Category: 产品研究

摘要 Apple Silicon 的安全启动链从 Boot ROM 到 iBoot 再到 Kernelcache，层层验证，构筑了封闭生态中最坚固的信任根基。然而，iBoot 阶段的系统内存管理单元初始化和设备树解析，依赖一套早于 XNU 内核建立的内存映射机制。攻击者若能在 iBoot 执行阶段污染设备树中的 DART 节点，便可在 SMMU 页表创建之前植入虚假的 IOMMU 映射，使内核在不知情的情况下使用被篡改的 DMA 保护配置。 Apple Silicon 的启动链与信任模型 从 Boot ROM 到 Kernelcache 的信任传递 Apple Silicon Mac 的启动过程分为四个严格校验的阶段： Boot ROM：芯片出厂固化代码，不可修改。验证下一阶段的签名（iBoot），仅在 DFU 模式下可通过外部刷新进行恢复。这是信任的物理根基，也是 checkm8 等永久性漏洞的所在层。 iBoot：Apple 的第二阶段引导加载器，负责初始化硬件（包括 SMMU、内存控制器、PCIe 根复合体），解析设备树并选择启动内核。iBoot 本身由 Boot ROM 验证签名。 Kernelcache：XNU 内核及其扩展的预链接映像，由 iBoot 验证签名后解压加载。内核启动后依赖 iBoot…

摘要 Windows 受保护进程轻量级是微软自 Windows 8.1 以来构建的核心安全边界，通过基于数字签名的层级信任模型阻止恶意代码篡改反恶意软件和端点安全产品。本文从 PPL 信任层级架构出发，逐层拆解 ClipUp 提权与 EDR-Freeze 竞态条件的技术原理，将 BYOVD 与 PPL 滥用合二为一的融合攻击链，并讨论跨 PPL 等级的内存转储攻击面及检测盲区。 PPL信任边界 Windows Vista 首次引入了受保护进程模型：进程要么受保护，要么不受保护。该模型过于二元化，无法适应实际安全需求。从 Windows 8.1 开始，微软引入 PPL 扩展了这一概念，引入了保护级别层级，使得某些受保护进程比另一些更受保护，且定义了一个根本性原则：不受保护的进程只能使用受限的访问标志集（如 PROCESS_QUERY_LIMITED_INFORMATION）打开受保护的进程，若请求更高访问权限则返回拒绝访问错误。 对于 PP/PPL 进程而言，其可请求的访问权限取决于自身的保护级别，该级别部分由文件数字证书中的特殊增强密钥使用字段决定。进程创建时，保护信息存入 EPROCESS 内核结构中的特定字段，存储着保护级别（PP 或 PPL）以及签名者类型（如反恶意软件、LSA、WinTcb 等）。 签名者类型在 PP/PPL 之间构建了严格层级： 若 PP 的签名者类型高于或等于目标 PP/PPL，则可以完整访问目标进程 若 PPL 的签名者类型高于或等于目标 PPL，则可以完整访问目标进程 PPL 无法以完整访问权限打开 PP，无论前者使用何种签名者类型 PPL 的签名者类型构成了四条明确的信任等级，每一层都有其典型代表进程和关键特权： 保护层级 签名者类型 典型进程 关键特权 可访问对象 WinTcb-Light…

Burp Suite 介绍 Burp Suite是一款用于攻击和测试Web应用程序的集成平台，它包含了多种工具，如代理、重发器、扫描器、爬虫、Intruder、Repeater等，可以协同工作，共享信息，支持各种攻击和检测方法。 Burp Suite的插件是一种扩展Burp Suite功能的方式，可以通过Burp Extender模块来安装和管理。插件可以由社区用户创建和维护，也可以由自己编写。插件可以修改HTTP请求和响应，发送额外的HTTP请求，自定义Burp Suite的界面和功能，添加额外的扫描检查，访问Burp Suite的信息等。 在本文中，我们将介绍 Burp Suite 插件，并使用 IDEA 工具编写简单的自定义插件。 配置环境 首先我们需要安装 IDE 工具，可以下载 IntelliJ IDEA、Atom、Netbeans、Eclipse 等。 Java 环境： Java 环境我们将在后续文章中以使用 IDEA 工具编写为例介绍。  Python 环境： Burp Suite 依赖 Jython 来支持 Python，需要下载 Jython 并配置 Burp Suite 位置。 在 Burp Suite 页面加载 Python 插件需要选择扩展类型为 Python 并指定 Python 插件文件。 API Extender…

MySQL UDF 简介 MySQL UDF (User Defined Function) 是一种可以扩展 MySQL 功能的机制，通过编写 C 或 C++ 代码，可以创建自定义的函数，甚至执行系统命令。 要利用 MySQL UDF 执行系统命令，需要满足以下三个条件： 拥有 MySQL 的 root 权限，可以创建和删除函数 拥有 MySQL 服务的文件权限，可以将 UDF 文件写到 MySQL 插件目录 UDF 文件是针对目标系统的平台和架构编译的，否则会出现错误 编写代码 在上文提到，利用 UDF 执行系统命令需要针对目标系统的平台和架构编译，比如目标 MySQL 服务器为 Windows 系统则需要 UDF 文件后缀为 .dll，Linux 系统则需要 UDF 文件后缀为 .so。 本次选择以 Kali Linux 系统为例，编译代码前首先需要安装开发库，Kali Linux 安装命令为： ┌──(root㉿kali)-[~] └─# apt…

简介 在正式讲解前，我们先简单了解下CRLF注入漏洞。 在HTTP报文中，状态行和首部中的每行以CRLF结束，首部与主体之间由一空行分隔。而CRLF漏洞的产生则是因为Web应用没有对用户输入做严格验证，导致攻击者可以输入一些恶意字符串，攻击者一旦成功注入CRLF，就会在响应中输入，所以也称为HTTP响应拆分漏洞。 在CRLF中，“CR”意为回车（例：r、%0D），“LF”意为换行符（例：n、%0A）。在Windows系统中，CRLF表示行的结束；Linux则以LF表示行的结束。 一般来说更多是将CRLF用于会话固定漏洞、XSS漏洞和窃取cookie等，但是CRLF注入漏洞也可以利用在Web应用程序中。 漏洞环境 Memcached是一个开源、高性能的分布式内存对象缓存系统。 影响版本： V2.2.0及以下版本 在早些时候Memcached也爆发过CRLF注入，而本次绕过则是根据之前爆发过的CRLF注入而产生的1Day漏洞，因为是1Day所以直接下最新版即可。 我们使用Kali Linux环境，编写以下代码文件，并放到网页目录下。 <?php $server = new Memcached(); $server->addServer('localhost', 11211); $token = $_GET['token']; $server->set("wolf","poc") ; echo "[token] = "; var_dump($server->get("$token")); echo "[wolf] = "; var_dump($server->get("wolf")); 在Kali Linux终端输入命令： apt-get install memcached 安装Memcached后，输入以下命令： service memcached start //开启Memcached服务 netstat -ntlp //查看服务是否开启 看到11211端口为监听状态则代表Memcached服务正常开启，然后只需要配置php环境重启Apache2即可。 基础命令 在搭建好漏洞环境后，我们先简单了解下Memcached的命令，会更加方便后续的漏洞利用。 set命令 Memcached的set命令用于将value存储在指定的key中，如果key已存在则会更新key值。 基本语法如下： set key…