当黑客不讲武德 安全专家也容易被骗
漏洞研究者是大家心目中的安全专家，然而当安全专家的心理弱点被不讲武德的黑客利用，专家电脑上高价值的智力资产就会处于危险的境地，然而更危险的是这些本用于研究目的信息中如果存在可被武器化的内容，就导致研究人员无意中成为这些黑客的帮凶。
事件影响
26日，谷歌威胁分析小组披露了一系列来自东北亚某国黑客组织的针对安全研究人员(尤其是漏洞研究人员)的攻击活动。攻击者使用疑似Lazarus APT组织的攻击基础设施，结合非常具有迷惑性的社工操作，骗取受害者信任，并可能以盗取安全公司电脑上的高价值漏洞研究资料达到攻击目的。目前国内已有一定数量的安全研究人员受到这个组织的欺骗，其研究电脑的敏感信息泄露。
攻击技巧
攻击者为了与安全研究者建立互信并保持联系，首先会在一些社交媒体上发布一些漏洞研究博客和Twitter，吸引相关研究者的关注。其已知的攻击策略有两种：
(1)在Twitter上进行一段时间的技术交流获得研究者信任后，攻击者会询问研究人员是否愿意开展合作研究，并向受害研究人员提供一个经过PGP加密的所谓“开展漏洞研究的VS源码项目”。其中在编译配置文件中调用了一段powershell脚本，加载了第一阶段的恶意DLL，进行一系列持久化配置在受害的研究者电脑建立后门，并与其C2服务建立连接，成为一个被控的目标。
(2)攻击者Twitter会链接到他们搭建的以漏洞研究博客为内容却包含疑似漏洞利用恶意代码的水坑站点。当受害者浏览相关页面时，其电脑将被安装一个恶意服务，并启动一个内存后门程序，开始与攻击者的C2建立连接，成为一个被控的目标。
在此，攻击者利用了安全研究人员的多个心理弱点：
(1)研究者往往以为攻击者是个安全研究同行，且攻击者并不像其他漏洞贩子那样有金钱诉v求，并在github上有长达近一年的持续内容更新，导致研究者降低了心理防御；
(2)漏洞研究者收到的攻击者的VS代码看来是明文，而研究者往往忽视对待编译代码配置文件的审计，意识不到编译过程中恶意代码就会执行；
攻击溯源
对比Lazarus组织2020年9月的攻击活动，从攻击者使用的C2域名，攻击技巧和恶意代码，可发现本次攻击事件Lazarus APT组织具有较大关联性。
（1）在基础设施上，有与Lazarus关联的C2（www.dronerc[.]it ，www.fabioluciani[.]com ），且使用的url有很大相似性：（2）在攻击手法上，通过rundll32 加载恶意文件，传入16位随机字符串解密密钥“5I9YjCZ0xlV45Ui8”，payload命名方式（都以db为后缀），也与Lazarus组织2020年9月攻击活动的手法相似：
漏洞研究者是大家心目中的安全专家，然而当安全专家的心理弱点被不讲武德的黑客利用，专家电脑上高价值的智力资产就会处于危险的境地，然而更危险的是这些本用于研究目的信息中如果存在可被武器化的内容，就导致研究人员无意中成为这些黑客的帮凶。
事件影响
26日，谷歌威胁分析小组披露了一系列来自东北亚某国黑客组织的针对安全研究人员(尤其是漏洞研究人员)的攻击活动。攻击者使用疑似Lazarus APT组织的攻击基础设施，结合非常具有迷惑性的社工操作，骗取受害者信任，并可能以盗取安全公司电脑上的高价值漏洞研究资料达到攻击目的。目前国内已有一定数量的安全研究人员受到这个组织的欺骗，其研究电脑的敏感信息泄露。
攻击技巧
攻击者为了与安全研究者建立互信并保持联系，首先会在一些社交媒体上发布一些漏洞研究博客和Twitter，吸引相关研究者的关注。其已知的攻击策略有两种：
(1)在Twitter上进行一段时间的技术交流获得研究者信任后，攻击者会询问研究人员是否愿意开展合作研究，并向受害研究人员提供一个经过PGP加密的所谓“开展漏洞研究的VS源码项目”。其中在编译配置文件中调用了一段powershell脚本，加载了第一阶段的恶意DLL，进行一系列持久化配置在受害的研究者电脑建立后门，并与其C2服务建立连接，成为一个被控的目标。
