2025年 第35周 微信公众号精选安全技术文章总览

    洞见网安 2025-9-1

    0x1 Grav CMS 远程代码执行 分析&复现 | CVE-2025-50286

    404号浪漫 2025-09-07T21:03:00 © 404号浪漫

    Example Image


    0x0 背景介绍Grav CMS v1.7.48 中存在一个远程代码执行（RCE）漏洞，允许经过身份验证的管理

    远程代码执行 (RCE) 文件上传漏洞 PHP代码执行 Web应用安全 身份验证依赖 插件机制漏洞 服务器安全 CVE-2025-50286

    0x2 HackTheBox TombWatcher 难度: Medium

    信益安信息安全研究院 2025-09-07T08:31:11 © 信益安研究院

    Example Image


    该文章详细记录了TombWatcher渗透测试的步骤和结果。首先，使用nmap扫描发现主机，尝试使用初始账号密码登录成功。通过bloodhound分析发现，henry用户对alfred用户有WriteSPN权限，可以进行kerberoast攻击，成功获取alfred用户的TGS票据并破解其密码。alfred用户对INFRASTRUCTURE组有AddSelf权限，利用该权限添加自身到INFRASTRUCTURE组。接着，分析INFRASTRUCTURE组发现ansible_dev$对该组有ReadGMSAPassword权限，成功获取其哈希并破解密码。ansible_dev$对sam用户有ForceChangePassword权限，修改sam用户的密码后尝试winrm登录失败。进一步分析发现，sam用户对john用户有WriteOwner权限，利用该权限修改john用户的owner，赋予sam对john的完全控制权，并强制修改john的密码，最终成功通过john用户登录winrm。提权阶段，分析发现john用户对ADCS组织单位有GenericAll权限，恢复被删除的cert_admin用户，并利用john用户的权限修改cert_admin密码，但winrm登录失败。最后，利用cert_admin用户权限搜索证书相关漏洞，通过伪造证书提权获取域管权限，修改域管密码后成功登录winrm获取flag。

    信息收集 凭证枚举 kerberoast 密码破解 权限提升 域渗透 gMSA 利用 AD 架构分析 证书服务提权

    0x3 [github] GzWebsocket：哥斯拉WebSocket型WebShell管理插件

    Ncko 2025-09-07T00:00:22 niuko

    Example Image


    本文介绍了GzWebsocket，一款专门用于管理和连接WebSocket类型WebShell的插件。GzWebsocket旨在解决传统HTTP型WebShell在现代网络安全防护体系下的通信特征容易被检测和阻断的问题。文章详细阐述了WebSocket型WebShell的优势，包括全双工通信、持久连接、轻量级通信和更隐蔽的通信。GzWebsocket的核心功能包括WebSocket连接管理、多协议支持和会话保持。文章还讨论了GzWebsocket在渗透测试中的应用场景，如内网横向移动、数据外传和反向Shell建立。此外，文章还介绍了绕过WAF、IDS和EDR检测的技术，并提供了实际渗透案例。最后，文章强调了防御与检测的重要性，并提醒安全研究人员应了解这些工具的工作原理以构建防御体系。

    WebShell WebSocket 渗透测试 网络安全 红队技术 安全工具 安全漏洞 防御策略

    0x4 CFS三层靶机-工作组环境下的内网渗透流程

    祭司安全 2025-09-06T18:31:11 © 祭司

    Example Image


    本文详细介绍了在CFS三层靶机中进行工作组环境下的内网渗透流程。首先，介绍了靶机的下载和网卡配置，包括KALI、centos7和Ubuntu系统的网络拓扑设置。接着，对T1_Centos7、T2_Ubuntu和T3_Win7三个靶机的服务配置进行了说明，包括宝塔面板的设置和IP加入等操作。随后，详细描述了攻击T1_Centos7的过程，包括信息收集、利用ThinkPHP5-0.23RCE漏洞获取webshell，并通过MSF上线获取交互式会话。接着，文章转向攻击内网Ubuntu靶机，通过Fscan进行端口扫描和SQL注入攻击，最终获取数据库账号密码。然后，文章介绍了如何通过设置代理和扫描端口来获取T2_Ubuntu靶机的访问权限，并通过手动注入和目录扫描获取flag。最后，文章描述了攻击Win7靶机的过程，包括利用永恒之蓝漏洞和MSF进行连接，最终获取flag。

