LDAP概述
对于那些并不熟悉Lightwieght Directory Access Protocol (LDAP)人来讲，它大概像是一个目录信息。虽然LDAP在很多平台被使用，但在windows的域环境中它却是 Active Directory Services (ADS)的核心，ADS负责windows域的认证和授权，但也储存了大量的信息，这些信息包括但不限于域用户，计算机用户，域用户组，安全策略和软件更新。每一个对象都有多种属性与之关联，并且其中大部分的属性都可以通过LDAP查询。比如每一个用户都有一个”Created”的属性包含了账号创建时间。同样的每一个账户都有一个” ServicePrincipleName”属性，这也是本文接下来的重点。
微软的文档中是这样陈述的：”ServicePrincipleName（SPN）是客户端用来唯一标识一个服务实例的名称”,在略读后发现这大概为了便利widnows域中的Kerberos认证，但我们可以用它来做一些其他的事，对于我们来说，多值的ServicePrincipleName是很方便的。因为在Active Directory中任何一个用户和计算机对象都储存了账户在域中的运行的服务信息。所以这就可以很方便的定位像IIS、SQL Server，及LDAP。同样也可以很方便的查询到对应的用户在哪里登陆(比如域管理员)。这相对来说要简单些，因为SPN有一个标准化的命令约定。SPN格式为SERVICE/HOST,但有时也会包含端口像 SERVICE/HOST:PORT。 比如，如果一个域用户曾在acme.com域中运行DNS和SQL Server服务
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
对于那些并不熟悉Lightwieght Directory Access Protocol (LDAP)人来讲，它大概像是一个目录信息。虽然LDAP在很多平台被使用，但在windows的域环境中它却是 Active Directory Services (ADS)的核心，ADS负责windows域的认证和授权，但也储存了大量的信息，这些信息包括但不限于域用户，计算机用户，域用户组，安全策略和软件更新。每一个对象都有多种属性与之关联，并且其中大部分的属性都可以通过LDAP查询。比如每一个用户都有一个”Created”的属性包含了账号创建时间。同样的每一个账户都有一个” ServicePrincipleName”属性，这也是本文接下来的重点。
微软的文档中是这样陈述的：”ServicePrincipleName（SPN）是客户端用来唯一标识一个服务实例的名称”,在略读后发现这大概为了便利widnows域中的Kerberos认证，但我们可以用它来做一些其他的事，对于我们来说，多值的ServicePrincipleName是很方便的。因为在Active Directory中任何一个用户和计算机对象都储存了账户在域中的运行的服务信息。所以这就可以很方便的定位像IIS、SQL Server，及LDAP。同样也可以很方便的查询到对应的用户在哪里登陆(比如域管理员)。这相对来说要简单些，因为SPN有一个标准化的命令约定。SPN格式为SERVICE/HOST,但有时也会包含端口像 SERVICE/HOST:PORT。 比如，如果一个域用户曾在acme.com域中运行DNS和SQL Server服务
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
适用于Tomcat 8,9,10，因为8以下不能调用getContextClassLoader()获取到StandardContext，但是可以用于shiro回显
从ApplicationFilterChain找request和response还是太深的调用栈了。
从最开始的Http11Processor开始看起
其核心方法肯定是service()，在service()方法内，调用了getAdapter().service(request,response)，其中的参数request,response静态变量分别是Request和Response对象
获取Request、Response，那参照上面JSP获取StandardContext的方法2
我草，直接在Http11Processor反射取request和response字段的值不就完了，那怎么获取当前环境的Http11Processor呢？
request和response并不是Http11Processor的字段，而是其父类AbstractProcessor的字段
找下看request和response在哪赋的值，栈里面可以看出在Http11Processor.service的上两帧，调用了AbstarctProtocol$ConnectionHandler#process
