CVE Vulnerabilities

sy64

https://blog.xpnsec.com/identity-providers-redteamers/

这篇文章总结了针对不同身份提供商的一些后渗透技术,包括:

LogonUserW 钩子: 攻击者可以通过钩取 LogonUserW API 来获取明文凭证,这适用于 Azure AD Connect、Okta、OneLogin 和 Entra ID Connect 等身份提供商。
Agent 模拟: 攻击者可以通过复制 OneLogin、Ping Identity 和 Entra ID 的代理程序功能,从外部环境获取用户凭证。
Kerberos 认证: 攻击者可以利用 Ping Identity 和 Entra ID 的 Kerberos 认证机制来获取服务票据,并进行 pass-the-cache 和 silver ticket 攻击。
SAML 攻击: 攻击者可以通过注册恶意的外部 IdP 来欺骗 Okta、Ping Identity 和 Entra ID,以任意用户身份进行认证。
钓鱼攻击: 攻击者可以利用 Ping Identity 的代理程序功能来进行钓鱼攻击,无需提前知道目标用户的电子邮件地址。
Okta FastPass: 攻击者可以利用 Okta FastPass 的实现方式,通过 SOCKS 代理将 FastPass 请求转发到目标主机,从而绕过用户交互。

总的来说,这篇文章详细介绍了针对不同身份提供商的一些后渗透技术,为红队人员提供了有价值的信息。

sy64

https://aadinternals.com/post/pta/#exploiting-compromised-pta-agent-certificate

文章介绍了 Azure AD PTA 漏洞,允许攻击者获得对目标 Azure AD 租户的持久且未被发现的访问权限。
文章提供了详细的攻击步骤,包括从受感染的 PTA 代理服务器导出证书和引导程序,以及利用这些信息创建后门并获取凭据。
文章还讨论了如何检测和监控这种攻击行为,包括监控 CAPI 密钥访问、PTA 代理状态以及本地 AD 和 Azure AD 之间的登录差异。

https://github.com/Gerenios/AADInternals

sy64

Debugging Case Studies

Debug Case Study: Analysis of ProxyNotShell from Memory Dump

Debug Case Study: Analysis of ProxyShell via IIS Worker Memory Dumps

Debug Case Study: Analyzing AppCrash of Cobalt Strike Beacon

Debug Case Study: How to triage a Cobalt Strike DNS Beacon?

Debug Case Study: SharePoint Pre-Auth Code Injection RCE chain CVE-2023-29357 & CVE-2023-24955

Debug Case Study: ViewState Des

https://github.com/DebugPrivilege/InsightEngineering/tree/main/Debugging%20Case%20Studies

sy64

OAuth resources,

For OAuth Impersonation you can read @SaltSecuritys blog…
https://salt.security/blog/oh-auth-abusing-oauth-to-take-over-millions-of-accounts
For Dirty Dancing, you can read this amazing blog by @fransrosen

https://labs.detectify.com/writeups/account-hijacking-using-dirty-dancing-in-sign-in-oauth-flows/

sy64

🎉DFIR Labs Update🎉

Now offering Splunk!

All future cases and CTFs will now include Splunk as an option!

We have two cases ready and more coming:

sy64

https://danaepp.com/mastering-api-exploitation-crafting-reverse-shells-via-curl

这篇文章主要介绍了如何利用 API 中的命令注入漏洞,通过 cURL 构建反向 shell,从而获取对 API 服务器的控制权。作者详细介绍了整个攻击过程,包括设置攻击者机器、利用 ngrok 建立隧道、生成自签名证书、启动 curlshell 服务器,最后触发命令注入漏洞并稳定反向 shell。这种利用 API 漏洞的技术对于安全测试和渗透测试非常有用。

sy64

https://www.cybertriage.com/blog/dfir-breakdown-kerberoasting/

通过利用 Windows Active Directory (AD) 环境中的正常 Kerberos 行为来获取域帐户凭据。

https://csandker.io/2022/11/10/Untangling-Azure-II-Privileged-Access.html

sy64

https://labs.jumpsec.com/whats-in-a-name-writing-custom-dns-tunnelling-protocol-on-the-fly-exploiting-unexpected-aws-lambda-misconfiguration-all-in-a-web-app-pen-test-part-1/

https://labs.jumpsec.com/whats-in-a-name-writing-custom-dns-tunnelling-protocol-exploiting-unexpected-aws-lambda-misconfiguration-in-a-web-app-pen-test-part-2/

利用意外的 AWS Lambda 配置错误

sy64

https://labs.jumpsec.com/wasm-smuggling-for-initial-access-and-w-a-l-k-tool-release/

从红队角度来看，WASM 具有可以引入恶意功能的功能，例如：

在浏览器中运行恶意内容。
规避传统的已知恶意 JavaScript 函数，例如 window.local.href（JavaScript 中的属性，用于获取或设置当前窗口的 URL，通常用于将浏览器重定向到不同的 URL）和 window.navigator.msSaveOrOpenElob（通常用于从 Web 应用程序下载文件，它允许保存或打开 blob）。

