摘要：
以域控为基础架构，通过域控实现对用户和计算机资源的统一管理，带来便利的同时也成为了最受攻击者重点攻击的集权系统。 01、攻击篇 针对域控的攻击技术，在Windows通用攻击技术的基础上自成一套技术体系，将AD域攻防分为信息收集、权限提升、凭证窃取、横向移动、权限维持等攻击阶段，把域环境下众多且繁杂的 阅读全文
摘要：
这是一份开源安全项目清单，收集了一些比较优秀的开源安全项目，以帮助甲方安全从业人员构建企业安全能力。这些开源项目，每一个都在致力于解决一些安全问题。 项目收集的思路： 一个是关注互联网企业/团队的安全开源项目，经企业内部实践，这些最佳实践值得借鉴。另一个是来自企业安全能力建设的需求，根据需求分类，如 阅读全文
摘要：
GitHub 地址：https://github.com/Bypass007/Emergency-Response-Notes GitBook 地址：https://bypass007.github.io/Emergency-Response-Notes/ 项目介绍 面对各种各样的安全事件，我们该怎 阅读全文
摘要：
01、问题描述 使用Splunk DB Connect 连接MySQL数据库读库时，报错CLIENT_PLUGIN_AUTH is required，如下图： 02、原因分析 根据报错信息，查阅相关资料，了解到报错原因：目标数据库为MySQL 5.7，使用的mysql-connector-java- 阅读全文
摘要：
通过自定义SPL命令关联微步情报数据，效果如下： 1、安装splunk-sdk cd /data/splunk/etc/apps/search/bin pip3 install -t . splunk-sdk 2、自定义脚本开发 [root@SIEM-P-VC-A001 bin]# more thr 阅读全文
摘要：
以域控为基础架构，通过域控实现对用户和计算机资源的统一管理，带来便利的同时也成为了最受攻击者重点攻击的集权系统。 01、攻击篇 针对域控的攻击技术，在Windows通用攻击技术的基础上自成一套技术体系，将AD域攻防分为信息收集、权限提升、凭证窃取、横向移动、权限维持等攻击阶段，把域环境下众多且繁杂的 阅读全文
摘要：
一、简介 K8s部署主要有两种方式： 1、Kubeadm Kubeadm是一个K8s部署工具，提供kubeadm init和kubeadm join，用于快速部署Kubernetes集群。 2、二进制 从github下载发行版的二进制包，手动部署每个组件，组成Kubernetes集群。 本文通过二进 阅读全文
摘要：
1、简介 K8s部署主要有两种方式： 1、Kubeadm Kubeadm是一个K8s部署工具，提供kubeadm init和kubeadm join，用于快速部署Kubernetes集群。 2、二进制 从github下载发行版的二进制包，手动部署每个组件，组成Kubernetes集群。 本文通过ku 阅读全文
摘要：
01、简介 假设服务账号配置了到域控的约束性委派，当攻击者获取了服务账号，可以作为变种黄金票据，用作后门权限维持。 基于AD Event日志监测msDS-AllowedToDelegateTo属性的修改，从而发现可疑的约束委派攻击。 02、利用方式 （1）通过powershell添加test用户到k 阅读全文
摘要：
01、简介 攻击者在获取到域控权限后，可以利用基于资源的约束委派实现后门，通过对krbtgt用户设置委派属性，以实现达到维持权限的目的。基于AD Event日志监测msDS-AllowedToActOnBehalfOfOtherIdentity属性的修改，从而发现可疑的基于资源的约束委派攻击。 02 阅读全文
摘要：
域委派是指，将域内用户的权限委派给服务账号，使得服务账号能以用户权限开展域内活动，攻击者可通过利用委派攻击获取域管理员权限。 域委派主要分为三种： 非约束性委派 约束性委派 基于资源的约束性委派 在Windows系统中，只有服务账号和主机账号的属性才有委派功能，普通用户默认是没有的。 01、非约束委 阅读全文
