银狐26年全面复活，对抗强度或已超25年最高水平

自春节假期结束后，微步情报局监测到银狐攻击活动全面复活。3月，银狐已恢复到年前的活跃度，全月微步情报局捕获的新变种达500+，发现大量从去年下半年至今数次迭代的攻击手法，传播范围和对抗强度或已超越去年最高水平。

手法一：利用大量空壳公司构建钓鱼网站

进入到3月，微步情报局频繁捕获到仿冒浙江省税务局电子税务平台的钓鱼页面。

用户点击钓鱼页面内任意链接，都会触发内置的js跳转事件：

事件触发后，会弹出一个"系统版本过低，需要升级"的虚假弹窗，诱导用户下载银狐木马程序：

Atomic Stealer (AMOS) 回归：ClickFix、伪装加密货币应用与新型 macOS 持久化机制

Atomic Stealer（通常追踪为 AMOS）已成为 macOS 威胁环境中最为持久的威胁之一。凭借无休止的开发周期和多样化的分发网络，它没有任何减缓的迹象。研究人员已广泛记录了其标志性战术："ClickFix"浏览器社会工程钓鱼提示、伪装的应用安装程序，以及最近的 malext 变体（通过恶意广告活动传播）。

密码喷射攻击：防范攻击你需要知道的事项

密码喷洒是一种利用弱密码轻松攻破用户账户的网络威胁。这意味着在认证用户进入系统时，执行严格的访问控制至关重要。

一、Vagrant下载与安装

Vagrant是一个基于Ruby的工具，​用于创建和部署虚拟化开发环境​。它使用Oracle的开源VirtualBox虚拟化系统，使用Chef创建自动化虚拟环境。

漏洞挖掘思路

大厂SRC严重漏洞的特点

1.和数据相关

⦁ 核心服务器
⦁ 任意用户
⦁ 越权
大量敏感数据

2.和钱有关

下单过程漏洞
⦁ 0元购
⦁ 支付逻辑漏洞
⦁ 负数刷钱

3.选择大于努力，选择大的厂挖

4.挖洞的点

⦁ 突破系统限制的
⦁ 对业务对企业有利益危害的

5.白帽子思维

白帽子要有模拟坏人地思维
⦁ 不按要求输入
⦁ 喜欢跳过流程/程序
⦁ 对程序错误敏感
说明程序员在设计时候有考虑不周
⦁ 交叉结合
多个漏洞结合利用
⦁ 持续学习
对新技术学习 新业务上线漏洞最多

小程序代理及反编译

环境：

物理机：172.20.10.3

模拟器：172.20.10.4

模拟器设置代理

物理机即可接收到数据

移动端APP渗透通过Postern App 代理抓取流量

App拖到模拟器安装

windows提权分类

1.系统漏洞提权(Linux、Windows)内核提权
3.第三方软件/服务提权
2.数据库提权
4.系统配置错误提权

windows提权概述

提权，顾名思义就是提升权限，当我们getshell一个网站之后，大部分情况下我们的权限是非常低的,这时就需要利用提权，让原本的低权限（如只允许列目录）→高权限（拥有修改文件的能力）权限提升后，对接下来的渗透有很大帮助。
windows:

user-->System
user-->Administrator

注入原理

前端输入用户数据未被检测或过滤就直接带入数据库执行，造成SQL漏洞。

SQL注入条件

1. 用户能控制输入的内容
2. 用户输入的数据未被检测或过滤就带入数据库执行。

漏洞利用

1. 获取数据库数据
2. 读文件 load_file
3. 获取系统shell，执行命令。
4. 写webshell，控制网站。
5. 查询用户的密码，连接到mysql数据库中。

注入分类

1. 请求分类：GET、POST

2. 注入点参数分类：整型注入、字符型注入、搜素型注入

3. 反馈类型分类（重点）：

   1.union类型——联合查询

   2.错误类型显示——报错注入

   3.布尔类型——布尔盲注

   4.其他类型——宽字节注入、header注入、base64、url注入、堆叠注入

4. 根据数据库类型

   MySql、SQLserver、Oracle、Access

windows Linux见： Linux centos7 java环境配置

JRE8安装目录为C:\Program Files\Java\jre1.8.0_221

​​

打开环境变量的步骤：

点击开始，右键选中我的电脑，点击属性-->高级系统设置-->高级-->环境变量-->系统变量。

1、设置JAVA_HOME

JAVA_HOME：C:\Program Files\Java\jre1.8.0_221（JRE安装路径）

​​

​​

php 不死马权限维持、映像劫持技术、策 略组脚本维持、shift 后门、建立影子账 号、power shell 配置文件后门、Monitor 权限维持、利用安全描述符隐藏服务后门 进行权限维持、iis 后门、window 隐藏技 术、驱动级文件隐藏

shift后门(shift backdoor)

绕过安全控制措施获取对程序或系统访问权限的方法。后门是一个留在目标主机上的软件，它可以使攻击者随时与目标主机进行连接 大多数情况下，后门是一个运行在目标主机上的隐藏进程，可能允许一个普通的、未授权的用户控制计算机 所以攻击者经常使用后门来控制服务器。