Enables workstations to accept multiple RDP sessions. Running this will cause the RDP service to restart, interrupting established RDP connections.

netexec smb ips_445.txt -u user -p passw0rd -x 'reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fSingleSessionPerUser /t REG_DWORD /d 0 /f && sc.exe stop TermService && sc.exe start TermService'

🟥 Hyperliquid 实时监控（持续）
—— 将「内幕地址」的 充值 / 提现 / 开仓 / 平仓 / 杠杆调整 同步到 Channel

🎯 监控目标
• 充值、提现、开/平仓、杠杆调整
• 触发即推送，附带交易方向、币对、金额、杠杆、仓位价值、Tx 链接

📏 触发规则
• 🆕 空白地址（首次出现）
• 💰 大额入款（≥ 10,000,000 USDT）
• ⚙️ 高杠杆（≥ 10×）
• 📦 大仓位合约操作

🛰️ 备注
• 0xb317d2bc2d3d2df5fa441b5bae0ab9d8b07283ae 在 2025/10/15 02:02:56 获利了结并提款。但依旧持续监控

Надо чекнуть на листе

记一个东西：机器不出网，有几种利用方法？（如何进一步横向）

情况A：允许udp或者ping出网，直接用DNS Beacon

情况B：NAT存在到机器SSH的映射，可以想办法拿到SSH登陆，SSH可以全双工当隧道

情况C：NAT只存在到web端口的映射，需要一个webshell做正向代理

上线CS案例：
记一次不出网环境下上线CS【实战案例】
CobaltStrike-一种特殊的不出网上线方式

相关项目：
reGeorg，Neo-reGeorg
Suo5
Chunk-Proxy

这里面想继续横向应该只能一路正向马Beacon connect，或者找到别的出网机器

这里大概也解释了很多文章所谓websocket隐蔽的原因，应该是针对这种隧道webshell，产生的日志少

想起来件有意思的事：一位大哥当时遇到了这种机器，让我上自研的linux马来解决问题，然而这压根不是马自己能解决的，只能让webshell做隧道

Во время проведения пентеста, в зависимости от типа полученного начального доступа, невозможно сразу определить, есть ли в сети FortiGate, который может прервать атаку. Вывод здесь заключается в том, что после получения доступа тестирование эксплойтов не должно быть первым шагом. Вместо этого необходимо сначала выполнить разведку сети, ищущую:

1. Порт 443 (веб-администрирование FortiGate)
2. Порт 10443 (доступ по SSL-VPN)

Если FortiGate будет идентифицирован, можно попытаться: получить доступ с использованием стандартных учетных данных, использовать учетные данные, которые применялись для получения начального доступа, если удается войти в FortiGate, можно перейти к функциональности IPS или настроить профиль, чтобы разрешить использование всех CVE.

Если учетные данные недействительны для доступа к FortiGate, но известна его наличие в сети, следует узнать, какие CVE покрываются IPS FortiGate, чтобы планировать тесты более стратегически, избегая срабатывания сигнатур, которые могут прервать эксплойтацию.

Каждое запланированное задание имеет это значение SD (Security Decrypt); при его удалении запланированное задание не будет отображаться на панели планировщика заданий. Здесь я создаю задание с именем "plink". А после удаления этого значения задание не будет видно

VMkatz

Without VMkatz, the traditional workflow looks like this: exfiltrate the entire VM disk or memory snapshot, mount it locally, install a full Windows analysis stack, load the snapshot into a debugger or use mimikatz on a booted copy, and manually piece together credentials from each VM - one at a time. Multiply that by a dozen VMs on the cluster and you are looking at days of bandwidth, tooling, and post-processing.

VMkatz exists because you shouldn't have to exfiltrate what you can read in place. It extracts Windows secrets - NTLM hashes, DPAPI master keys, Kerberos tickets, cached domain credentials, LSA secrets, NTDS.dit - directly from VM memory snapshots and virtual disks, on the NAS, the hypervisor, wherever the VM files are.