1.浅谈云上攻防——云服务器攻防矩阵
2.欲知己之所防，劫劫持先知彼之所攻——论Hook 技术的持源攻防对抗
3.潜伏于暗夜之中的幽魂，于无声无息中蔓延，原理无形无影中爆发！劫劫持
4.深入探索Linux系统调用劫持浅析linux系统调用劫持

浅谈云上攻防——云服务器攻防矩阵

       云服务器（Cloud Virtual Machine，持源CVM）作为常见的原理经典老指标源码云服务，为用户提供高效、劫劫持灵活的持源计算服务，显著降低软硬件采购和IT运维成本。原理然而，劫劫持云服务器的持源安全性至关重要，因为其承载着业务与数据，原理风险主要来自云厂商平台和用户使用两端。劫劫持相比平台侧风险，持源用户侧漏洞更易产生，原理对资产影响也更大。以美高梅酒店为例，由于配置错误，导致未经授权访问云服务器，导致大量客户信息泄露，包括家庭住址、联系信息、出生日期、驾照号码和护照号码。

       为应对云服务器安全挑战，腾讯安全云鼎实验室于年9月发布了《云安全攻防矩阵v1.0》，从云服务器、容器、对象存储三个服务维度，全面解析云服务器攻防策略。本文将聚焦《云安全攻防矩阵》中云服务器部分，帮助开发者、运维及安全人员识别风险。

       云服务器攻防矩阵概览

       《云安全攻防矩阵v1.0》基于云厂商历史漏洞数据、阿里手册源码安全事件以及腾讯云数据，为云平台构建了一套攻防矩阵。矩阵由云服务器、容器及对象存储服务共同组成，全面覆盖云服务安全防护体系。

