- 博客(55)
- 资源 (1)
- 收藏
- 关注
RSS订阅
原创 计算机内存取证之BitLocker恢复密钥提取还原
在计算机取证界，经常遇到嫌疑人的目标电脑的磁盘是经过BitLocker加密的，此时通常的做法是通过某种手段（WinPmem、DumpIt、DMA PCILeech，ColdBoot等）取得目标机内存镜像，同时对目标机的磁盘做一个磁盘镜像（WinFE，WinHex，FTKImage等）。而后，对获取的内存镜像分析（MemProcFS等工具）取得BitLocker的VMK密钥，然后通过VMK密钥解密目标磁盘镜像（取证大师等工具），进而获取磁盘中的文件。
2023-06-01 20:24:58
2518
9
原创 分析 - MTP操作文件阻塞卡死问题
一次项目，需要用到MTP协议存储文件数据，参考微软的WpdApiSample相关代码实现，下载地址如下：https://github.com/microsoft/Windows-classic-samples/releases/download/MicrosoftDocs-Samples/wpd-sample.zip功能代码完成后，在一次连续的通过MTP操作文件后，再次通过MTP操作文件时，出现调用阻塞较长时间的情况，这一情况只在MTP设备（手机）首次接入PC后出现，根据该情况进行分析。通过多次
2021-08-03 20:44:27
1349
8
原创 分析-ReadFile读取物理磁盘参数错误(87)问题
Windows读取物理磁盘很简单，通过文件操作相关API即可实现，如：handle = CreateFileA("\\\\.\\physicaldrive0",...);ReadFile(handle,...);CloseHandle(handle);
2021-06-18 15:24:06
2831
1
原创 实战：无线wifi密码破解与路由器入侵
工作之余，闲来无事，搞搞事情，不搞不知道，一搞还真搞了些东西，企业安全......呵呵！由于之前一直在做路由器项目，今天来看看周围的WiFi是否安全，开启我的Kali，插上USB无线网卡，目测我的网卡是拓实的双频无线网卡，Realtek 8812au芯片，开始在Github上clone下一个驱动，一阵make安装后，发现无法设置为monitor混杂模式，dmesg看到崩溃，看来Github上的驱动...
2018-03-28 11:47:43
56435
11
原创 Wannacry与SambaCry的综合利用
首先介绍一下网络环境，有两个内部网络，网段分别为10.0.0.0/24和192.168.0.0/24，10.0.0.0/24为内部不联网的网络，192.168.0.0/24为内部的联网的网络，不联网的网络中的主机是不能拷贝文件出来的，即只进不出（其实是通过360做限制的，安全模式下依然可以拷贝处文件），两个网络的文件交互通过一台主机来实现，这台主机的IP分别为10.0.0.9和192.168.0.
2017-06-14 15:25:47
1201
原创 KakaoTalk数据库和加密文件密钥生成方法
KakaoTalk的数据库为sqlite3数据库，经过加密处理，不同类别的数据库采用不同的密钥加密。聊天记录的数据库由一个称为PRAGMA KEY的密钥进行加密，这里简称为PK。
2024-02-29 10:48:29
982
原创 Apache Log4j 漏洞验证
首先下载JNDI-Injection-Exploit，该jar包实现RMI、LDAP服务功能，对外提供服务，且包含用于执行攻击命令的ExecTemplateJDK7.class和ExecTemplateJDK8.class模版文件。下载包含漏洞版本的log4j的jar包使用如下3个jar包文件添加上面3个jar包到工程：编写测试代码：import org.apache.log4j.Logger;public class Log4jDemo { /** ..
2021-12-15 11:48:04
3312
2
原创 实现SetThreadContext注入
shellcode：void __declspec(naked) inject_func(){ __asm { pushad; push 11111111h; // dll路径 mov eax, 22222222h; // LoadLibrary call eax; // 调用LoadLibrary popad; push 33333333h; // 返回地址 }}话不多说，撸代码，看代码int inject_running_thread(i
2021-08-17 11:42:42
522
原创 实现OutputDebugString输出调试消息
传递消息的结构体：struct dbwin_buffer{ DWORD dwProcessId; char data[4096 - sizeof(DWORD)];};具体实现，直接艹代码：void my_outputdebugstring_ansci(const char *msg){ HANDLE mutex = CreateMutexW(NULL, FALSE, L"DBWinMutex"); DWORD err = GetLastError();
2021-08-17 11:36:17
318
原创 分析-Bitlocker固定磁盘随系统自动解锁
PC中的一个分卷，如果启用了Bitlocker开机自动解锁功能，会在系统的注册表中记录自动解锁的密钥信息，该密钥信息是经过加密存储的，无法直接用来解密分卷。并且会生成一个meta entry type为0x000b的元数据，存储在加密的系统盘Bitlocker结构中。注册表位置如下：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FVEAutoUnlock\{volume identifier guid}其内容如下：Data部分的数据就是加
2021-06-18 13:53:49
2923
原创 【源码阅读】QT中一个通过栈实现嵌套列表遍历
QStack<QTreeWidgetItem*> stack; stack.push(item); while (!stack.isEmpty()) { QTreeWidgetItem *i = stack.pop(); i->view = 0; for (int c = 0; c < i->children.count(); ++c) { stack.push(i->children.at(c));..
