PfSense命令注入漏洞分析
🚀下面展示的是脚本diag_dns.php中存在命令注入漏洞的代码片。我们可以看到，这段代码首先检查POST参数host是否存在，如果存在的话，就将变量$GET的值赋给变量$POST。然后，代码继续检查GET参数createalias的值是否等于true，如果是的话，则把POST参数host的值的首尾空白符去掉：trim()函数的作用就是去掉字符串首尾处的空白符，但是字符串中间部分的空白符则保持不变。之后，还有一些其他语句，不过它们并不是我们这里关注的重点，我们关心的是如何插入在反引号中运行的命令。🎉
💰💰💰💰💰💰💰💰
我们已经在用户提供的POST参数host放入了一个特殊字符;，这个字符的作用是分隔多个顺序执行的命令。需要注意的是这种情况下，只有当第一条命令返回``（成功返回）的时候，第二条命令才会被执行；因此，只有确保前面的命令全部成功，后面的命令才能得以执行。下面给出一些可以放在反引号中执行的命令：

# dig "192.168.1.1";
# ifconfig>/usr/local/www/temp.txt;
# echo+"" A | grep "192.168.1.1";
# ifconfig>/usr/local/www/temp.txt;
# echo+"" | grep -v ";" | awk '{ print $5 }'

💎💎💎💎💎💎

从django的SECRET_KEY到代码执行
💎最近审查代码发现某些产品在登录的JS代码中泄露了SECRET_KEY,将该值作为密码加密的盐，这样就暴露了加密salt不太好吧更重要的是对django的安全造成了极大的威胁。💎
🤘🤘🤘🤘🤘
🤘在django1.6以下，session默认是采用pickle执行序列号操作，在1.6及以上版本默认采用json序列化。代码执行只存在于使用pickle序列话的操作中。
2.3 session处理流程
可以简单的分为两部分，process_request和process_response,前者负责选择session引擎，初始化cookie数据。见代码🪩

class SessionMiddleware(object):
    def process_request(self, request):
        engine = import_module(settings.SESSION_ENGINE)
        session_key = request.COOKIES.get(settings.SESSION_COOKIE_NAME, None)
        request.session = engine.SessionStore(session_key)

♥️♥️♥️♥️♥️♥️♥️♥️
🔥此次攻击最早由i_82发现，他是一名来自扬州大学的学生、WeipTech成员。WeipTech是一个非职业技术团体，由WeiPhone(中国最大的Apple粉丝网站)的用户组成。之前WeipTech与我们合作，披露了iOS和OS X上的恶意软件AppBuyer、WireLurker。
从2015-07-01开始，WeipTech 开始调查一些用户Apple账户在未经授权的情况下，购买和安装了iOS app。再对用户安装的越狱应用进行调查后，他们发现了一款越狱应用收集用户信息，并上传到一个未知的网站。他们发现这个网站存在SQL注入，能够查看到所有的数据记录。Figure 1是”top 100”数据库的截图🎉
🔥🔥🔥🔥🔥🔥🔥
通过逆向恶意应用，WeipTech 发现了一段代码，这段代码中使用静态key为“mischa07”的AES加密算法对数据进行加密。利用静态key，我们能够解密用户名和密码。经过登陆验证，他们确信记录中的信息都是有效的Apple账户。在网站管理员发现、关闭服务之前，WeipTech调查人员下载了大约一半的数据库记录。
8月25日，WeipTech在微博发布漏洞预警，将漏洞提交到WooYun（乌云漏洞报告平台），并后续转交第三方合作机构CNCERT/CC（国家互联网应急响应中心）处理。
😘🥰🥰😘😘😎😎🥰

💰💰frp 是一款高性能的反向代理应用，专注于内网穿透。它支持多种协议，包括 TCP、UDP、HTTP、HTTPS 等，并且具备 P2P 通信功能。使用 frp，您可以安全、便捷地将内网服务暴露到公网，通过拥有公网 IP 的节点进行中转。💰💰
👍👍👍👍👍👍
🥰🥰渗透内网机器：当通过打点进入到目标内网后，在内网机器启动frp客户端连接公网frp服务端，即可通过您的公网机器对目标内网环境进行扫描。
🥰🥰内网穿透：在企业网络环境中，您可能有一些内部服务需要对外提供访问，比如内部网站、应用程序等。使用 FRP 可以轻松地实现内网穿透，让外部用户通过公网访问内部服务，而无需直接暴露内网的 IP 地址。
🥰🥰轻量级代理服务：FRP 还可以用作轻量级的代理服务，通过端口转发功能，将公网上的请求转发到内部服务器上，以实现负载均衡、流量控制等功能。

🤘🤘SecLists 是一个为网络安全人员准备的超实用工具库，里面收集了各种常用的列表和字典，帮助安全研究人员、渗透测试员更轻松地进行漏洞挖掘。比如，它包含常见的用户名和密码组合、常用网址路径、SQL注入的代码段、网络扫描用的字典等等。这些资源让测试人员能够更快速地发现系统的薄弱环节，比如用常见密码入侵、寻找隐藏的敏感文件或路径等。SecLists 是由安全专家们一起维护的，内容覆盖面广，更新频繁，因此成为了安全测试工作中的必备工具。无论是初学者还是经验丰富的安全专家，都可以从中受益，提升工作效率。🤘🤘
💎💎💎💎💎
😆😆这个字典是Github上53K✨的高分项目，文件大小约1.1G，字典十分的精致与全面，本文三言两语无法概括该项目的强大😆😆

💎💎💎💎💎💎
💎RMI是远程方法调用的简称，是J2SE的一部分，能够让程序员开发出基于Java的环球应用。一个RMI对象是一个远程Java对象，可以从另一个Java虚拟机上（甚至跨网络）调用的方法，可以像调用本地Java对象的方法一样调用远程对象的方法，使分配在不同的JVM中的对象的外部行为和都像本地对象一样。🪩

