译文声明 本文是翻译文章，文章原作者Ruian Duan, Omar Alrawi, Ranjita Pai Kasturi, Ryan Elder, Brendan Saltaformaggio, Wenke Lee，文章来源：arxiv.org原文地址：https://arxiv.org/pdf/2002.01139.pdf 译…
概要 在研究 win32k 模块的 uaf 漏洞时，最重要的一点就是，了解目标对象整个生命周期的状态转换过程，尤其是哪些行为会触发 ref 的增加，哪些行为会导致 ref 的减少，甚至部分场景会使得内核不考虑 ref 值直接 f…
概述该样本为无文件门罗币挖矿，传播行为通过ms17010和hash传递进行传播，相关脚本保存在WMI 对象中，挖矿程序通过开源的PowerSploit中Invoke-MemoryLoadLibrary进行调用，相关操作比较隐蔽，在分析时部分相关的…
DLL劫持自动化检测 简介 本文将介绍动态链接库（DLL）搜索顺序劫持的概念，以及如何实现在Windows上的持久化攻击。MITRE ATT&CK对DLL搜索顺序劫持的描述详见DLL Search Order Hijacking (T1038)。 DLL劫持对…
一、原理 （一）概述 不安全的反序列化漏洞已成为针对Java Web应用程序的研究者的普遍目标。这些漏洞通常会导致RCE，并且通常不容易彻完全修补。CVE-2020-2555就属于这一类。 针对CVE-2015-4852的补丁的绕…
前言 最近，全球领先的网络安全公司 FireEye 疑遭某 APT 组织的攻击，其大量政府客户信息遭越权访问，且红队工具被盗。虽然目前尚不清楚这些红队工具将被如何处置，但FireEye 公司在 GitHub 上发布了一些…
前言 在工控系统中，工程师会将编写好的组态程序或者HMI画面保存到工程文件中，方便下次打开进行查看或者编辑。然而，开发人员在打开工程文件时，会发生什么呢？正常来说，组态软件负责解析对应的工程文件，在这…
一 、原理 （一）概述 概述链接1 概述链接2 接CVE-2015-4852， Oracle使用黑名单进行了防护，如下， 看一下CVE-2015-4852调试过程中记录的信息， functors在3个点完全被禁， 再看看触发时的调用栈， 结合…
WebSphere简介 WebSphere 是 IBM 的软件平台。它包含了编写、运行和监视全天候的工业强度的随需应变 Web 应用程序和跨平台、跨产品解决方案所需要的整个中间件基础设施，如服务器、服务和工具。WebSphere …
0x00 前言 熟练的阅读汇编代码是恶意软件分析时的基本功。 在本节中，我将以一个比较简单的Downloader(下载者)程序为例，以纯汇编的角度来对该恶意样本进行分析。 本节中所使用到的样本已经上传到了app.any.run …
导读：日前泰国用户及设备正在遭受Wolf间谍软件的攻击。经研究表明该恶意软件与WolfRAT有关。该恶意软件是基于DenDroid恶意软件的升级版本，其代码主要是通过对DenDroid恶意软件及网络上大量公共开源代码…
概述 近日，我们的域名异常监测系统 DNSMon 捕捉到域名 pro.csocools.com 的异常活动。根据数据覆盖度估算，感染规模超过100k。我们通过告警域名关联到一批样本和 C2，分析样本后发现是与双枪恶意程序相关…
