Накидайте поздравлений @Acrono, админу APT)

CVE-2024-21683: Confluence Auth RCE

https://github.com/W01fh4cker/CVE-2024-21683-RCE

#exploit #git #web

GitHub

GitHub - W01fh4cker/CVE-2024-21683-RCE: CVE-2024-21683 Confluence Post Auth RCE

CVE-2024-21683 Confluence Post Auth RCE. Contribute to W01fh4cker/CVE-2024-21683-RCE development by creating an account on GitHub.

Почему-то только сегодня обратил внимание на эту удобную штуку (ох, два года уже репозиторию)😅

https://github.com/aniqfakhrul/powerview.py

#ad #pentest #enum

CVE-2024-21338: Windows Admin-to-Kernel LPE

Уязвимы Windows 10 & 11

PoC: https://github.com/hakaioffsec/CVE-2024-21338

Blog: https://hakaisecurity.io/cve-2024-21338-from-admin-to-kernel-through-token-manipulation-and-windows-kernel-exploitation/research-blog/

#lpe #windows #exploit #redteam

Используем YARA правила, чтобы отключить сборщик событий Windows

YARA-правила позволяют путем анализа некоторых статических данных определять аномалии хоть в памяти, хоть на диске. Например, если в лицухе у ехешника указан Benjamin DELPY, то что-то идет не так :D

Но мы можем внедрять собственные YARA-правила. Например, следующее:
rule disable { condition: true }

Это приведет к тому, что все события, поступающие в Windows Event Log Service будут им же и отброшены.

Для реализации такого необычного метода отключения логирования уже написан POC

GitHub

GitHub - bats3c/EvtMute: Apply a filter to the events being reported by windows event logging

Apply a filter to the events being reported by windows event logging - bats3c/EvtMute

Аналог GetProcAddress, но написан на ассемблере. Гуд...

https://github.com/WKL-Sec/FuncAddressPro

#redteam #maldev #evasion

GitHub

GitHub - WKL-Sec/FuncAddressPro: A stealthy, assembly-based tool for secure function address resolution, offering a robust alternative…

A stealthy, assembly-based tool for secure function address resolution, offering a robust alternative to GetProcAddress. - WKL-Sec/FuncAddressPro

🎁 Source Code Disclosure in IIS 10.0! Almost.

There is a method to reveal the source code of some .NET apps. Here's how it works.

👉 https://swarm.ptsecurity.com/source-code-disclosure-in-asp-net-apps/

Рекомендую блог тем, кому интересен малдев, да и просто для понимания работы той или иной техники уклонения. В использовании VEH ничего нового нет, но Daniel Feichter очень подробно разбирает использование сисколов посредством глобального обработчика исключений.

https://redops.at/en/blog/syscalls-via-vectored-exception-handling

#malware #evasion #redteam

RedOps - English

Syscalls via Vectored Exception Handling - RedOps