在调用到AbstractProcessorLight之前，有两个processor == null的if块。第一个是从recycledProcessors出栈，也就是看看缓存表里是否已有Processor了；第二个if块内，也就是缓存表里没有Processor，就调用createProcessor()新建一个。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
从ApplicationFilterChain找request和response还是太深的调用栈了。
从最开始的Http11Processor开始看起
其核心方法肯定是service()，在service()方法内，调用了getAdapter().service(request,response)，其中的参数request,response静态变量分别是Request和Response对象
获取Request、Response，那参照上面JSP获取StandardContext的方法2
我草，直接在Http11Processor反射取request和response字段的值不就完了，那怎么获取当前环境的Http11Processor呢？
request和response并不是Http11Processor的字段，而是其父类AbstractProcessor的字段
找下看request和response在哪赋的值，栈里面可以看出在Http11Processor.service的上两帧，调用了AbstarctProtocol$ConnectionHandler#process
在调用到AbstractProcessorLight之前，有两个processor == null的if块。第一个是从recycledProcessors出栈，也就是看看缓存表里是否已有Processor了；第二个if块内，也就是缓存表里没有Processor，就调用createProcessor()新建一个。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
1、本系统暂不支持 PHP5.6 以上，所以请“尽可能的调低您的 PHP 版本”，避免出现未知错误。
2、直接进入地址（域名/install），进入系统安装程序界面，请注意安装程序的要求和条件，并填写数据库及管理员信息，然后按照步骤安装即可。
3、安装成功以后，切记要删除安装程序，避免二次安装导致数据覆盖，删除的目录有（/install、/c/install）俩个目录，或者在后台首页也可以删除安装目录。
然后配置一下数据库，首先进入后台后可以备份数据，然后在恢复数据部分就有我们的数据了，然后我们点击删除。可以看到这里直接获取我们的文件名，然后直接删除，并没有限制目录
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
2、直接进入地址（域名/install），进入系统安装程序界面，请注意安装程序的要求和条件，并填写数据库及管理员信息，然后按照步骤安装即可。
3、安装成功以后，切记要删除安装程序，避免二次安装导致数据覆盖，删除的目录有（/install、/c/install）俩个目录，或者在后台首页也可以删除安装目录。
然后配置一下数据库，首先进入后台后可以备份数据，然后在恢复数据部分就有我们的数据了，然后我们点击删除。可以看到这里直接获取我们的文件名，然后直接删除，并没有限制目录
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
某luo数据包加密逆向
抓包发现，大部分请求包和返回包都加密了，但是发现做了frida检测
第一种是使用修改过特征的frida-server
这里使用的是florida-server
找到用于检测的库，在它检测之前nop掉检测函数或者是直接删了这个so库
运行后发现在进入了libmsaoaidsec库后发生进程终止，说明这个库里存在检测机制
进入这个app文件夹里删了这个库
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
抓包发现，大部分请求包和返回包都加密了，但是发现做了frida检测
第一种是使用修改过特征的frida-server
这里使用的是florida-server
找到用于检测的库，在它检测之前nop掉检测函数或者是直接删了这个so库
运行后发现在进入了libmsaoaidsec库后发生进程终止，说明这个库里存在检测机制
进入这个app文件夹里删了这个库
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
1.处理 Socket 连接，负责网络字节流与 Request 和 Response 对象的转化。
2.加载并管理 Servlet ，以及处理具体的 Request 请求。
所以 Tomcat 设计了两个核心组件连接器（Connector）和容器（Container）。
连接器负责对外交流，容器负责内部处理