绕过传统文件类型签名的典型检测机制。

https://blog.delivr.to/webassembly-smuggling-it-wasmt-me-648a62547ff4

sy64

Our Top 10 for May ’24 is as follows:

DarkGate AutoHotkey HTML
- 利用 search-ms 协议处理程序进行重定向
- 利用 CVE-2023-36025 绕过 SmartScreen
- 利用 AutoHotKey 进行进程注入
WebAssembly HTML Smuggling
- 利用 WebAssembly 在 HTML 中隐藏恶意内容
- 动态注入 DOM 元素下载恶意负载
PikaBot HTML SMB Auth Coercion
- 利用 http-equiv 属性进行页面重定向
- 利用 file 协议处理程序触发 SMB 认证凭证窃取
CVE-2024-21413 (MonikerLink)
- 利用 CVE-2024-21413 漏洞绕过 Office 的 Protected View 功能
MSI Python RAT
- 利用 MSI 安装程序下载并执行 Python 解释器
- 利用 Python 解释器执行最终的恶意负载
DarkGate AutoIt VBS
- 利用 AutoIt 进行进程注入和shellcode执行
Bumblebee Smuggled RAR (CVE-2023-38831)
- 利用 HTML 隐藏 RAR 文件
- 利用 CVE-2023-38831 漏洞执行恶意负载
AgentTesla ZPAQ Archive
- 利用罕见的 ZPAQ 文件格式隐藏恶意负载
PikaBot SMB Link
- 利用 SMB 链接直接下载恶意负载
AgentTesla PIF PowerShell Injector
- 利用 PIF 文件格式下载并执行 PowerShell 注入器

https://blog.delivr.to/delivr-tos-top-10-payloads-may-24-auth-coercion-byoi-and-esoteric-containers-ee6b0bbb9f09

sy64

https://www.ambionics.io/blog/iconv-cve-2024-2961-p2

Iconv，将字符集设置为 RCE（第 2 部分）： @cfreal_ 利用直接 iconv（）调用来破解 PHP 引擎及其最流行的网络邮件 @Roundcube （CVE-2024-2961）。

sy64

https://googleprojectzero.blogspot.com/2024/06/driving-forward-in-android-drivers.html

sy64

https://www.mobile-hacker.com/2024/06/17/exfiltrate-sensitive-user-data-from-apps-on-android-12-and-13-using-cve-2024-0044-vulnerability/

利用 CVE-2024-0044 漏洞泄露在 Android 12 或 13 上运行的任何 Android 应用的 #WhatsApp 聊天或内部数据

https://blog.lleavesg.top/article/CVE-2024-0044

sy64

https://blog.qdsecurity.se/2024/04/07/forest-compromise-through-ama-abuse/

Forest Compromise Through AMA Abuse

您的林中至少注册了一个 AMA OID，直接或间接链接到高权限组（例如企业管理员）
您的 KDC 隐式或显式地信任至少一个您不一定拥有完全控制权的 CA，例如，如果您已委派证书管理器权限或使用"在请求模板中提供"
您已将林中任意域中至少一个常规用户帐户的写入权限委托给企业管理员以外的其他人

sy64

https://bc-security.org/scriptblock-smuggling/

核心原因是PowerShell v5和 AMSI 中引入了 PowerShell 安全日志记录。这为蓝队提供了重要的工具来对抗来自 PowerShell 的威胁。自从这些推出以来，已经出现了几种 AMSI 绕过方法，例如 Matt Grabber 的反射绕过或 Rastamouse 对AmsiScanBuffer的修补，并且已经发布了少量 ScriptBlock 日志记录绕过方法，例如 Cobbr 的ScriptBlock Logging Bypass。但这些都涉及完全禁用日志记录。到目前为止，还没有一种方法可以伪造这些日志。ScriptBlock Smuggling 允许攻击者在绕过 AMSI 的同时将任意消息伪造到 ScriptBlock 日志中。更有趣的是，它也不需要执行任何反射或内存修补。特别是 AMSI 修补已经开始成为许多 AV 和 EDR 解决方案的目标，因此这是该技术的一个主要优势。

sy64

https://www.proofpoint.com/us/blog/threat-insight/clipboard-compromise-powershell-self-pwn

该技术会引导用户复制和粘贴恶意的 PowerShell 脚本，从而用恶意软件感染他们的计算机

sy64

https://www.netspi.com/blog/technical-blog/red-team-operations/microsoft-outlook-remote-code-execution-cve-2024-21378/

2023年,NetSPI发现Microsoft Outlook容易受到通过同步表单对象进行的经过身份验证的远程代码执行(RCE)攻击。本博客将介绍如何发现CVE-2024-21378并通过修改Ruler（SensePost发布的Outlook渗透测试工具）将其武器化。

https://github.com/NetSPI/ruler

Ruler 是一款允许您通过 MAPI/HTTP 或 RPC/HTTP 协议远程与 Exchange 服务器交互的工具。主要目的是滥用客户端 Outlook 功能并远程获取 shell。