摘要：
01、现象描述 某应用系统，服务器IP地址：10.224.252.34 ，重启服务器后，同网段10.224.252.0/24 可以正常访问到服务，其他192.168.0.0 网段都无法访问到服务。 02、登录排查 登录服务器查看路由表信息，eth3对应10.224.252.0/24，eth2对应19 阅读全文
摘要：
第一章：安全与风险管理 1.1 安全基本原则（CIA） 机密性（Confidentiality） 加密静止数据（整个磁盘、数据库加密） 加密传输（IPSec、SSL、PPTP、SSH）中的数据 访问控制（物理和技术的） 完整性（Integrity） 散列（数据完整性） 配置管理（系统完整性） 变更控 阅读全文
摘要：
01、简介 SSP(Security Support Provider)是Windows操作系统安全机制的提供者。简单地说，SSP是个DLL文件，主要用来实现Windows操作系统的身份认证功能。在系统启动时，SSP 将被加载到lsass.exe进程中，攻击者通过自定义恶意的DLL文件，在系统启动时 阅读全文
摘要：
01、简介 AdminSDHolder是一个特殊的AD容器，通常作为某些特权组成员的对象的安全模板。Active Directory将采用AdminSDHolder对象的ACL并定期将其应用于所有受保护的AD账户和组，以防止意外和无意的修改并确保对这些对象的访问是安全的。如果攻击者能完全控制Admi 阅读全文
摘要：
01、简介 每个用户都有一个关联的安全标识符（SID），SID History的作用是在域迁移过程中保持域用户的访问权限，即如果迁移后用户的SID改变了，系统会将其原来的SID添加到迁移后用户的SID History属性中，使迁移后的用户保持原有权限、能够访问其原来可以访问的资源。 02、利用方式 阅读全文
摘要：
01、简介 每个域控制器都有一个目录还原模式（DSRM）帐户，它的密码是在安装域控时设置的，实际上它对应的就是sam文件里的本地管理员“administrator”，基本很少会被重置，因此有着极强的隐蔽性。攻击者通过获取域控的DSRM密码，就可以使用帐户通过网络登录到域控服务器，从而达到权限维持的目 阅读全文
摘要：
01、简介 Skeleton Key（万能密码），是一种可以对域内权限进行持久化的操作，通过将Skeleton Key注入到lsass进程，无需重启域控即可生效，而且能够在不影响当前域用户正常登录的情况下，让所有域用户使用同一个万能密码进行登录，它只存在于内存中，如果域控制器重启，注入的 Skele 阅读全文
摘要：
2023年，如约而至。 回到老家过年，看着许多熟悉的人、熟悉的房子，总感觉一切都好像在昨天。 内心难得平静，终于可以停下脚步，去复盘一下自己这一年的经历，收拾一下心情，重新出发。从这几个方面，简单聊聊关于生活，工作和学习。 01、生活篇 日复一日的生活，似乎很难找到值得回忆的东西，间接性迷茫在杂乱的 阅读全文
摘要：
01、简介 AdminSDHolder是一个特殊的AD容器，通常作为某些特权组成员的对象的安全模板。Active Directory将采用AdminSDHolder对象的ACL并定期将其应用于所有受保护的AD账户和组，以防止意外和无意的修改并确保对这些对象的访问是安全的。如果攻击者能完全控制Admi 阅读全文
摘要：
01、简介 每个用户都有一个关联的安全标识符（SID），SID History的作用是在域迁移过程中保持域用户的访问权限，即如果迁移后用户的SID改变了，系统会将其原来的SID添加到迁移后用户的SID History属性中，使迁移后的用户保持原有权限、能够访问其原来可以访问的资源。当攻击者获得了域管 阅读全文
摘要：
01、简介 Skeleton Key(万能密码)，是一种可以对域内权限进行持久化的操作手法，通过将Skeleton Key注入到lsass进程，无需重启域控即可生效，而且能够在不影响当前域用户正常登录的情况下，让所有域用户使用同一个万能密码进行登录。另外，它只存在于内存中，如果域控制器重启，注入的 阅读全文
