零队

前言近日，谷歌云威胁情报团队开源了一组YARA规则，以帮助防御者标记和识别Cobalt Strike及其版本

Vcenter人送外号小域控，Vcenter拿下之后，不单单只是获取一台服务器的权限【因为Vcenter的管理端中必然会有其他的虚拟机存在】，拿下Vcenter的价值不亚于域控的价值。

简单来讲，就是当cs在profile中设置sleep_mask为true时，Beacon会在进入sleep之前在内存中混淆自身，但是这个操作只会混淆字符串和数据，而负责进行加解密的代码部分不会混淆，且在内存中可以被标记出来

0x00 前言前段时间在看某个cms代码的时候，发现log4j组件版本存在漏洞，并且开启了端口，但web站点

0x00 前言偶然间看到SnakeYaml的资料感觉挺有意思，发现SnakeYaml也存在反序列化利用的问题

和RcoIl一起写的小工具，可上传下载文件，xp_cmdshell和xp_cmdshell与sp_oacreate双回显和clr加载程序集执行相应操作。

https://github.com/uknowsec/frpModify

通过websocket协议让FRP用上域前置，可以隐藏真实服务ip地址

拿起你的IDA跟我一起bypass cobaltstrike beacon config scan吧

自用缝合怪内网扫描器，支持端口扫描，识别服务，获取title，扫描多网卡，ms17010扫描，icmp存活探测

SauronEye-Modify:快速查找目标终端文件并压缩打包上传oss

前几周用到的溯源技巧。

SharpOSS-利用阿里云OSS实现内网渗透中的快速文件上传

前言 前些日子有人问到我溯源反制方面的问题，我就想到了MySQL任意文件读取这个洞，假设你在内网发现或扫到了

Fofa采集工具-自修改版本

将Shellcode隐写到正常BMP图片中，把字符串拆成字节，写入每个像素的alpha通道中，然后上传到可信任的网站下偏移拼接shellcode进行远程动态加载，能有效地增加了免杀性和隐匿性。

前言看了内存reGeorge之后，觉得很有趣，复现完之后开始想着怎么玩点骚的

C++OXID_Find 通过OXID解析器获取Windows远程主机上网卡地址

sunshine师傅提到的端口复用方案，实践并分享一下。

本文主要分享钓鱼马的制作思路，也都是尝试，经验不够丰富 。关于邮件投递的问题，后续我们展开来讲。