2021-02-07 10:05:21
218
原创 Windows下sysnative，解决系统找不到指定文件问题
在Window 64位系统中，System32文件夹存放64位的程序，SysWoW64文件夹存放32位程序，当一个32位程序访问System32文件夹时，系统会自动重定向到SysWoW64文件夹，如：当32位程序通过CreateProcess创建C:\Windows\System32\nbtstat.exe进程时，系统自动重定向到C:\Windows\SysWoW64\nbtstat.exe文件，...
2020-02-21 10:25:43
5670
原创 通过SetupDixxx系列函数实现卸载磁盘设备（法证PE下实现读写方式挂载磁盘）
法证PE下，内置磁盘不会自动加载，需要手动将磁盘联机，通过手动操作磁盘管理器中磁盘实现联机，磁盘具备读写权限，但多个磁盘情况下，有的磁盘无法通过手动操作方式联机（但可以通过DiskPart工具实现将该磁盘连接，但联机后的磁盘为只读，并且无法抹掉磁盘的readonly属性），该种情况下如何实现所有磁盘联机并且具备读写权限呢？首先在DiskPart中设置磁盘san策略为onlineall，如下图所...
2018-09-18 14:53:15
1366
原创 基于Ghost Tunnel的实践，实现Air Gapping环境下的通信与远程执行
Ghost Tunnel技术相关介绍请参考：《Ghost Tunnel：适用于隔离网络的WiFi隐蔽传输通道》通过文章我们知道，实现这种攻击需要满足一下条件：需要在目标机中植入客户端程序，用以接收指令和发送目标机信息到控制端，植入方式可以为远程植入、现场植入；目标机需要具备无线网络适配器，一般笔记本是自带无线网卡的，其它情况可以插入USB无线网卡实现；目标机发送数据利用的是Probe Reques...
2018-05-10 16:37:21
1481
原创 dnsmasq配置记录
/etc/dnsmasq.confinterface=vlanbind-interfacesdhcp-range=192.168.150.100,192.168.150.150,255.255.255.0,120mdhcp-option=3,192.168.150.1dhcp-option=option:dns-server,8.8.8.8,8.8.4.4conf-dir=/etc/dn...
2018-03-02 10:44:42
2988
原创 rtl usb无线网卡驱动
sudo apt-get install git build-essentialgit clone https://github.com/lwfinger/rtlwifi_new.gitcd rtlwifi_newmakesudo make install
2017-12-14 10:11:59
653
原创 使用android手机抓取windows的密码hash的实践
市面上存在一种usb设备叫BashBunny，将该BashBunny插入目标锁屏windows电脑后，就可以抓取到windows的密码hash，然后通过彩虹表或者爆破的方式即可还原目标主机的密码。后来通过进入该设备发现，其主要功能是通过Responder实现，获取windows密码hash的协议主要有SMB，HTTP，MSSQL，涉及的知识点有WPAD协议，NBNS，LLMNR等协议，以及页面
2017-09-07 09:36:56
657
转载 免杀学习经典技术知识总结
一.机械码,又称机器码. ultraedit打开,编辑exe文件时你会看到 许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码 就是机器码. 修改程序时必须通过修改机器码来修改exe文件. 二.需要熟练掌握的全部汇编知识(只有这么多) 不大容易理解,可先强行背住,混个脸儿熟,以后慢慢的就理解了 cmp a,b 比较a与b
2017-02-13 19:31:53
632
原创 Linux kali 安装socks5(ss5)代理
环境为VMWare虚拟机，kali linux系统。由于公司网络对局域网内的机器进行了MAC绑定，kali无法自动获取IP地址，所以需要手动设置IP地址：10.0.0.203，VMWare的网络使用的是桥接的模式，但此时的kali是无法上网的（网关不给10.0.0.203网络传输），只能在内部网络发送数据。要是使用NAT模式使用共享主机的IP地址是可以联网的，但是由于某些其它目的的需要不想这样
2016-11-22 10:52:27
12437
2
原创 小试 —— target="_blank"钓鱼攻击
根据这篇文章的介绍，对target="_blank"这一属性进行钓鱼实现打开Vim创建一个html简单的页面chrome打开1.html的效果接着创建2.html的页面，这里只是一些js脚本代码用qq.com页面模拟跳转后的钓鱼页面但是，以右击的方式在新标签页打开则不会有效果所以还是习惯性的右击打开吧！！！