摘要：
01、简介 每个域控制器都有一个目录还原模式（DSRM）帐户，它的密码是在安装域控时设置的，实际上它对应的就是sam文件里的本地管理员“administrator”，基本很少会被重置，因此有着极强的隐蔽性。攻击者通过获取域控的DSRM密码，就可以使用帐户通过网络登录到域控服务器，从而达到权限维持的目 阅读全文
摘要：
01、简介 当攻击者获得内网某台域内服务器的权限，就会以此为起始攻击点，尽可能地去收集域的信息，以获取域控权限作为内网的终极目标。例如，攻击者会在内网中收集域管理员用户列表和特定敏感用户的信息，通过定位域管理员以找到最佳攻击路径，从而拿到域管理员权限。 针对域内信息探测的行为，是攻击者入侵的前兆，基 阅读全文
摘要：
01、简介 黄金票据(Golden Ticket)是基于Kerberos认证的一种攻击方式，常用来做域控权限维持。当攻击者获取到域内krbtgt帐户的SID和HASH，就可以随意伪造域内管理员用户，再加上域帐户krbtgt的密码基本不会更改，即使域管修改了密码，攻击者依然可以通过黄金票据获取域管理员 阅读全文
摘要：
01、简介 哈希传递攻击是基于NTLM认证的一种攻击方式，当我们获得某个管理员用户的密码哈希值，就可以利用密码哈希值进行横向渗透。 在域环境中，只有域管理员的哈希值才能进行哈希传递攻击，攻击成功后，可以访问域内任何一台机器。基于AD Event日志如何检测哈希传递攻击，这个就是我们今天探讨的话题。 阅读全文
摘要：
01、简介 简单介绍一下，LSASS（本地安全机构子系统服务）在本地或域中登录Windows时，用户生成的各种凭证将会存储在LSASS进程的内存中，以便用户不必每次访问系统时重新登录。 攻击者在获得起始攻击点后，需要获取目标主机上的相关凭证，以便通过用户凭证进行横向移动，这个技术点最容易关联到的就是 阅读全文
摘要：
01、简介 在域环境里，域内用户hash存储在域控制器(ntds.dit)中的数据库文件中，ntds.dit文件是无法直接被复制的。在这种情况下，我们一般可以利用卷影复制服务(VSS)来实现ntds.dit的拷贝，然后下载进行离线分析和破解用户哈希。 02、利用VSS实现ntds.dit文件提取 （ 阅读全文
摘要：
01、简介 在一些勒索病毒的案例中，我们可以看到这样的案例，攻击者通过域控组策略下发勒索病毒加载脚本，从共享服务器下载并执行勒索病毒样本，从而导致内网大规模范围内的病毒感染事件。 在域控这种中央集权系统，通过组策略只需要更改一个组策略对象（GPO），就能影响成千上万的计算机，一旦被恶意利用后果不堪设 阅读全文
摘要：
01、简介 针对域用户密码攻击，攻击者通常都会使用两种攻击方式进行测试，即：暴力破解(Brute Force)和密码喷洒（Password Spraying）。 暴力破解（Brute Force）攻击，攻击者通过利用大量猜测和穷举的方式来尝试获取用户口令的攻击方式。 密码喷洒（Password Sp 阅读全文
摘要：
01、简介 DCShadow攻击，是攻击者在获取到域管理员权限后，通过将沦陷的主机伪造成域控，将预先设定的对象或对象属性复制到正在运行的域控服务器中。 DCSync&DCShadow区别在于，DCSync是从域服务器将数据复制出来，而DCShadow是将伪造的数据复制到域服务器。 02、攻击过程示例 阅读全文
摘要：
01、简介 DCSync攻击是一种常见的域控攻击方法，利用DCSync导出域内用户的哈希值，本质上就是利用DRS(Directory Replication Service)协议通过 IDL_DRSGetNCChanges 从域控制器复制用户哈希凭据，以便进一步进行利用。 02、DCSync攻击手法 阅读全文
摘要：
Actuator是Spring Boot提供的应用系统监控的开源框架。在攻防场景里经常会遇到Actuator配置不当的情况，攻击者可以直接下载heapdump堆转储文件，然后通过一些工具来分析heapdump文件，从而可进一步获取敏感信息。 01、jvisualvm分析 jvisualvm是jdk自 阅读全文