【随记】[THM]Red Teaming--Red Team Threat Intel

发表于2025-02-19|更新于2025-05-17|学习

|浏览量:

意识流答案

这个房间不难，但是有一些意识流的东西，比如Task 7Creating a Threat Intel Driven Campaign的第一个问题
能知道是要比对APT 41的网络杀伤链来写答案，但是比对过程。。。。图案和文字我是实在没怎么对上啊，硬写就对了第一个，然后就去看wp了
贴个答案吧👇

然后就是另一个问题纯属基础不好导致的，首先理解LOLBAS（Living Off The Land Binaries and Scripts）工具是什么：利用系统中已有的合法工具或命令行脚本来执行恶意活动，从而避过传统的防御
然后就是对着MITRE中的软件一个个在自己电脑上搜了，毕竟说了是已有的合法工具，然后也是查到了

综上

结了吧

文章作者: lan1oc

文章链接: https://lan1oc.github.io/2025/02/19/%E5%AD%A6%E4%B9%A0%E7%AC%94%E8%AE%B0/THM/%E6%9D%82%E8%B0%88%E4%B8%8E%E5%B9%B3%E5%8F%B0%E8%AF%81%E4%B9%A6/%E3%80%90%E9%9A%8F%E8%AE%B0%E3%80%91[THM]Red%20Teaming--Red%20Team%20Threat%20Intel/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 lan1ocのblog！

相关推荐

[THM]Web Application Pentesting---Injection Attacks 注入攻击

高阶 SQL 注入二次注入原理用户提供的输入被保存并随后在应用程序的不同部分使用，可能在一些初始处理之后。这种类型的攻击更加隐蔽，因为恶意 SQL 代码不需要立即导致 SQL 语法错误或其他明显问题，这使得它更难使用标准输入验证技术进行检测。当数据被检索并在 SQL 命令中使用时，第二次使用数据时，会发生注入说白了，举个例子，有个更新数据的功能点，你之前添加的那一条数据项是恶意的sql语句，在执行这个功能后，他会被检索并当作正常sql语句执行，从而导致注入攻击实践将所有书籍的标题更新为 “compromised”首先就是有个插入数据的网页先插个数据看看，显示了新插入的数据然后有一个更新数据的网页点击更新的数据包是这样这里看不出啥，从代码层面来分析就是 1234567if ( isset($_POST['update'])) { $unique_id = $_POST['update']; $ssn = $_POST['ssn_' . $unique_id]; $new_book_name...

[THM]Web Application Pentesting---Authentication 认证

基础sessioncookie属性Secure - 向浏览器指示 Cookie 只能通过经过验证的 HTTPS 通道传输。如果存在证书错误或使用 HTTP，则不会传输 Cookie 值HTTPOnly - 向浏览器指示客户端 JavaScript 可能无法读取 Cookie 值Expire - 向浏览器指示 Cookie 值何时不再有效，应将其删除SameSite - 向浏览器指示是否可以在跨站点请求中传输 Cookie，以帮助防止 CSRF 攻击 tokenToken-Based Session Management最常见的令牌类型之一是 JSON Web 令牌（JWT），一般形式 1Authorization: Bearer <token> 以前的盲点浏览器中不仅仅要注意cookie，还要注意本地存储的 JWT它没有使用浏览器的自动 cookie 管理功能，而是依赖于客户端代码来完成该过程。身份验证后，Web 应用程序会在请求正文中提供令牌。然后使用客户端 JavaScript 代码，此令牌将存储在浏览器的 LocalStorage...

【学习笔记】[THM]Red Teaming--Red Team Recon（信息收集）

内置工具（系统可识别并自下载的）whois一般能查到以下信息： 12345678910Registrar WHOIS server 注册 WHOIS 服务器Registrar URL 注册 URLRecord creation date 记录创建日期Record update date 记录更新日期Registrant contact info and address (unless withheld for privacy)注册人的联系信息和地址（除非出于隐私考虑而保留）Admin contact info and address (unless withheld for privacy)管理员联系信息和地址（除非出于隐私原因而保留）Tech contact info and address (unless withheld for privacy)技术联系信息和地址（除非出于隐私原因而隐瞒）但一般都会有隐瞒，以我博客为例，基本全隐瞒了 nslookup使用默认 DNS 服务器来获取与域相关的 A 和 AAAA...

【学习笔记】[THM]Linux Privilege Escalation(linux提权)

信息收集假设已经拿下权限，那就先收集下这台机器的信息主机名1hostname 系统信息1uname -a 内核版本和其他数据的信息1cat /proc/version /etc/issue 系统版本1cat /etc/issue 看进程1234ps -A：查看所有正在运行的进程ps axjf：查看进程树（请参阅下面的树结构，直到运行 ps axjf）ps aux：aux 选项将显示所有用户的进程（a），显示启动进程的用户（u），并显示未连接到终端的进程（x）。查看 ps aux 命令输出，我们可以更好地了解系统和潜在漏洞。一般直接用 1ps -aux 看环境变量1env 重点看path变量PATH 变量可能具有编译器或脚本语言（例如 Python），可用于在目标系统上运行代码或用于权限提升。看允许用户使用 root 权限运行哪些命令(鸡肋，要密码)1sudo -l 看用户组1id 也可看其他用户 1id root /etc/passwd1cat...

【学习笔记】[THM]Windows Privilege Escalation(windows提权)

基本知识点Administrators组可以更改系统配置SYSTEM / LocalSystem 帐户比管理员用户具有更多的权限Local Service用于以“最低”权限运行 Windows 服务的默认帐户。它将通过网络使用匿名连接Network Service用于以“最低”权限运行 Windows 服务的默认帐户。它将使用计算机凭据通过网络进行身份验证收集密码的常用位置无人值守的 Windows 安装在大量主机上安装 Windows 时，管理员可以使用 Windows...

【学习笔记】[THM]ffuf

基本使用直接扫网站就行了，根据之前的提示 1./ffuf -u http://10.10.127.184/FUZZ -w ../SecLists/Discovery/Web-Content/big.txt 回答问题：您找到的第一个状态代码为 200 的文件是什么？查找页面和目录使用通用文件列表（如 raft-medium-files-lowercase.txt）开始枚举 1./ffuf -u http://10.10.127.184/FUZZ -w ../SecLists/Discovery/Web-Content/raft-medium-files-lowercase.txt 对应第一个问题：您找到的是什么文本文件？尝试仅针对索引页面的常见扩展 1./ffuf -u http://10.10.127.184/indexFUZZ -w ../SecLists/Discovery/Web-Content/web-extensions.txt 对应第二个问题：为索引页找到哪两个文件扩展名？从此单词列表中排除 4 个字母的扩展名，因为它会导致许多误报 1./ffuf -u...