(2)攻击者Twitter会链接到他们搭建的以漏洞研究博客为内容却包含疑似漏洞利用恶意代码的水坑站点。当受害者浏览相关页面时，其电脑将被安装一个恶意服务，并启动一个内存后门程序，开始与攻击者的C2建立连接，成为一个被控的目标。
在此，攻击者利用了安全研究人员的多个心理弱点：
(1)研究者往往以为攻击者是个安全研究同行，且攻击者并不像其他漏洞贩子那样有金钱诉v求，并在github上有长达近一年的持续内容更新，导致研究者降低了心理防御；
(2)漏洞研究者收到的攻击者的VS代码看来是明文，而研究者往往忽视对待编译代码配置文件的审计，意识不到编译过程中恶意代码就会执行；
攻击溯源
对比Lazarus组织2020年9月的攻击活动，从攻击者使用的C2域名，攻击技巧和恶意代码，可发现本次攻击事件Lazarus APT组织具有较大关联性。
（1）在基础设施上，有与Lazarus关联的C2（www.dronerc[.]it ，www.fabioluciani[.]com ），且使用的url有很大相似性：（2）在攻击手法上，通过rundll32 加载恶意文件，传入16位随机字符串解密密钥“5I9YjCZ0xlV45Ui8”，payload命名方式（都以db为后缀），也与Lazarus组织2020年9月攻击活动的手法相似：
浅谈Springboot中的文件上传
在JavaWeb应用中，任意文件上传一直是关注的重点，攻击者通过上传恶意jsp文件，可以获取服务器权限。但是在Springboot框架对JSP解析存在一定的限制。Spring官方原文如下，大概意思是jsp对内嵌的容器的支持不太友好，推荐使用thymeleaf这类的模版引擎进行渲染。
那么针对Springboot应用，即使存在任意文件上传缺陷，按照传统的思路直接上传jsp文件，也是无法达到理想的效果的。下面通过查看其具体的实现方式来看看有没有相关的利用思路，同时在日常项目开发中应该注意些什么。
Springboot文件上传的实现
首先看看在Springboot中如何实现文件上传功能，在网上找了个教程，Controller的代码如下,Spring会自动解析multipart/form-data请求，将multipart中的对象封装到MultipartRequest对象中
在JavaWeb应用中，任意文件上传一直是关注的重点，攻击者通过上传恶意jsp文件，可以获取服务器权限。但是在Springboot框架对JSP解析存在一定的限制。Spring官方原文如下，大概意思是jsp对内嵌的容器的支持不太友好，推荐使用thymeleaf这类的模版引擎进行渲染。
那么针对Springboot应用，即使存在任意文件上传缺陷，按照传统的思路直接上传jsp文件，也是无法达到理想的效果的。下面通过查看其具体的实现方式来看看有没有相关的利用思路，同时在日常项目开发中应该注意些什么。
Springboot文件上传的实现
首先看看在Springboot中如何实现文件上传功能，在网上找了个教程，Controller的代码如下,Spring会自动解析multipart/form-data请求，将multipart中的对象封装到MultipartRequest对象中
再聊钓鱼文档
XLM Macro(Excel 4.0)
与一般的office文档不同的是，其格式为XLM，不同于其他的XML，XLM被创建于1992年，比VBA还要早出很多。
XLM Macro(Excel 4.0)
与一般的office文档不同的是，其格式为XLM，不同于其他的XML，XLM被创建于1992年，比VBA还要早出很多。
❤1
去除试用版ioncube_encoder_xxx_64的14天限制
XYM让看一下ionCube，一款PHP加密工具。有试用版Encoder，Decoder是免费的。
$ cd /home/scz/src/php
$ php -c php.ini -f hello.php
Hello World
$ ./ioncube_encoder_xxx_64 hello.php -o hello_enc.php
Error: The Encoder evaluation period has expired.
