devtunnel 微软的隧道工具
当我本地有个python起的web服务时，可以通过devtunnel转发出去。
Category
渗透测试
55 篇文章梦游一次从jmx到rce
service:jmx:rmi:///jndi/rmi://1.1.1.157:9003/jmxrmi jconsole连上去之后发现一些敏感的账号密码。
Tomcat Upgrade Memshell
需要加一个Upgrade等于hello的头，并且Connection要为Upgrade。
Follina Microsoft Office RCE with MS-MSDT Protocol
前言 看推特发了一个好玩的office rce。最早应该是起源于naosec的推特。
解决哥斯拉内存马pagecontext的问题
前言 注入内存马借助当前的webshell工具而言，冰蝎可以通过创建hashmap放入request、response、session替换pagecontext来解决。
Java反序列化注入冰蝎内存马相关踩坑笔记
朋友叫帮忙打一个内存马进去，用的是cb链，无cc依赖，我寻思这不是有手就行吗，谁知道接下来遇到了无数的坑。
从dotnet源码看文件上传绕waf
前言 看了赛博群的《从commons-fileupload源码看文件上传绕waf》，文末提到了dotnet也有这种问题，于是看了下dotnet的源码。
asp.net无法getshell的一些解决办法
实际环境中经常碰到asp.net的站，这些站点多采用asp.net mvc、asp.net core或者是预编译等等，而采用这些方案最恶心的点在于无法拿到webshell来进行下一步渗透。
从svchost.exe转储RDP在线用户的明文密码
推特上看到一篇推文 他发现了在远程桌面服务的内存中存储了用户明文密码，本文复现下。
使用C#开发IIS模块后门
iis后门的两种形式 根据微软的文档，iis开发功能分为两种，分别是IIS module和IIS handler，即IIS模块和IIS处理程序。
使用C#进行直接系统调用syscall
最近看了很多关于syscall的文章，国外大多数安全研究员使用syscall来绕过edr的hook，使用的语言也五花八门，而我c系列的语言只会一点c#，所以我就用C#来简单实现一个syscall。
Blockdlls 防止EDR的DLL注入我的恶意进程
cobaltstrike有一个blockdlls，该命令可以使产生的进程禁止加载非微软签名的dll，用来绕过一些注入DLL的edr有显著效果。
C#免杀之自实现DNS服务器传输shellcode
程序设计 因为dns为递归查询，所以dns的数据最终会被我们的vps接收。而对比cs的dns传输，我们需要设计一个传输规范，规定哪部分为command，哪部分为data。
Kerberos Bronze Bit Attack 绕过约束委派限制
Kerberos Bronze Bit Attack又称Kerberos青铜比特攻击，由国外netspi安全研究员Jake Karnes发现的漏洞，并且申请了CVE-2020-17049编号。
XXE到域控复现(基于资源的约束委派)
概述 本文主要复现该文章中XXE中继的部分，主要利用的技术为通过XXE实现NTLM中继从而添加基于资源约束委派，最后拿到webdav的TGS票据。
Kerberos协议之基于资源的约束委派
在之前的约束委派文章中提到，如果配置受约束的委派，必须拥有SeEnableDelegation特权，该特权是敏感的，通常仅授予域管理员。为了使用户/资源更加独立，Windows Server 2012中引入了基于资源的约束委派。基于资源的约束委派允许资源配置受信任的帐户委派给他们。
Linux PAM后门：窃取ssh密码及自定义密码登录
PAM是Linux默认的ssh认证登录机制，因为他是开源的，我们可以修改源码实现自定义认证逻辑，达到记录密码、自定义密码登录、dns带外等功能。
Kerberos协议之约束委派
概述 因为非约束委派的不安全性，约束委派应运而生。在2003之后微软引入了非约束委派，对Kerberos引入S4U，包含了两个子协议S4U2self、S4U2proxy。
Kerberos协议之非约束委派
域委派 一句话概况，委派就是将域内用户的权限委派给服务账号，使得服务账号能以用户权限开展域内活动。将我的权限给服务账户。
Kerberos协议之Kerberoasting和SPN
