众所周知，Windows PE文件结构长这样。 落到文件就像是这样，其中“■”颜色选中的地方是“IMAGE_DOS_HEADER”。 按照微软的文档说明，结构应该是这样： 是不是感觉怪怪的，好像与文档对不上？ 我们可以尝试着人工先分析一下，首先，把这段明文的内容提取出来，根据内容“This program cannot be run in DOS mode.(该程序不能以DOS模式运行。)”可以猜出，这段明文可能是用来在dos环境下，提示该程序无法直接运行的。 那么我们跳过这段数据继续往下看，下面这段看起来似乎比较…
近期发现了一些恶意的Lnk样本，忽然想到之前研究过Lnk文件的结构，就在此向大家分享一些有用的知识点，希望大家有所收获。 在Lnk文件中有很多字段，其中有一些字段很有意思，包括：“MachineID”、“MAC Address”、“SID”、“DriveSerialNumber”、“Item Type Text”等等，这些字段对溯源是很有帮助的，可以结合VT等样本沙箱进行Hunter，扩展更多样本，从而梳理攻击者的攻击时间线、攻击目标等等。 以下篇幅博主主要讲解Lnk文件的结构，我会尽量写的详细一点，方便大家学习。…
博主前阵子工作的时候注意到命令行的dir命令有个“/Q”参数，可以获取到文件的所有者，也可通过该技巧快速定位攻击者留下的木马后门。 仔细研究了一下后发现这个参数还是比较有价值的，特别是在检查windows服务器被攻击的时候。 举个例子🌰：黑客小张通过SQL注入执行力mysql写了一个木马后门“shell.php”到网站根目录， 当我们检查的时候，在网站目录执行“dir /Q”（“/A:-D参数是不显示'.'和'..'文件夹，此处仅为了截图方便，不详细解释完整含义”）。 可以很明显的看出来inde.p…
最近研究了一下部分压缩文件的文件头，发现在RAR中存在一个很有意思的字段"FILETIME mtime"，在RAR4的压缩中不会将其转到UTC+0的时间，即在RAR4中压缩时，所使用的时间为本地时间，那么这个信息有什么意义呢？ 假设，在东京（UTC+9）有一个小黑客，在小黑客本机12点的时候，编译了一个木马，那么木马的修改时间为12点，小黑客将木马通过RAR4压缩，然后在小黑客时区的12点15分通过邮件的方式发送到中国（UTC+8）小李的电脑上，不幸的小李被邮件内容吸引，于是打开了压缩包中了马。 在以上场景中，从小…
PS:好久没更新博客了，我收集了些应急响应的事件处理方案，希望可以帮到大家 应急响应综合 应急响应类型 web入侵：挂马、网页篡改（博彩/黑帽SEO等）、植入webshell，黑页，暗链等主机入侵：病毒木马、勒索软件、远控后门、系统异常、RDP爆破、SSH爆破、主机漏洞、数据库入侵等网络攻击：DDOS攻击、DNS/HTTP劫持、ARP欺骗等路由器/交换机异常：内网病毒，配置错误等 初步信息收集 客户属性：如名称/区域/领域等入侵范围：如主机数/网段等入侵现象：如cpu过高，勒索界面，异常网络链接，安全设备告警等客户…
修复部分BUG，可解最新版微信小程序连接如下： https://github.com/wangyeyu2016/wxappUnpacker MD，别白嫖啊，收藏我博客啊喂~
最近有点忙，偶尔诈尸一下。 这几天刚好在玩QQ超级萌宠，发现QQ超级萌宠交互并未使用cookie，略有好奇，本着认真的态度。学习分析了下游戏原(xie)理(yi)，发现学到的东西还真不少，然后随手用易语言做了一个demo出来（随后附上成品，如果自己那天不玩了就开源了）。 心中顿生疑问，不用cookie难不成是通过ip区分用户？这不科(qing)学(zhen)。 通过Fd抓包分析，发现协议头上有个叫做Authorization的东西，我一看，这不就是授权么。 继续跟进发现把帐号信息提交到了(https://pet.v…
图片一： 步骤一： 步骤二：【操作前请先看步骤一】安装epel源，理论上处理过步骤二就不需要步骤三了 步骤三：【操作前请先看步骤一】如已存在被禁用请按此操作开启，理论上处理过步骤二就不需要步骤三了首先创建并编辑/etc/yum.repos.d/epel.repo 并将以下内容放进去 ‘ESC’键->‘Shift’键+‘:’键->‘W’键->‘Q’键->‘Enter’键，然后执行： 这个时候一般epel就是启用的了，就可以安装opendkim了 等安装好了再打开邮局系统就可以会显示出defau…
这篇就不多说了，前几日搞了个爬企查查的，今日再搞一个天眼查的，希望诸位从这两份源码上学到一些东西。 运行如下： 爬到数据如下： 源码如下： PS：运行前请将自己的cookie放到26行那里。 PPS：爬不到数据？自己手动去过一遍验证码再试试看。 PPPS：爬到的是空数据？自己去手动搜索一下看看这个词搜不搜得到。 PPPPS：最后一句了…要是觉着有用的话…请关注并收藏此链接…我嘛…刚买了几年服务器….不出意外的话，几年内都在，请关注我…拜托拜托 ~