一个月前还可以试用ionCube Encoder，中间去支持其他逆向工程的活儿，回来再测就提示试用结束。
在"ioncube_encoder_evaluation/EVALUATION-README.txt"中看到
XYM让看一下ionCube，一款PHP加密工具。有试用版Encoder，Decoder是免费的。
$ cd /home/scz/src/php
$ php -c php.ini -f hello.php
Hello World
$ ./ioncube_encoder_xxx_64 hello.php -o hello_enc.php
Error: The Encoder evaluation period has expired.
一个月前还可以试用ionCube Encoder，中间去支持其他逆向工程的活儿，回来再测就提示试用结束。
在"ioncube_encoder_evaluation/EVALUATION-README.txt"中看到
事实证明，您可以将 IPv6 片段放入 IPv6 片段中，这将触发递归数据包重组。这并不是什么新鲜事：事实上，这个想法是我从研究员Antonios Atlasis在 Troopers 2013 会议上的演讲中得到的，他长期以来一直在滥用片段和扩展标头对 IPv6 堆栈进行攻击。
值得注意的是，并非所有操作系统都接受嵌套的 IPv6 片段：Windows 接受，但其他一些系统（如 FreeBSD）不接受。
值得注意的是，并非所有操作系统都接受嵌套的 IPv6 片段：Windows 接受，但其他一些系统（如 FreeBSD）不接受。
拿下内网edr
获取edr系统权限
通过shell执行tasklist发现此机器装了某edr
扫描c段443端口发现https://172.x.x.x为某edr web管理界面
用frp开个代理
用已经公开的漏洞测了一遍发现，存在一处命令执行漏洞没修
利用公开的脚本直接弹了一个shell回来
此次的目的不是获取这个edr的服务器权限，而是可以进到web管理界面可以做到给终端下发后门。所以目标为的登录web管理界面
首先的想法是找数据库账号密码然后登录进后台。
获取edr系统权限
通过shell执行tasklist发现此机器装了某edr
扫描c段443端口发现https://172.x.x.x为某edr web管理界面
用frp开个代理
用已经公开的漏洞测了一遍发现，存在一处命令执行漏洞没修
利用公开的脚本直接弹了一个shell回来
此次的目的不是获取这个edr的服务器权限，而是可以进到web管理界面可以做到给终端下发后门。所以目标为的登录web管理界面
首先的想法是找数据库账号密码然后登录进后台。
牛红红的日记（平平无奇拿下域控）
步骤一： 获取网站权限
我根据老头给的线索进行了访问，发现是一个JBOOS控制台。
一瞬间我的脑海闪过很多想法，于是我用了最简单的一种方法，老头，你这线索的利用的工具给我用用呗，经过软磨硬泡终于从老头那骗来了java反序列化终极测试工具。发现目标存在命令执行漏洞，存在域控。
但是发现老头给的工具部分命令执行不完整，没办法，看来得先获取一个webshell。
方法一：利用此工具上传上传webshell至网站根目录。
利用工具自带文件管理功能，找到文件web目录
步骤一： 获取网站权限
我根据老头给的线索进行了访问，发现是一个JBOOS控制台。
一瞬间我的脑海闪过很多想法，于是我用了最简单的一种方法，老头，你这线索的利用的工具给我用用呗，经过软磨硬泡终于从老头那骗来了java反序列化终极测试工具。发现目标存在命令执行漏洞，存在域控。
但是发现老头给的工具部分命令执行不完整，没办法，看来得先获取一个webshell。
方法一：利用此工具上传上传webshell至网站根目录。
利用工具自带文件管理功能，找到文件web目录