在之前Kerberos的TGSREQ & TGSREP过程中提到，只要用户提供的票据正确，服务就会返回自身hash加密的tgs票据，那么如果我们有一个域用户，就可以申请服务的tgs票据，本地爆破服务hash得到服务密码，这个过程叫做Kerberoasting。
Kerberos协议之黄金票据和白银票据
Golden Ticket 在ASREQ & ASREP中，用户使用自身hash加密时间戳发送给KDC，KDC验证成功后返回用krbtgt hash加密的TGT票据。如果我们有krbtgt的hash，就可以自己给自己签发任意用户的tgt票据。
Kerberos协议之PAC及MS14-068
PAC在其中出现的节点为ASREP和APREP。在ASREP中，KDC返回的tgt票据中包含了PAC。
TGS_REQ & TGS_REP所存在的安全问题
Pass The Ticket 两个步骤全是通过ASREQ拿到的票据进行验证，那么完全可以只用这张票据来进行横向。
Kerberos协议之TGS_REQ & TGS_REP
配置以下Kerberos发包工具。把ASREP的票据导入，同样勾上RC4加密。
AS_REQ & AS_REP引出的安全问题
上文讲了ASREQ & ASREP的流程和各个字段的解释。本文将讲述其中产生的问题和如何利用。
Kerberos协议之AS_REQ & AS_REP
Kerberos是一种由MIT（麻省理工大学）提出的一种网络身份验证协议。
Windows网络认证NTLM&Net-NTLM Hash
Net-NTLM Hash 通常是指网络环境下NTLM认证中的Hash，比如在工作组环境中，共享资料通过net use来建立smb共享。早期smb传输明文口令，后来用LM，现在用NTLM。
Windows本地认证NTLM Hash&LM Hash
本地认证的过程其实就是Windows把用户输入的密码凭证和sam里的加密hash比对的过程。
Slack Golang C2
最近在学golang，恰好看到demon分析的golang slack c2，便想着自己也来写一写。
极限环境Certutil加Powershell配合Burp快速落地文件
而在使用certutil base64通过echo写文件时，echo会在每行的末尾追加一个空格，加上http传输的URL编码问题，有一些傻逼环境总是decode时候出错，而且一些几十几百k的文件，一行一行echo实在是拉跨。
Spring Cloud SnakeYAML 一键注册cmd shell和reGeorg
使用Spring Cloud SnakeYAML的反序列化漏洞一键注册cmd shell和reGeorg。
Cobalt Strike Powershell 过卡巴免杀上线
把FromBase64String改成FromBase65String就不杀了，那就解决掉FromBase64String，直接改成byte数组。
每日一问：记一次命令注入RCE
在qq群里提出了一个每日一问的活动，目的是拓展渗透实战思路，问题不限于渗透、审计、红队、逆向。这篇文章是昨天晚上临时由实战环境改的一个CTF题。
渗透经验分享之文件操作漏洞拓展
上文分享了注入相关的东西，注入也可以对文件进行操作，本文是对文件操作漏洞的拓展。
渗透经验分享之SQL注入思路拓展
从实习到现在，因为从事打点工作的原因，实战经验积累了很多，就想写一些自己在实战中碰到的问题，以及自己的解决方法，因为保密的原因大多数不提供复现环境和截图，权当对渗透思路的一个拓展吧。可能会多写几篇，也可能因为实战经验不足就此荒废这个系列。总之看心情和时间安排吧。
BypassUAC With ICMLuaUtil
本文主要讲述UACME项目中索引为41的ICMLuaUtil方法为例实现一个bypassuac，该方法原理在于调用COM组件中自动提权并且可以执行命令的接口。
Win10利用应用商店WSReset.exe进行bypassuac
在我自己测试的过程中因为WSReset.exe启动过慢的情况出现了多次复现不成功，建议把powershell脚本去掉后面的清空注册表，避免WSReset运行时找不到注册表，不过记得手动清除。
Oracle SQL注入学习
基本概念 Oracle和MySQL数据库语法大致相同，结构不太相同。最大的一个特点就是oracle可以调用Java代码。
C# Shellcode Loader
cobalt strike 或者 metasploit 生成 csharp 的 payload ,先使用 enloader 加密,再使用 loader.exe 执行.