       云服务器攻防矩阵详解

       初始访问

       1. **云平台主API密钥泄露

**       API密钥相当于用户登录密码，代表账号所有者身份与权限。API密钥由SecretId和SecretKey组成，用于访问云平台API。开发者不当配置或设备入侵可能导致密钥泄露，攻击者可借此冒充账号所有者，非法操作云服务器。

       2. **云平台账号非法登录

**       云平台提供多种身份验证方式，包括手机验证、账号密码验证、邮箱验证等。攻击者可通过弱口令、泄露账号数据、骗取验证信息等方式非法登录，获取云服务器控制权。

       实例登录信息泄露

       云服务器实例登录信息包括用户名、密码或SSH密钥等，被窃取后攻击者可通过这些信息非法登录实例。

       账户劫持

       云厂商控制台漏洞可能导致账户被攻击者劫持，通过XSS等漏洞，攻击者可获取实例控制权。

       网络钓鱼

       攻击者通过网络钓鱼技术，如发送钓鱼邮件或伪装身份进行交流，获取登录凭证、账户信息或植入后门，实现云服务器控制。

       应用程序漏洞

       应用程序存在漏洞或配置不当，可被攻击者利用扫描并发现，阿坝商城网站源码通过漏洞访问云服务器实例。

       使用恶意或存在漏洞的自定义镜像

       恶意或存在漏洞的自定义镜像通过共享方式，形成供应链攻击风险，攻击者可利用这些镜像控制云服务器实例。

       实例元数据服务未授权访问

       攻击者通过漏洞访问实例元数据服务，获取实例属性和高权限角色，进而控制云服务器。

       执行

       1. **通过控制台登录实例执行

**       攻击者利用平台凭据登录云平台，使用Web控制台直接操作实例。

       2. **写入userdata执行

**       通过指定自定义数据配置实例，在实例启动时执行该文本，实现命令自动执行。

       3. **利用后门文件执行

**       攻击者部署后门文件，通过上传、供应链攻击或直接注入，实现命令执行。

       4. **利用应用程序执行

**       云服务器应用可能存在漏洞，允许攻击者通过应用程序执行命令。

       5. **利用SSH服务进入实例执行

**       通过SSH登录Linux实例，执行命令。

       6. **利用远程代码执行漏洞执行

**       利用应用程序远程代码执行漏洞，编写EXP进行远程命令执行。

       7. **使用云API执行

**       通过云API接口发送请求，实现与云服务器交互。

       持久化

       1. **利用远程控制软件

**       管理员安装的远程控制软件可被攻击者利用，进行持久化。

       2. **在userdata中添加后门

**       攻击者通过userdata服务写入后门代码，实现隐蔽的持久化操作。

       3. **在云函数中添加后门

**       攻击者利用云函数插入后门代码，通过函数调用执行。

       4. **在自定义镜像库中导入后门镜像

**       攻击者替换用户镜像仓库，触发恶意代码执行。

       5. **给现有用户分配额外API密钥

**       攻击者为账户分配额外API密钥，产品码溯源码用于攻击。

       6. **建立辅助账号登录

**       通过建立子账号并关联策略，实现持久化操作。

       权限提升

       通过访问管理功能，攻击者可提权子账号，或利用应用程序漏洞提升权限，创建高权限角色。

       防御绕过

       1. **关闭安全监控服务

**       攻击者关闭监控服务，避免触发告警。

       2. **监控区域外进行攻击

**       攻击者在监控盲区进行攻击，规避告警。

       3. **禁用日志记录

**       攻击者禁用日志记录，隐藏攻击痕迹。

       窃取凭证

       1. **获取服务器实例登录凭据

**       攻击者获取服务器上用户的登录凭据。

       2. **元数据服务获取角色临时凭据

**       攻击者通过元数据服务获取角色临时凭据。

       3. **获取配置文件中的应用凭证

**       攻击者从配置文件中获取应用凭证。

       4. **云服务凭证泄露

**       云服务中明文存储凭证，被攻击者窃取。

       5. **用户账号数据泄露

**       用户数据包括账号密码等敏感信息，被攻击者获取。

       探测

       1. **云资产探测

**       攻击者查找云环境中的可用资源。

       2. **网络扫描

**       攻击者识别运行服务，进行端口和漏洞扫描。

       横向移动

       1. **使用实例账号爆破

**       攻击者尝试爆破云资产或非云资产。

       2. **通过控制台权限横向移动

**       攻击者利用控制台权限访问其他云资产。

       3. **窃取角色临时凭据横向访问

**       利用角色临时凭据访问权限范围内的云资产。

       影响

       1. **窃取项目源码

**       攻击者下载云服务器源码，获取更多可利用信息。

       2. **窃取用户数据

**       攻击者获取用户敏感数据，包括姓名、证件号码、电话等。

       3. **破坏文件

**       攻击者删除、北京思源码头覆盖或篡改云服务器文件。

       4. **植入后门

**       攻击者在云服务器中插入恶意代码。

       5. **加密勒索

**       攻击者加密云服务器文件，向用户索要赎金。

       总结

       云服务器作为关键云服务，安全风险不容忽视。深入了解风险点与攻击手段，有助于用户构建有效的防护措施，确保云上业务与数据安全。通过《云安全攻防矩阵v1.0》，用户可识别风险并制定监测策略，保障云服务安全性。

欲知己之所防，先知彼之所攻——论Hook 技术的攻防对抗

       矛盾的同一性与斗争性原理几乎适用于所有攻防对抗。

       在设备指纹攻防对抗中，当硬件属性不再作为设备指纹的唯一属性时，为了保证设备指纹的唯一性，需要在硬件ID的基础上增加更多识别标准以及动态可变的算法。黑灰产在尝试绕过设备指纹进行攻击时，会通过“伪装”自己的设备来实现攻击目的，比如让App认为设备是一个新手机，或伪造受害者的手机进行身份认证。然而，有矛必有盾，安全研究者同样会利用Hook技术来对抗此类攻击。

       Hook技术是一门广泛用于计算机攻防对抗的技术，它能够监视系统或进程中的事件消息，截获并处理目标窗口的消息。使用Hook技术的人可以被视为“钓鱼人”，而Hook技术则相当于“渔具”，系统中的事件消息就像“游鱼”，钓鱼人通过Hook技术将其捕获（Hook技术一般是有指向性的），然后对事件进行修改，使之继续正常运行。Hook技术常用于热补丁上线、API劫持、软件破解等技术操作。

       在Android平台，Hook框架主要分为三类：针对Native层的Hook框架、针对Java层的Hook框架（如Xposed）以及全平台Hook的Frida框架。针对移动设备的Hook技术主要以手机为主，其中Android的Hook框架主要包括bhook、xhook、yahfa等针对Native层的框架，以及Xposed类框架和Frida框架。

       在攻防对抗中，如何利用Hook技术进行攻击？首先，需要对目标应用进行反编译分析，了解其功能和内部逻辑。然后，编写Hook插件，修改目标应用的关键方法，实现对特定参数的控制，从而获取其MD5值等敏感信息。在实现Hook攻击时，需要遵循特定的前置条件和步骤，如创建xposed_init文件、配置AndroidManifest.xml、编写Xposed Hook模块等。

       针对Hook攻击的防御方式同样重要。除了通过检测ClassLoader来识别Xposed框架的使用，还可以采用其他传统防御方法。顶象产品具备独有的对抗方式，包括反检测、反对抗技术，可以更准确地识别Hook风险。在攻防对抗方面，安全厂商需要持续不断的努力，以保持技术的领先性。