2016-09-27 10:09:24
981
原创 使用arpspoof获取同事爱奇异账户
之前没事的时候，使用nmap检测到路由器存在弱口令admin今天没事登录路由器看看哪台机器流量比较多，刷新了几次流量统计，发现10.0.0.81的机器一直排的首位，流量蛮大，于是想看看这台机器在干什么打开我的kali系统，启动arpspoof，准备命令arpspoof -i etho -c own -t 10.0.0.81 10.0.0.1启动Wireshark，设置过滤条件i
2016-09-05 09:44:56
6989
3
原创 记一次基于mysql的入侵Simple
一切从MS15-034/CVE-2015-1635漏洞开始 通过nmap扫描发现内网中的一台机器存在漏洞CVE-2015-1635 于是发起一次BSOD的攻击 So it’s just BSOD and reboot!除了这些，还能做些什么呢？接着发现其mysql数据库存在弱口令，于是登进去看了看，发现没什么可看的，不看了，增加一个用户先！ 试试mysql的文件操作命令dumpfil
2016-08-18 10:11:56
553
原创 基于Linux epoll模型的Simple
关于epoll的介绍以及与其它I/O模型的优缺点，各大网站论坛均有介绍，这里就不多说了；本Simple使用了epoll的边缘出发模式（ET），支持多客户端连接；首先定义自己的数据结构以及相关全局变量：#define MAX_EVENTS 10#define MAX_BUFFER_SIZE 1024#define LISTEN_PORT 8000struct global_dat
2016-08-16 14:49:26
373
原创 arpspoof + wireshark 网络数据截取
准备环境：VMWare、Linux Mint，arpspoof，Wireshark for Windows 首先配置VMWare虚拟机使用的网卡 需要监控的网卡 配置虚拟网卡 启动Wireshark，设置过滤条件，开始等待抓包 启动虚拟机中Linux Mint，启动arpspoof开始arp欺骗 抓到HTTP请求包
2016-08-15 11:30:02
1995
转载 SMTP与ESMTP的关系和区别
1999年以前，大部分SMTP服务器都是开放的。当您申请完一个免费的Email账号后，在您的Email客户端工具的POP3地址栏中把该Email的POP3地址填入，并填入您的账号和密码，而SMTP服务器地址栏可以就近选择一个SMTP服务器或您认为比较好用的SMTP服务器（如您的ISP的SMTP服务器），来提高Email发送效率。然而，随着垃圾邮件的泛滥，大部分SMTP服务器都加上了过滤器，拒绝发送非
2016-08-11 17:01:28
2234
原创 基于QQ用户名密码方式爬取邮件数据
由于一个爬虫项目需要爬取QQ邮箱的邮件数据，给定QQ的邮箱账户和密码，模拟浏览器登录爬取邮件文件。首先通过使用Fiddler抓取QQ邮箱登录的HTTP请求包，很显然其密码是通过某种变换而来，不像有的邮箱（网易等）是明文传递。QQ邮箱的密码生成方法可以通过其JS脚本得到，但项目使用c开发，需要转换为c代码。下面是QQ邮箱密码生成方法：要生成QQ密码，需要三个元素值，分别是pwd，vc
2016-08-10 10:47:59
10773
2
转载 mysql用户权限操作
我的mysql安装在c:\mysql一、更改密码 第一种方式： 1、更改之前root没有密码的情况 c:\mysql\bin>mysqladmin -u root password "your password" 2、更改之前root有密码的情况,假如为123456 c:\mysql\bin>mysqladmin -u root -
2016-08-09 10:23:13
607
原创 Win32 DLL实现添加对话框等
在一次项目中，需要做一个公共的DLL模块，该DLL需要有弹出窗体，以此做一记录，备忘！首先用vs2008新建一个Win32 DLL工程在vs2008中选中并右击该工程名，选择添加一个Dialog资源在需要弹出窗口的位置插入如下代码：ret = DialogBoxParamW(g_dllmodule, MAKEINTRESOURCEW(IDD_DIALOG1), parent_hwn
2016-08-01 20:19:54
2690
原创 基于Twisted的通过HTTP协议下载文件
# -*- coding=utf-8 -*-import osimport reimport sysfrom twisted.internet import protocol, reactorfile_url = """GET /sw-search-sp/soft/3a/12350/QQ_8.2.17724.0_setup.1459155849.exe HTTP/1.1Host:
2016-04-06 14:15:04
1868
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人