Rundll32 代理执行与 Wermgr 进程空洞化攻击
2026-10-12 120 字 1 分钟

Rundll32 代理执行与 Wermgr 进程空洞化攻击

Rundll32 代理执行与 Wermgr 进程空洞化攻击样本信息 文件：rundll32_hollowing_wermgr_masquerading.evtx SHA-256：dd771b5c6f30a25886af418e0bb69ded8383c13a08f74e5602cc5878ed623b11 文件大小：69632 字节 有效 EVTX 记录：4 条；Record ID 1—4。注意文件末尾未分配空间可能残留 UTF-16 文本，不计入有效事件。 事件通道：Microsoft-Windows-Sysmon/Operational 主机：MSEDGEWIN10 主要用户：
Rundll32 代理执行与计划任务持久化
2026-10-12 631 字 4 分钟

Rundll32 代理执行与计划任务持久化

Rundll32 代理执行与计划任务持久化样本信息 样本：rundll32_cmd_schtask.evtx 主要 ATT&CK：T1218.011（System Binary Proxy Execution: Rundll32）、T1053.005（Scheduled Task）；补充 T1059.003（Windows Command Shell） 记录来源：Microsoft-Windows-Sysmon/Operational；主机为 MSEDGEWIN10 操作账户：相关进程为 MSEDGEWIN10\IEUser 时间：2020-10-23 21:57:34—21:
DLL 侧加载与持久化攻击
2026-10-12 745 字 4 分钟

DLL 侧加载与持久化攻击

DLL 侧加载与持久化攻击样本信息 文件：DE_timestomp_and_dll_sideloading_and_RunPersist.evtx 文件 SHA256：ce94f2bd83c0adf2381afee0f3714b41aef4ae0997350b3aa039d7947865164c 解析出有效事件 30 条，其中 Microsoft-Windows-Sysmon 23 条、Microsoft-Windows-Diagnostics-Performance 7 条 Sysmon 主要时间范围：2019-04-27 15:57:25.868～15:57:54.165 UTC
Windows Defender 恶意软件检测与处置
2026-10-11 294 字 2 分钟

Windows Defender 恶意软件检测与处置

Windows Defender 恶意软件检测与处置样本信息 文件：WinDefender_Events_1117_1116_AtomicRedTeam.evtx 日志：Microsoft-Windows-Windows Defender/Operational 主机：MSEDGEWIN10 事件数量：11 条，1116 六条，1117 五条；涉及 5 种威胁名称（HackTool:JS/Jsprat 有重复 1116） 日志记录创建时间（UTC）：2019-07-18 20:40:02.281—20:53:43.035 触发进程（日志中）：C:\Windows\System32\W
AD 域--ACL 权限滥用与账户操纵
2026-10-11 538 字 3 分钟

AD 域--ACL 权限滥用与账户操纵

AD 域–ACL 权限滥用与账户操纵样本信息 文件：ACL_ForcePwd_SPNAdd_User_Computer_Accounts.evtx 文件大小：1118208 bytes；SHA-256：f09f993909deb7acdae4c4f6f48e5a8447487e89437873fd8e653436a3dce36c 完整有效事件：55 条（Record ID 1—55）；包括 7 种 Event ID 来源：Security 审计通道为主，涉及 Microsoft-Windows-Security-Auditing 和 Microsoft-Windows-Eventlog
4794--DSRM 后门
2026-10-11 347 字 2 分钟

4794--DSRM 后门

4794–DSRM 后门技术背景在 Active Directory 环境中，DSRM（Directory Service Restore Mode）账户是每个域控制器上的本地管理员账户，通常用于离线维护 攻击者在获得足够权限后，可以修改 DSRM 账户的密码，从而在域控上建立一个隐蔽的持久化后门，即使常规的域管理员密码被更改，攻击者仍可通过 DSRM 账户登录域控 日志分析 字段 值 含义与研判要点 事件 ID 4794 “试图设置目录服务还原模式管理员密码”。仅在域控上生成，每次修改 DSRM 密码都会记录 使用者安全 ID S-1-5-21-…-500 域 HQCORP
AD 域--DSRM 后门
2026-10-11 1.5k 字 7 分钟

AD 域--DSRM 后门

AD 域–DSRM 后门前言在 Active Directory 环境中，DSRM（Directory Service Restore Mode）账户是每个域控制器上的本地管理员账户，通常用于离线维护 攻击者在获得足够权限后，可以修改 DSRM 账户的密码，从而在域控上建立一个隐蔽的持久化后门，即使常规的域管理员密码被更改，攻击者仍可通过 DSRM 账户登录域控 环境搭建系统镜像 操作系统 用途 下载来源 Windows Server 2016/2019/2022 域控制器操作系统 Microsoft Evaluation Center 下载 ISO Kali
某高校智慧迎新服务平台越权导致大量敏感信息泄露
2026-10-08 749 字 3 分钟

某高校智慧迎新服务平台越权导致大量敏感信息泄露

某高校智慧迎新服务平台越权导致大量敏感信息泄露前言本次测试属于公益类型的 SRC 弱口令在该校教务处找到默认密码规则 去查看公开的新生录取名单，社工库一查就有账号登录了 JavaScript 信息收集Vue CLI3 单页应用，只引两个包：index.304c22b4.js（247KB 业务码）+ chunk-vendors...js（库） 主包是一行 24 万字符，grep 整行截断 → 改用 [regex]::Matches 只取匹配片段 123[regex]::Matches($js, '["''](/[a-zA-Z0-9_/\-\.]&#12
Hack The Box Unit42
2026-10-04 781 字 4 分钟

Hack The Box Unit42

Unit42 Task 1：Event ID 11 有多少条？Event ID 11 = FileCreate（文件创建） 用 Event Viewer 筛选 11，顶部显示计数为 56 PowerShell 一行命令： 1(Get-WinEvent -Path "Microsoft-Windows-Sysmon-Operational.evtx" | Where-Object { $_.Id -eq 11 }).count 答案：56 Task 2：感染系统的恶意进程是什么？Event ID 1 = ProcessCreate 筛
VulnHub VulnCMS：1
2026-10-03 43 字 1 分钟

VulnHub VulnCMS：1

VulnCMS：1项目地址：https://download.vulnhub.com/vulncms/VulnCMS.ova 是一个打包好的镜像文件 注意：导入 ovf 时一定要选择我已移动，否则没网