随手记

一、红雨滴云沙箱视角看攻防：演习攻击样本手法总结

1. 钓鱼邮件
   1. 加密附件
2. 常见攻击方式
   1. LNK文件和DLL白利用加载恶意组件
   2. 模拟程序出现异常而报错
3. 网络通信
   1. 域前置
4. 沙箱检测
   1. 样本使用多种手段检测运行环境是否为真实受害主机，包括但不限于检测语言、检测CPU数量、检测内存大小、检测样本的文件路径、检测访问特定网站获取的内容中是否包含指定字符串，检测网络出口IP等。
5. 编程语言多样化
   1. 加壳与混淆
   2. 多层解码与内存执行
   3. 从字符串和其他数据中恢复后续载荷

二、以蓝队视角对今年红队攻击手法进行总结复盘

1. 钓鱼手法
   1. 常规钓鱼手段
   2. 上线
2. 恶意钓鱼邮件仍是主流钓鱼姿势
3. 供应链逐渐成为主要威胁
4. 企业集成系统仍然是RT首页目标
   1. 各大内网集成系统依然是RT攻击首要目标，例如域控，zabbix，堡垒机，vcenter，exchange，k8s，各大安全厂商杀软控制端等。企业集成系统仍然是RT攻击首要目标

三、2023年hackerone报告整理

https://bugbountyguide.org/wp-content/uploads/2023/08/hackerone-Reports.pdf

四、记一次从xss到任意文件读取

1. 刷新简历可以看到成功弹窗，证明存在存储型xss（简历处插入xss："content:"<p><h1>test1</h1>test2</p>）
2. 通过过滤网络请求我们发现这样一个数据包，它将html及里面包含的js代码会发送给后端，后端可能通过渲染html代码从而生成pdf供用户下载
   1. 一般可以通过获取后端解析的组件及版本来获取更多信息，从下载的pdf中，可以文件的头部信息可以获取创建者或者pdf文件信息
   2. 可以发现后端使用的wkhtmltopdf组件(wkhtmltopdf官方文档：https://wkhtmltopdf.org/index.html)
   3. 在他的使用文档中发现其使用Qt WebKit浏览器引擎将html渲染成pdf，既然是通过浏览器渲染的，那html中的所有标签也会被浏览器所执行。
      1. <iframe src="<http://127.0.0.1>" width="500" height="100">,可以看到虽然是403，但是确实是能读取成功的。
      2. 任意文件读取，通过XMLHttpRequest发起请求，使用file协议读取本地文件，然后document.write将请求的结果覆盖原来html的内容。