Tomcat为了实现支持多种 I/O 模型和应用层协议，一个容器可能对接多个连接器，就好比一个房间有多个门。
Server 对应的就是一个 Tomcat 实例。
Service 默认只有一个，也就是一个 Tomcat 实例默认一个 Service。
Connector：一个 Service 可能多个 连接器，接受不同连接协议。
Container: 多个连接器对应一个容器，顶层容器其实就是 Engine。
每个组件都有对应的生命周期，需要启动，同时还要启动自己内部的子组件，比如一个 Tomcat 实例包含一个 Service，一个 Service 包含多个连接器和一个容器。而一个容器包含多个 Host， Host 内部可能有多个
Context 容器，而一个 Context 也会包含多个 Servlet，所以 Tomcat 利用组合模式管理组件每个组件，对待过个也想对待单个组一样对待。整体上每个组件设计就像是「俄罗斯套娃」一样。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
2.加载并管理 Servlet ，以及处理具体的 Request 请求。
所以 Tomcat 设计了两个核心组件连接器（Connector）和容器（Container）。
连接器负责对外交流，容器负责内部处理
Tomcat为了实现支持多种 I/O 模型和应用层协议，一个容器可能对接多个连接器，就好比一个房间有多个门。
Server 对应的就是一个 Tomcat 实例。
Service 默认只有一个，也就是一个 Tomcat 实例默认一个 Service。
Connector：一个 Service 可能多个 连接器，接受不同连接协议。
Container: 多个连接器对应一个容器，顶层容器其实就是 Engine。
每个组件都有对应的生命周期，需要启动，同时还要启动自己内部的子组件，比如一个 Tomcat 实例包含一个 Service，一个 Service 包含多个连接器和一个容器。而一个容器包含多个 Host， Host 内部可能有多个
Context 容器，而一个 Context 也会包含多个 Servlet，所以 Tomcat 利用组合模式管理组件每个组件，对待过个也想对待单个组一样对待。整体上每个组件设计就像是「俄罗斯套娃」一样。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
网络安全公司Point Wild的Lat61威胁情报团队发现了一种新型多阶段恶意软件攻击活动。攻击者通过精心设计的Windows快捷方式（LNK）文件传播危险的远程访问木马（RAT）REMCOS。LNK文件是Windows系统中指向程序或文件的简单指针。
Point Wild首席技术官Zulfikar Ramzan博士主导的研究显示，攻击始于看似无害的快捷方式文件（可能通过邮件附件传播），文件名通常伪装成"ORDINE-DI-ACQUIST-7263535"等形式。当用户点击该文件时，LNK文件会在后台静默执行PowerShell命令。PowerShell本是Windows用于任务自动化的强大命令行工具，但在此次攻击中被用于下载/解码隐藏恶意载荷。
攻击的隐蔽层级设计
该攻击活动采用多层伪装实现隐蔽性。初始PowerShell命令执行后，会从远程服务器获取Base64编码的载荷。Base64是将二进制数据编码为文本的常用方法，攻击者借此将恶意代码隐藏在看似普通的数据中。
下载解码后的载荷会以程序信息文件（.PIF）形式启动，这是一种常用于旧版程序的可执行文件类型。攻击者将其伪装成"CHROME.PIF"仿冒合法程序。最终阶段将安装REMCOS后门，使攻击者完全控制受害系统。该恶意软件还会在%ProgramData%目录下创建Remcos文件夹存放键盘记录日志，确保自身持久化驻留。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
Point Wild首席技术官Zulfikar Ramzan博士主导的研究显示，攻击始于看似无害的快捷方式文件（可能通过邮件附件传播），文件名通常伪装成"ORDINE-DI-ACQUIST-7263535"等形式。当用户点击该文件时，LNK文件会在后台静默执行PowerShell命令。PowerShell本是Windows用于任务自动化的强大命令行工具，但在此次攻击中被用于下载/解码隐藏恶意载荷。
攻击的隐蔽层级设计
该攻击活动采用多层伪装实现隐蔽性。初始PowerShell命令执行后，会从远程服务器获取Base64编码的载荷。Base64是将二进制数据编码为文本的常用方法，攻击者借此将恶意代码隐藏在看似普通的数据中。
下载解码后的载荷会以程序信息文件（.PIF）形式启动，这是一种常用于旧版程序的可执行文件类型。攻击者将其伪装成"CHROME.PIF"仿冒合法程序。最终阶段将安装REMCOS后门，使攻击者完全控制受害系统。该恶意软件还会在%ProgramData%目录下创建Remcos文件夹存放键盘记录日志，确保自身持久化驻留。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
