哈拉少安全小队
哈拉少安全小队
微信号 gh_b273ce95df95
功能介绍 专注安全技术分享，涵盖web渗透，代码审计，内网/域渗透，poc/exp脚本开发，经常更新一些最新的漏洞复现，漏洞分析文章，内网渗透思路技巧、脱敏的实战文章、waf绕过技巧以及好文推荐等，未来着重点会在java安全相关分享。
__发表于
收录于合集
以下文章来源于西山云安 ，作者西山云安
西山云安 .
不要以你已经做过的事情来判断你的成败得失，而要以你将要做的事情来判断。
声明： 本公众号所发布的文章及工具只限交流学习，如有侵权，请告知我们立即删除，文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。
钓鱼流程
一次银行小项目期间，资产较少，没有找到好的入口点，尝试钓鱼进入，翻看BOSS直聘中有招聘信息。
更改一下个人信息为符合标准得年龄和学历，之后就开始打招呼。
和HR聊的热火朝天，聊HR和聊女朋友差不多了，主要是满足她要求得一切条件，获取信任就可以顺利拿到个人或企业微信。
每个HR都是有业务指标的，看见我们条件很合适，就很着急互换微信。
获取微信后添加好友，发现到中午饭点了，吃完饭再发简历马，以防手机点击。
到这里也顺利上线HR电脑了。
翻阅进程查看到SangforVPN，本想着顺着网线就过靶标段去了.........。好像被发现电脑关机了。
二次钓鱼
发现钓鱼可行，怀疑该公司人士团队安全意识并不高，通过牛客联系一个人事内推，再次发马上线。
这次汲取教训，先进行一波权限维持，使用开源小工具Bypassuac拿到administrator*权限（自行编译），写入计划任务定时执行简历马。
hackerhouse-opensource/iscsicpl_bypassUAC: UAC bypass for x64 Windows 7 - 11 (github.com)
流程总结
小伙伴们学会了吗？一定到珍爱人士小姐姐。
END
部分大纲展示，详细看
👇👇👇
预览时标签不可点
微信扫一扫
关注该公众号
知道了
微信扫一扫
使用小程序
取消 允许
取消 允许
： ， 。 视频 小程序 赞 ，轻点两下取消赞 在看 ，轻点两下取消在看