl、screen 和 hping3。然后它会连接到 C&C URL 以发送“1”，并在空闲状态下接收标记为“2”的数据包。
从C＆C服务器可以接收的命令如下，其中大多数是DDoS攻击。
UPDATE”命令只是从 C&C 服务器接收字符串；但在 DDoS 命令的情况下，它会接收 5 个以空格分隔的字符串。以下是 DDoS 命令的格式。
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
Linux 内核的管道功能中发现了一个释放后使用漏洞，该漏洞与用户在调用管道后执行操作的方式有关。此漏洞可导致本地用户崩溃或潜在地提升其在系统上的权限post_one_notification()。free_pipe_info()
由于watch_queue工作方式的原因，使用的指针可能在add_watch_to_object()and remove_watch_from_object() 函数中被访问/释放之前被释放。这允许本地攻击触发 UAF，进而可利用该攻击以系统 (root) 权限执行任意代码。
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
由于watch_queue工作方式的原因，使用的指针可能在add_watch_to_object()and remove_watch_from_object() 函数中被访问/释放之前被释放。这允许本地攻击触发 UAF，进而可利用该攻击以系统 (root) 权限执行任意代码。
-木马盗号
-网站渗透
-网站劫持
-网站拿权限
-渗透数据
@Root_sign3
❤1👍1