对利用客户端弹窗挂马的某病毒服务器取证发现的flash漏洞exp
据了解很多软件厂商对自身广告流量的管理监控都存在漏洞，有些甚至经过了多层代理分包，又缺乏统一有力的安全审核机制，导致被插入网页木马的“染毒流量”被大批推送到客户端，最终导致用户系统感染病毒。在样本溯源过程中，我们甚至在某知名音乐软件中发现一个专门用于暗刷广告流量的子模块。用户越多责任越大，且行且珍惜。
流量劫持的故事继续发展，当一个网络数据包成功躲开了本地主机系统上的层层围剿，离开用户主机穿行于各个路由网关节点，又开启了一段新的冒险之旅。在用户主机和远程服务器之间的道路同样是埋伏重重，数据包可能被指引向错误的终点(DNS劫持)，也可能被半路冒名顶替(302重定向)，或者直接被篡改(http注入)。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
据了解很多软件厂商对自身广告流量的管理监控都存在漏洞，有些甚至经过了多层代理分包，又缺乏统一有力的安全审核机制，导致被插入网页木马的“染毒流量”被大批推送到客户端，最终导致用户系统感染病毒。在样本溯源过程中，我们甚至在某知名音乐软件中发现一个专门用于暗刷广告流量的子模块。用户越多责任越大，且行且珍惜。
流量劫持的故事继续发展，当一个网络数据包成功躲开了本地主机系统上的层层围剿，离开用户主机穿行于各个路由网关节点，又开启了一段新的冒险之旅。在用户主机和远程服务器之间的道路同样是埋伏重重，数据包可能被指引向错误的终点(DNS劫持)，也可能被半路冒名顶替(302重定向)，或者直接被篡改(http注入)。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
Objective-C 中的方法调用通过使用 objc_msgSend(void /* id self, SEL op, ... */) 函数向对象发送消息，上面的代码：[a characterAtIndex:1] 在运行时转换为：objc_msgSend(id self, @selector(characterAtIndex:), 1) 。接下来继续剖析id和SEL数据类型，来揭开 objc 消息发送机制的神秘面纱。
id 是 objc 中指向任何(NSObject)类实例的指针（和C中的 void*还是有所区别的 void*指一个未知类型或未知内容的指针），id定义在 runtime/objc.h 头文件中：
/// An opaque type that represents an Objective-C class.
typedef struct objc_class *Class;
/// Represents an instance of a class.
struct objc_object {
Class _Nonnull isa OBJC_ISA_AVAILABILITY;
};
/// A pointer to an instance of a class.
typedef struct objc_object *id;
objc_class 结构它具有名称 ( name ) 、指向其超类 ( super_class ) 的指针、指向实例变量的指针 ( ivars )、方法列表 ( methodLists )、缓存 ( cache )，最后是协议列表 ( protocols )。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang
id 是 objc 中指向任何(NSObject)类实例的指针（和C中的 void*还是有所区别的 void*指一个未知类型或未知内容的指针），id定义在 runtime/objc.h 头文件中：
/// An opaque type that represents an Objective-C class.
typedef struct objc_class *Class;
/// Represents an instance of a class.
struct objc_object {
Class _Nonnull isa OBJC_ISA_AVAILABILITY;
};
/// A pointer to an instance of a class.
typedef struct objc_object *id;
objc_class 结构它具有名称 ( name ) 、指向其超类 ( super_class ) 的指针、指向实例变量的指针 ( ivars )、方法列表 ( methodLists )、缓存 ( cache )，最后是协议列表 ( protocols )。
⚫️⚫️⚫️渗透测试，#删库，数据删除 拿数据库 木马注入 破解，提权，Dns动持⚫️⚫️⚫️
#黑客接单 @逆向破解 #渗透
@changwaiguang