    靶场渗透测试 网络安全实战 漏洞利用 内网渗透 端口扫描 代理设置 木马植入 SQL注入攻击 永恒之蓝漏洞

    0x5 [渗透-essay] XSS Payload 的隐蔽技巧

    Ncko 2025-09-06T11:01:23 © niuko

    Example Image


    本文详细介绍了多种XSS（跨站脚本攻击）Payload的隐蔽技巧，重点围绕如何绕过WAF（Web应用防火墙）检测展开。文章首先介绍了利用HTML5特性的XSS Payload，如SVG标签、formaction属性等。接着，阐述了通过Unicode混淆、HTML实体编码等方式进行编码混淆的技巧。此外，还探讨了利用浏览器解析特性（如标签顺序混淆、不闭合标签、空格和Tab利用）的Payload。文章进一步介绍了绕过长度限制的XSS Payload方法，如利用注释符、重定向、data URI等。此外，还分析了利用JSON的XSS Payload，以及绕过CSP（内容安全策略）的技巧，包括利用img标签的onerror事件、iframe和srcdoc、object和data属性等。最后，文章提供了实战绕过WAF的高级Payload示例，并提出了分层编码与注释、JavaScript对象遍历、特性函数、函数名混淆、不常见标签等实战利用思路。文章强调，实战中应结合多种技巧规避常规检测，提高攻击成功率，并建议学习Payload结构、运作方式，以成为一名优秀的渗透测试人员。

    XSS WAF绕过 渗透测试 安全研究 Web安全 Payload 编码混淆 浏览器特性利用

    0x6 每周高级威胁情报解读(2025.08.29~09.04)

    奇安信威胁情报中心 2025-09-05T10:08:24

    Example Image


    本文详细分析了2025年8月29日至9月4日期间多起网络安全攻击事件和恶意软件活动。关键事件包括：UTG-Q-010组织通过供应链攻击针对香港金融机构；Lazarus子组织使用三种RAT攻击金融和加密货币领域；APT29通过仿冒网站获取微软设备代码认证；APT37针对韩国的大规模鱼叉式钓鱼攻击；APT-C-53（Gamaredon）针对乌克兰政府部门的攻击；APT28使用新后门‘NotDoor’攻击Outlook用户。此外，文章还探讨了模型命名空间重用导致的AI供应链攻击、TA2715传播Stealerium恶意软件、Google Salesforce数据泄露事件、针对印度组织的新网络钓鱼活动、Silver Fox利用驱动程序漏洞传播ValleyRAT、伊朗有关的鱼叉式网络钓鱼活动、新型加密挖矿恶意软件NBMiner、TinkyWinkey键盘记录器、攻击者通过仿冒AnyDesk下载网站传播MetaStealer、恶意npm软件包利用以太坊智能合约攻击加密货币开发者以及谷歌修补了Android中的111个漏洞等事件。这些攻击表明网络威胁日益复杂，攻击者不断采用新技术和策略，对企业和个人安全构成严重威胁。

    APT攻击 恶意软件 钓鱼攻击 供应链攻击 数据泄露 漏洞利用 社会工程学 AI安全 反检测/规避技术 跨领域攻击

    0x7 MemShellParty_Tomcat回显马分析

    UpRoot 2025-09-03T14:43:26 © 1

    Example Image


    知其然，更要知其所以然。

    Web安全 Java安全 内存马 代码审计 漏洞利用 JVM机制

    0x8 联发科60余款芯片组高危漏洞可致权限提升或DoS攻击，涵盖手机、平板及物联网设备

    FreeBuf 2025-09-02T18:31:39

    Example Image


    本文报道了联发科近期发布的安全公告，指出其60余款芯片组存在多个高危和中危漏洞，可能被用于权限提升或DoS攻击。这些漏洞影响了包括手机、平板和物联网设备在内的多种设备。公告指出，三个高危漏洞分别可能导致远程权限提升和拒绝服务，而三个中危漏洞则可能导致本地权限提升或代码执行。联发科已将修复补丁通知设备制造商，并建议用户安装最新固件或操作系统更新以保护设备安全。

    芯片组漏洞 权限提升 拒绝服务攻击 固件安全 物联网设备 移动设备 安全公告 漏洞披露 设备制造商责任 操作系统安全

    0x9 CRT库删除和Fiber执行绕过AV

    信益安信息安全研究院 2025-09-01T16:57:21 © 信益安研究院

    Example Image


    免杀,工具分享,CRT 库删除,Fiber执行绕过AV,Bypass,火绒,360

    编译选项 二进制分析 动态链接库 静态分析 动态分析 代码混淆 API Hooking 恶意软件开发 安全规避

    本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。