这里将java反序列化漏洞的payload封装了下，PayloadGeneration.generateExecPayload("calc");会产生一个执行calc命令的对象，有兴趣的可以在我的github上查看源码。然后，将我们的payload发送到RMI服务端口进行攻击。
registry.bind("pwned", r);中r对象必须继承Remote接口。所以这里使用了java动态代理技术来代理Remote接口并生成其对象r。然后使用bind函数将攻击payload发送到RMI服务中，远程执行calc命令，攻击完成。

👅按照原文的代码利用，这里没有覆盖成功。其中有payload的问题，所以用了我自己写的封装好的payload，比较方便。另外，我们一开始认为攻击1099端口，我的好同学研究发现应该是1090端口，这才攻击成功。
💎💎💎💎💎💎💎💎

🚗🚗🚗🚗🚗🚗🚗🚗🚗🚗
😆近日，安卓市场上出现了一种名叫”变脸”的木马病毒，该病毒通过在正常安卓应用程序中插入恶意扣费代码，诱使用户下载安装后，在程序启动时，拉起恶意代码执行，用户在使用软件的同时，莫名其妙地被恶意扣费，手段隐蔽，用户毫不知情。被植入恶意代码的应用往往是下载和使用量较大的应用程序，所以攻击面非常广泛。🔥
💎该病毒运行是伴随正常应用程序同时启动的，病毒代码植入到正常应用中，当应用程序执行时，会伴随拉起恶意代码，恶意代码解密一段自带的加密网址，解密后访问该网址链接。🪩
🪩该网址是一个云端控制服务器，通过给木马下发控制指令，通知木马是否发送扣费短信，并且扣费短信号码也是通过云端下发到中毒手机上。所以，从木马中无法获取到发送扣费短信的信息和号码等关键内容，具有隐蔽性。🤘
💎💎💎💎💎💎
同时木马还注册了拦截短信的服务，该服务会拦截短信内容，判断短信发送方的号码是否是以10开头的，如果是，则屏蔽掉该短信，导致中毒手机开通的扣费服务运营商发送的短信回执无法接收到，用户被木马默默开通了扣费服务。
💎💎💎💎💎💎💎

🤘🤘🤘🤘🤘🤘🤘🤘
🪩上篇介绍了利用SSP来维持域控权限，美中不足在于其需要域控重启才能生效，而在众多的域渗透方法中，当然存在不需要域控重启即能生效的方法，所以这次就介绍其中的一个方法——Skeleton Key🔥
Skeleton Key被安装在64位的域控服务器上
支持Windows Server2003—Windows Server2012 R2
能够让所有域用户使用同一个万能密码进行登录
现有的所有域用户使用原密码仍能继续登录
重启后失效
🥳🥳🥳🥳🥳🥳🥳🥳🥳🥳

🍓Mimikatz(Version 2.0 alpha,20150107)支持 Skeleton Key
微软在2014年3月12日添加了LSA保护策略，用来防止对进程lsass.exe的代码注入，这样一来就无法使用mimikatz对lsass.exe进行注入，相关操作也会失败。
这次不仅测试了Skeleton Key，还介绍了mimikatz的一些隐藏功能，而这些功能并未在其官方说明文档中出现。🥳
🥳其实通过研究mimikatz的源码，你会发现还有许多的隐藏功能值得挖掘利用。🥳
还是那句老话，只有了解如何攻击才能更好的防御，希望本文无论是对渗透攻击还是防御，均有帮助。

🥰🪩🥳🍓🥰

🔼🔼🔼🔼🔼🔼🔼🔼
🗓一般的应用场景是在嵌入式设备的外设中，比如要实施刷新LED显示屏，实施记录大量传感器数据，等。这需要开发人员在自己的驱动程序和用户代码中同时实现mmap的逻辑才能够实现。
函数remap_pfn_range()并不会检查传入的参数，它会完全按照需求的内存起始位置，所需长度，访问权限，去映射页面进用户态。所有这些检查都需要自定义的驱动中实现的mmap函数去完成。🆒
👀上面的截图是官方文档中给出的例子，当然不能用这段代码直接用到产品中！‼️
👀android系统的整体安全架构是很繁复庞大的，上文中出现的漏洞如果发生在某个驱动中是不能单独被利用提权的。因为其他应用没有权限去访问这个有问题的驱动。但是如果这个驱动的访问权限再出错‼️
🔥🔥🔥🔥🔥🔥🔥🔥🔥🔥

🚀🚀🚀🚀🚀🚀🚀🚀🚀
🕯众所周知，现代操作系统为了安全和统筹硬件的原因，采用了一套非常复杂的管理内存的方式，并由此产生了物理地址，逻辑地址，虚拟地址等概念。
kernel与用户态进程拥有不同的逻辑地址空间，kernel所在的页面拥有更高的权限，用户权限是不可以随意更改的，否则岂不是可以改掉自己的权限，为所欲为。🕯
🚗🚗🚗🚗🚗🚗🚗🚗🚗🚗
👍不过这也不是完全密不透风的墙，内核提供了多种途径供用户态交流数据。其中如果需要在短时间内交换大量数据，并且有实时的要求，linux kernel 提供了一种简单有效的方式：共享内存——mmap syscall。😆

🍒🍒🍒🍒🍒🍒🍒🍒🍒🍒
👍原理也非常简单，映射给kernel的物理页面也同样映射一份给用户进程，并且修改掉权限属性。这样的话分属不同地址空间的两块内存实际上对应的是同一个物理页面，一方修改数据，另一方也能够实时看到变化。🍷
🤝🤝🤝🤝🤝🤝🤝🤝🤝🤝