Fstraw Blog

CSV注入漏洞介绍CSV公式注入(CSV Injection）是一种会造成巨大影响的攻击向量。攻击包含向恶意的EXCEL公式中注入可以输出或以CSV文件读取的参数。当在Excel中打开CSV文件时，文件会从CSV描述转变为原始的Excel格式，包括Excel提供的所有动态功能。在这个过程中，CSV中的所有Excel公式都会执行。当该函数有合法意图时，很易被滥用并允许恶意代码执行。 现在很多应用提供了导出电子表格的功能（不限于 Web 应用），早在 2014 年 8月 29 日国外 James Kettle 便发表了《Comma Separated Vulnerabilities》文章来讲述导出表格的功能可能会导致注入命令的风险，因为导出的表格数据有很多是来自于用户控制的，如：投票应用、邮箱导出。攻击方式类似于 XSS ：所有的输入都是不可信的。 漏洞原理我们知道在 Excel 中是可以运行计算公式的： =1+5 ，它会将以 = 开头的单元格内容解释成公式并运行，单纯的运行计算公式可能没什么用，但这里可以用到 DDE 。Dynamic Data Exchange（DD ...

CRLF0x00 什么是CRLF？CRLF 指的是回车符(CR，ASCII 13，\r，%0d) 和换行符(LF，ASCII 10，\n，%0a)。 CRLF的概念源自打字机，表明行的结束，计算机出现后沿用了这个概念。 回车符：光标移到行首， 换行符：光标垂直移到下行。 键盘上的回车键(Enter)就可以执行该操作。但是不同的操作系统，行的结束符是不一样的。 Windows：使用CRLF表示行的结束 Linux/Unix：使用LF表示行的结束 MacOS：早期使用CR表示，现在好像也用LF表示行的结束 所以同一文件在不同操作系统中打开，内容格式可能会出现差异，这是行结束符不一致导致的。 在HTTP规范中，行应该使用CRLF来结束。首部与主体由两个CRLF分隔，浏览器根据这两个CRLF来获取HTTP内容并显示。 我们知道HTTP报文由三部分组成： 报文首部 空行 报文主体 首部和主体由两个CRLF分隔。 CRLF注入漏洞，是因为Web应用没有对用户输入做严格验证，导致攻击者可以输入一些恶意字符。攻击者一旦向请求行或首部中的字段注入恶意的CRLF，就能注入 ...

前言因为 CS 被 vultr 检测到了，听到要把我封号，有点小慌，吓得我立马把vps删了😅，所以查找了一下解决方法。 在这里记录一下成功反编译 CS，修改 checksum8 算法的过程。 思路来自这里： https://blog.csdn.net/qq_35938621/article/details/122366079?spm=1001.2014.3001.5501 但有些地方和这篇文章不太一样，因为我按照上面的方法尝试了一遍，没有复现成功。但只要你按照我这篇文章来，百分百成功。 反编译 CS我这里使用的是 java 在线反编译网站，而不是自己下载反编译工具（因为使用了一下反编译工具，效果都不太好，所以推荐使用在线工具） link：http://www.javadecompilers.com/ 打开网站，上传 conbaltstrike.jar 文件，选择 CFR 反编译工具，点击 Upload and Decompile 上传和反编译。 然后就是等待几分钟吧，它完成了之后不会提示你完成了，你需要按一下 F5 刷新一下网页，如果成功了，点击下载即可。 修改 checksum ...

C2 实验 免责声明1本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. C2隐藏技术CDN ping 检测 Cloudflare 支持的 HTTP 端口是： 80 8080 8880 2052 2082 2086 2095 Cloudflare 支持的 HTTPS 端口是： 443 2053 2083 2087 2096 8443 CS 安装 java 12345#修复依赖与覆盖问题，完成安装apt -f installapt install default-jre#开放端口ufw allow 80&&ufw allow 443 监听器配置域名 生成木马 执行，上线，每次回连，vps 的 ip 都会改变 将生成的木马放到微步沙箱里面进行检测： https://s.threatbook.cn/ 只能找到域名，而无法找到更多有用信息。 多地 ping 也无法获取真实 ip。

0x00 前言收集到的网络上的 CS 文章，包含部署隐藏，上线提醒等等技巧 教程 aleenzz/Cobalt_Strike_wiki Cobalt Strike 4.0 手册翻译 Fofa 1cert="73:6B:5E:DB:CF:C9:19:1D:5B:D0:1F:8C:E3:AB:56:38:18:9F:02:4F" 0x01 隐藏https://mp.weixin.qq.com/s/2EQ6-NjUDG90Ge5Ml_1X_Q https://mp.weixin.qq.com/s/V6huSfYfl355HXgUnflAOA https://mp.weixin.qq.com/s/ssi71BzvLBnuR8dZj-9Ccg 0x02 上线https://mp.weixin.qq.com/s/m88skTT0xdooLqSGP4BXAQ https://mp.weixin.qq.com/s/gYyB-vNskvXVubV9s_Dzgw 上线提醒 https://github.com/lintstar/CS-PushPlus 绕过 vu ...

编者注：你真的会用 BurpSuite 吗？ 转载自：https://forum.butian.net/share/686 BurpSuite Trick ALL In ONE (第一版)0x01 Basic1x1 Anti Burp by Web Interface 配置SwitchyOmega代理的时候增加设置如下列表的不走代理 12burpburpsuite 在burpsuite的proxy的opions中禁用掉 web interface http://burpsuite 主要原因是防止被检测到使用burpsuite在抓包，最重要的是防止被检测到使用burp抓包之后返回蜜罐的响应信息给你。参考: 《精确判断网站访问者是否是黑客的方法》 最好把burp的favicon.ico也删除 1zip -d burpsuite_pro.jar "resources/Media/favicon.ico" 参考: 《使用javascript确认对方是否开burpsuite，蜜罐必备策略》 1x2 Anti Burp by JA3 指纹cloudfl ...