摘要: 背景 CVE-2021-40449是一个存在于Win32k内核驱动中的UAF漏洞。该漏洞在2021年八月下旬九月上旬被Kaspersky发现用于野外攻击活动中。通过Hook win32k驱动执行 NtGdiResetDC 过程中发生的用户模式回调,完成对目标对象的释放和占用,最终实现指定内核函数的调 阅读全文
posted @ 2022-03-01 22:36 Bl0od 阅读(914) 评论(0) 推荐(0) 编辑
摘要: ###介绍 前两天网上曝出了关于向日葵远控工具(Sunlogin)Windows个人版的RCE漏洞POC。因为利用简单并且网上出现了公开的自动化扫描脚本,所以测试的人很多,也出现了一些真实攻击。漏洞的问题主要是出现在Sunlogin客户端的几个对外开放的接口中,现在我对其中一部分利用进行简要的分析。 阅读全文
posted @ 2022-02-19 17:09 Bl0od 阅读(2193) 评论(0) 推荐(0) 编辑
摘要: 远程模板插入 ProofPoin最近写了一篇文章,报告中提到近年来RTF模板注入进行office钓鱼攻击的数量增加。之前还没怎么了解过RTF模板注入的,现在和小编一起去看看吧(笑hhh)。 相对DOC模板注入的创建而言比较简单,创建一个rtf文档,使用office word进行编辑,随便写个内容。 阅读全文
posted @ 2021-12-07 23:26 Bl0od 阅读(604) 评论(0) 推荐(0) 编辑
摘要: 概述 CVE-2021-1732是一个发生在windows内核win32kfull模块的LPE漏洞,并且由于创建窗口时调用win32kfull!xxxCreateWindowEx过程中会进行用户模式回调(KeUserModeCallback),从而给了用户态进程利用的机会。 该漏洞由安恒信息在202 阅读全文
posted @ 2021-11-22 23:17 Bl0od 阅读(768) 评论(0) 推荐(0) 编辑
摘要: 当前样本是一个RTF文档,内嵌一个公式编辑器对象,该对象利用Office编辑器漏洞CVE-2018-0798执行shellcode,对EQNEDT32.exe进行代码注入,执行恶意代码。 使用rtfobj查看文档结构,可以看到携带了3个OLE对象,但是id为1的对象并未被使用。 第二个是一个pack 阅读全文
posted @ 2021-09-13 22:27 Bl0od 阅读(461) 评论(0) 推荐(0) 编辑
摘要: 背景 CVE-2021-33739是一个UAF漏洞,成因是由于在对象CInteractionTrackerBindingManagerMarshaler与对象CInteractionTrackerMarshaler双向绑定的前提下,再对双方绑定进行解绑,CInteractionTrackerMars 阅读全文
posted @ 2021-09-04 21:54 Bl0od 阅读(1448) 评论(0) 推荐(0) 编辑
摘要: windows系统中有一个名为SeTrustedCredmanAccessPrivilege的权限,使拥有该特权的进程可作为受信任的调用者访问凭据管理器。 凭据管理器可以从控制面板 → 凭据管理器进入。凭据管理器允许用户存储凭据,比如域账户、Web、普通账户凭据等。管理器使用了DPAPI(Data 阅读全文
posted @ 2021-06-02 22:38 Bl0od 阅读(312) 评论(0) 推荐(0) 编辑
摘要: WireShark Wireshark解密TLS数据流,从网上已有资料来看,主要是两种方式:一是服务端私钥直接解密,二是使用SSLKEYLOGFILE获取握手过程中的会话密钥信息进行解密。 这里只尝试第二种方式解密TLS数据。可用的应用包括:chrome、Firefox、curl。 首先设置SSLK 阅读全文
posted @ 2021-05-22 23:05 Bl0od 阅读(694) 评论(0) 推荐(0) 编辑
摘要: 之前看到一篇关于Lsass内存dump的文章,学习记录一下。 lsass.exe(Local Security Authority Subsystem Service)进程空间中,存有着机器的域、本地用户名和密码等重要信息。如果获取本地高权限,用户便可以访问 LSASS 进程内存,从而可以导出内部数 阅读全文
posted @ 2021-03-18 01:01 Bl0od 阅读(1657) 评论(0) 推荐(0) 编辑
摘要: WMI (Windows Management Instrumentation,Windows管理规范) 从Windows 2000开始被包含于操作系统后,就一直是Windows操作系统的一部分。这项技术对于系统管理员来说具有巨大价值,因为它提供了提取所有类型信息、配置组件和基于系统数个组件的状态采 阅读全文
posted @ 2021-03-11 00:01 Bl0od 阅读(807) 评论(0) 推荐(0) 编辑