       顶象技术已实现对安卓、iOS、H5、小程序等全方位的安全保护，有效防御调试、注入、多开、内存Dump、模拟器、二次打包和日志泄露等攻击威胁。顶象产品还支持对iOS免源码加固，并具备“蜜罐”功能，保护Android 种数据和文件，提供7种加密形式。

潜伏于暗夜之中的幽魂，于无声无息中蔓延，无形无影中爆发！

       在无光的暗夜中潜行，"隐魂"木马的阴影悄然蔓延，借助永恒之蓝漏洞，编织成一张庞大的僵尸网络。这是一场无声的风暴，安全中心的最新发现揭示了其复杂而危险的特性。</

       这款新型木马，"隐魂"，凭借自我更新的狡猾策略，通过自定义动态库的巧妙隐藏、系统进程注入的无缝对接，以及sstp和stratum+ssl协议的隐形传播，成功避开了部分常规检测手段。它的隐蔽性如同黑夜中的幽灵，令人防不胜防。

       一旦入侵，"隐魂"迅速激活多种危害模块，如浏览器劫持、DNS劫持、账号窃取和加密货币挖掘等，形成立体的威胁矩阵。其BootKit三层架构，显示了背后可能存在的专业黑客团队，对网络安全构成了严峻挑战。

       最新版本的"隐魂"加入了永恒之蓝漏洞利用模块，这无疑增强了其在内网的快速扩散能力。从色情播放器的附身，到利用漏洞攻击同一网段，再到本地WEB服务器的brp.exe病毒程序传播，其传播链环环相扣，令人震惊。

       "隐魂"的漏洞利用模块源于NSA泄漏的代码，其执行流程犹如精密的钟表，从下载、解密、动态库加载到环境检测，每一个环节都显示出其精心设计的恶意意图。

       启动过程中，"隐魂"首先通过deepfreeze.api感染MBR，加载rdpci.sys驱动，随后NPFDrv2.sys驱动接管系统，监控关机时刻，确保病毒在关键时刻激活。主引导分区的控制权被夺，关键系统函数被巧妙地挂钩，潜伏等待时机。

       在内核Rootkit阶段，"隐魂"如影随形，对抗安全软件的防御，监控模块加载，甚至在svchost.exe中注入恶意代码，展现其侵入的深度和控制力。</

       在应用层，"隐魂"利用sstp协议进行病毒更新，通过config.js的灵活配置，实现不同功能的分支，如盗号的dataspy.api，进一步扩大其破坏范围。

       "隐魂"的扩展性和隐藏能力令人咋舌，仅需配置文件加载新模块，如yy.exe加载appmain.dll、qtgui4.dll和duifw.dll，就能激活键盘记录、账号窃取等高级功能，甚至可能与开源远程控制工具MeshAgent有所关联。

       然而，黑暗中的幽灵并非无迹可寻。安全卫士凭借其强大的防护能力，能够查杀并修复"隐魂"的威胁。深入研究《隐魂》系列报告和MeshAgent源码，是我们对抗这种无形威胁的关键武器。

深入探索Linux系统调用劫持浅析linux系统调用劫持

       深入探索Linux系统调用劫持浅析

       Linux系统调用劫持是一种破坏性技术，它利用程序间直接调用系统调用来更改或破坏系统行为。它可以在应用程序、安全工具、远程API和操作系统内核中使用，以增强功能或防御攻击。

       在Linux系统调用劫持中，用户空间程序会调用系统调用来实现特定功能，而劫持者则以某种方式拦截以前调用系统调用来进行攻击。有多种方法可以实现系统调用劫持。其中一个例子就是使用ptrace系统调用来拦截系统调用，ptrace可以在程序中插入代码以更改它的行为。

       此外，还可以使用LD_PRELOAD环境变量实现系统调用劫持。 LD_PRELOAD变量允许开发者加载用户自定义的动态链接库，以便在调用其他系统调用或函数时侦测它。

       另一个方法便是做一些种类更加复杂的内核开发，例如修改Linux内核的源码，从而在每次系统调用之前或之后插入程序代码，从而实现劫持系统调用的目的。

       最后，有一种特殊的黑客技术，称为『软件调整』技术，它可以以非常快的速度来实现系统调用劫持。该技术可以使用特殊的指令修改系统调用表，从而直接拦截系统调用以修改它们的行为。

       总之，Linux系统调用劫持技术可以用来增强功能或防御攻击，它具有很高的抗攻击性和柔韧性，但同时也可能被滥用用于恶意目的。因此，有必要继续深入研究Linux系统调用劫持，保护系统中的数据安全和攻击被发现和阻止。