关于一些普通反制方式的分析与补充

我会带着你远行 2022-11-15 11:18 139阅读 0赞

# 1. RDPInception反制远程桌面攻击(可尝试) #

这个利用的大概流程是这样的：

A机器：未控制，目标机器。

B机器：已控制，开放3389连接。

目标：希望通过A连接B的3389端口对其实施控制。

步骤：

1.A客户端RDP连接B时共享本地资源C盘给B。

2.B将恶意脚本复制到A的开机启动项文件夹下

3.A重启后即可上线

`一般情况下没有人会共享自己的C盘，所以此种反制方法没有配置必要，实现条件太过苛刻。`

参考脚本：https://github.com/mdsecactivebreach/RDPInception/

# 2. 恶意Mysql蜜罐-读取微信二维码(不推荐) #

针对windows机器的反制，可以读取链接此蜜罐的windows机器上登录过的微信号的二维码。

条件是：攻击者必须使用navicat尝试连接“数据库”时候，攻击者的微信就有可能被蜜罐捕获到。

不推荐布置，不过内网的数据库外网一般是无法直接访问的，攻击者肯定先得拿到一台内网机器架设代理才能对内网应用进行探测，而通过这种方式反制是无法直接反制攻击者而是会反制到代理服务器。

蜜罐地址：https://github.com/heikanet/MysqlHoneypot

参考文章：

https://mp.weixin.qq.com/s/hoYb6MxS8dz6eDyOEB4ZiA

https://juejin.cn/post/6914982828958875655\#heading-9

# 3. 目录穿越CVE201820250反制(不推荐) #

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

环境过于苛刻，没有实现必要。

https://github.com/WyAtu/CVE-2018-20250

# 4. AWVS反制(可尝试) #

https://github.com/dzonerzy/acunetix\_0day

防守方可以提前部署好带RCE的页面到网站中，如果攻击者使用的是AWVS 10版本对网站扫描，就会触发RCE，实现反向控制。

# 5. 反制Cobalt Strike-密码爆破(不推荐) #

约等于爆破ssh账号，成功与否取决于密码本。

# 6. Cobalt Strike-信息干扰 假上线(不推荐) #

实现成本太高，需要确定心跳包的格式才能模拟上线。

# 7. 公网投放诱饵(不推荐) #

诱饵只能放在内网，否则有法律风险。

# 8. OpenVpn配置文件反制(可尝试) #

可以先做一个蜜罐机器，且这个ip可以被攻击者访问到，在蜜罐上面配置好openvpn服务，把这个openvpn配置文件泄露在web目录中，很容易被猜解到就行，当攻击者下载openvpn配置文件到本地进行sudo openvpn example.ovpn后，就会执行我们事先写入的反弹shell的命令，实现反向控制。

# 9. 剪切板劫持(不推荐) #

攻击者发现了目标的远程桌面账号和密码，会尝试去连接，在连接后，如果把远程文件复制到本地，由于mstsc存在CVE-2019-0887剪切板劫持漏洞，在复制到本地的同时还会把预先准备好的恶意文件带入开机自启目录，植入恶意程序，实现反向控制。

早已被修复。

EXP ：https://github.com/t43Wiu6/CVE-2019-0887

原理：https://paper.seebug.org/1074/

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221022/9e101bd4038b4542aa88702d549a50a0.png

发表评论取消回复

表情：

评论列表（有 0 条评论，139人围观）

还没有评论，来说两句吧...

相关阅读

相关关于输出（System.in）的一些方式内容

1.System.out.println(“hello,你好”);//输出字符串，并且换行 2.System.out.print(“hello,你好”);//输出字符串，不

悠悠/ 2023年07月09日 02:29/ 0 赞/ 8 阅读

相关 Cookie补充的一些知识

Cookie的有效期 1. Cookie的maxAge决定着Cookie的有效期，单位为（Second）。 2. Cookie中通过getMaxAge()与setMaxA

男娘i/ 2023年06月02日 10:59/ 0 赞/ 6 阅读

相关关于FICO的反记账与冲销

测试结果 FS10N 看余额 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLm

你的名字/ 2023年02月19日 01:27/ 0 赞/ 124 阅读

相关蓝队溯源与反制

本文简单写下红蓝对抗过程中蓝队的一些溯源与反制方法。一、蜜罐反制（1）商用型近年来越来越多的厂商选择部署商用蜜罐来诱导攻击者，衡量蜜罐好坏的关键因素为诱捕能力，

清疚/ 2023年01月18日 12:22/ 0 赞/ 27 阅读

相关关于一些普通反制方式的分析与补充

1. RDPInception反制远程桌面攻击(可尝试) 这个利用的大概流程是这样的： A机器：未控制，目标机器。 B机器：已控制，开放3389连接。目标：希望通

我会带着你远行/ 2022年11月15日 11:18/ 0 赞/ 140 阅读

相关关于RecyclerView的Adapter的notifyItemInserted（）的一些分析

[CSDN 博客地址][CSDN] 本篇文章主要是针对RecyclerView的Adapter的notifyItemInserted（）等方法进行分析，不涉及过多的源码分析，

今天药忘吃喽~/ 2022年09月21日 08:04/ 0 赞/ 308 阅读

相关关于进制转换的一些函数（可以任意进制转换为任意进制）

首先，strtol 函数】他的功能是将一个任意1-36进制数转化为10进制数，返回是long int型。函数为long int strtol(const char \n

分手后的思念是犯贱/ 2022年09月17日 14:26/ 0 赞/ 240 阅读

相关 iptables学习与研究六(一些补充)

常用的处理动作： \-j 参数用来指定要进行的处理动作，常用的处理动作包括：ACCEPT、REJECT、DROP、REDIRECT、MASQUERADE、LOG、DNAT、

àì夳堔傛蜴生んèń/ 2022年08月26日 12:16/ 0 赞/ 184 阅读

相关泛型的一些补充

1.where T:a||b 表名该算法适用于实现接口A或接口B的类型 2.Where T:A && B 表名该算法使用与同时实现了接口A和接口B的类型待续，改天补上这

约定不等于承诺〃/ 2022年03月29日 05:18/ 0 赞/ 208 阅读

相关泛型的一些补充

1.where T:a||b 表名该算法适用于实现接口A或接口B的类型 2.Where T:A && B 表名该算法使用与同时实现了接口A和接口B的类型待续，改天补上这

爱被打了一巴掌/ 2021年12月05日 01:37/ 0 赞/ 229 阅读