Windows 操作系统中，默认情况下启用 IPv6。这意味着系统会定期轮询 IPv6 租约，因为 IPv6 是比 IPv4 更新的协议，并且 Microsoft 认为让 IPv6 优先于 IPv4 是一个好主意。

然而，在绝大多数组织中，IPv6 未被使用，这意味着攻击者可以劫持对 IPv6 地址的 DHCP 请求，并强制对攻击者控制的系统进行身份验证。我们通过将系统设置为主 DNS 服务器来做到这一点。

当用户尝试浏览内部资源时，他们将看到登录提示。

如果用户填写了他们的凭据，请拍拍自己的后背并喝杯啤酒，因为您从未经身份验证的角度成功地中继到了 LDAP。

比如说我们想要着上图中的com.whatsapp.app.protocol包里的内容，就可以设置trace（com.whatsapp.app.protocol）

使用 frida -UF -l demo.js -o 1.txt 命令进行 frida 注入，注意捕获到的东西可能有点多，可以在输出一段时间后，在控制台输入 exit 回车关掉。

输出结果如下，直接输入 sign 的值，发现存在，并打印出了堆栈：
金融股民渗透国内app，海外网站app，入侵后台，说裤数据库，dns持服务器进入等等
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

把 apk 文件拖到 jadx 进行，根据堆栈信息进行搜索，最终定位到下图这个地方：

其中 TreUtil.sign 函数就是我们生成处，可以使用 frida 代码验证位置是否正确，鼠标放到 sign 右键复制 frida 代码：

发现结果一致，我们继续向下分析，点进去这个函数，最后定位到 native 层加密，并加载 tre.so 文件：
金融股民渗透国内app，海外网站app，入侵后台，说裤数据库，dns持服务器进入等等
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

发现文件夹和分卷名可以自定义，如果为空或不满足条件的话，文件夹是时间戳、下划线和8位随机字符串的拼接，分卷名是volume-10位随机字符串-1.sql的形式，既然可以自定义，那么就简单多了。

访问链接http://ip:port/web/index.php?c=system&a=database&do=backup&status=1&start=2&folder_suffix=123&volume_suffix=456 进行数据库备份，则数据库备份文件的地址为：http://ip:port/data/backup/123/volume-456-1.sql
然后就可以随时获取cloud_transtoken了。接下来就可以进行shell的获取了。
金融股民渗透国内app，海外网站app，入侵后台，说裤数据库，dns持服务器进入等等
接渗透拿站，各大网站数据-拖库-提权联系
域名劫持 DNS 入侵网站 联系：@hacker_HouZiM

根据上面的分析，cloud_transtoken、authkey已经知道了，接下来就是构造payload了。

然后请求http://ip:port/web/index.php?c=cloud&a=dock&do=download ，data为生成的payload。