Sqlmap Tamper 编写
简单介绍tamper sqlmap的--tamper参数可以引入用户自定义的脚本来修改注入时的payload，由此可以使用tamper来绕过waf，替换被过滤的关键字等。这是一个基本的tamper结构。
MSSQL使用CLR程序集来执行命令
在我们拿到一个mssql的可堆叠注入时，可能第一时间想到的就是使用 xpcmdshell 和 spOACreate 来执行命令、反弹shell等等，然而很多时候这两个存储过程不是被删就是被拦截，各种各样的因素导致我们不能执行系统命令，本文就来解决这个问题。
Bypass MySQL Yunsuo
我手工测得时候发现云锁对盲注友好的很，对于and之后的比较运算符以及字符串截取函数几乎上不拦截，甚至是不用绕。
Bypass MySQL Safedog
其实配合MySQL5.7的特性可以使用sys这个库来绕过，具体看chabug发的文章吧 注入bypass之捶狗开锁破盾。
Nginx Lua Backdoor
安装有ngxlua模块，在openresty和tengine中是默认安装了ngxlua模块的。
Encrypt Reverse Shell
在我们实际的渗透测试过程中，总是有各种各样的流量审查设备挡住我们通往system的道路，尤其是在反弹shell的时候，明文传输的shell总是容易断，那么本文介绍一种利用openssl反弹流量加密的shell来绕过流量审查设备。
各种端口转发工具的使用方法
本文主要介绍几种内网中常用的端口转发以代理的几种姿势。阅读本文前请看到每个阶段的网络环境，对理解本文有重要帮助。
渗透测试中弹shell的多种方式及bypass
在我们渗透测试的过程中，最常用的就是基于tcp/udp协议反弹一个shell，也就是反向连接。
Mysql Read Client's File
我们可以伪造一个 MySQL 的服务端，甚至不需要实现 MySQL 的任何功能（除了向客户端回复 greeting package），当有客户端连接上这个假服务端的时候，我们就可以任意读取客户端的一个文件，当然前提是运行客户端的用户具有读取该文件的权限。
一句话下载姿势总结
在上一篇文章中，提到了下载shell的一些姿势，我们这篇文章来深入探究下。
MSSQL多种姿势拿shell和提权
本文全文转载404师傅的MSSQLSQLBYPASS，根据自己理解略有修改。
MSSQL 注入学习笔记
存储过程是一组为了完成特定功能的SQL 语句集，它存储在数据库中，一次编译后永久有效，用户通过指定存储过程的名字并给出参数（如果该存储过程带有参数）来执行它。实际上就是一个封装好的函数，具有面向对象特点。
MySQL 注入学习
informationschema informationschema这这个数据库中保存了MySQL服务器所有数据库的信息。 如数据库名，数据库的表，表栏的数据类型与访问权限等。
如何禁止PHP脚本跨站跨目录
在一些渗透测试遇到的环境中，有的时候我们会发现shell所能访问的目录非常有限，可能只有当前网站的一个根路径，当我们需要从旁站拿目标站点的shell时往往被局限于此。这篇文章就是研究下php的防跨站跨目录的一个安全配置。
再记由目录遍历到getshell
在上一篇文章之后，大家的反应出乎我的意料，可能是因为出于某些问题，此类文章较少较小众。我希望我可以通过文章记录的形式，来将经验和思路分享给大家，也欢迎大家找我交流经验。文笔不好，如有错误，欢迎斧正。
记一次渗透之从后台到提权
四处上传，首先尝试编辑器处上传图片，经验告诉我越low的编辑器越好拿shell。