文章
2026逆向、运维等SCR相关资料教程
Loading collection...
1、【Web安全】JWT常见安全漏洞总结 (https://jishuzhan.net/article/2056894088054149122) 2、多栈实战】某黑产软件全链路逆向实录
【多栈实战】某黑产软件全链路逆向实录 (上)
（https://www.52pojie.cn/thread-2110455-1-1.html）
【多栈实战】某黑产软件全链路逆向实录 (中)
（https://www.52pojie.cn/thread-2111428-1-1.html）
【多栈实战】某黑产软件全链路逆向实录 (下)
3、工具及资料
IDApro的mcp，还有codex_安全卫士
结构化的学习资源，梳理了攻击性安全和端点防御研究中常见的各种技术、研究论文、博客文章和实现概念： https://github.com/matro7sh/BypassAV
148 项skills，可大规模实现自主进攻侦察：https://github.com/uphiago/recon-skills/
4、微信小程序mmtls协议逆向分析小记
5、ai逆向某智能摄像头APK逆向分析实战：脱壳、去签名校验全流程：
https://www.52pojie.cn/thread-2114252-1-1.html
爱加密 核心思路：让壳自己把 DEX 解密并修复好，然后我们直接从它的工作目录拿走成品。
6. 相关书籍
①《Operating Systems: Three Easy Pieces》
1. 虚拟化 (Virtualization)
操作系统如何将物理资源（CPU、内存）转换
为通用、强大且易于使用的虚拟形式。
- CPU 虚拟化： OS 通过受限直接执行（Limited Direct Execution, LDE）机制，在保证控权的前提下让程序高效运行。利用时钟中断与上下文切换（Context Switch）实现多任务分时复用。
- 内存虚拟化： OS 为每个进程提供一个独立、私有的地址空间（Address Space）。通过硬件（MMU）的地址翻译（Address Translation）机制（从早期的基址加界限，发展到分段、分页以及多级页表），将虚拟地址映射到物理内存，实现进程间的完美隔离。
2. Concurrency (并发)
当多个线程在同一个地址空间内并发执行时，多线程协作与资源共享所引发的问题及解决方案。
- 主要探讨线程（Thread）的创建与调度。
- 深入剖析并发的核心矛盾：原子性、竞态条件（Race Conditions）与同步。
- 引入互斥量（Locks）、条件变量（Condition Variables）和信号量（Semaphores）等底层同步原语，并讨论如何规避死锁（Deadlock）。
3. 持久化 (Persistence)
数据如何在变动的、易失的硬件环境（如内存断电）中，安全、可靠、高效地长期保留。
- 硬件接口： I/O 设备、机械硬盘（HDD）的磁头调度与固态硬盘（SSD）的闪存翻译层（FTL）运作机制。
- 文件系统： 文件的组织、目录结构及元数据（Inode）的实现。
- 可靠性： 探讨系统崩溃时的数据一致性问题，重点讲解日志（Journaling）与写时复制（Copy-on-Write）技术，以及分布式文件系统（NFS/AFS）的架构。
核心精髓与重要知识点提取
如果你需要快速抓取本书最具有实用价值的底层逻辑，以下几点是重中之重：
- 策略与机制分离（Separation of Policy and Mechanism）： 机制（如上下文切换、地址翻译）回答“如何做”，策略（如 MLFQ 调度算法、LRU 页面置换）回答“做什么”。这种模块化设计是所有复杂软件系统的基石。
- 时钟中断与非协作式调度： 操作系统重新夺回 CPU 控制权的关键不在于程序有多“听话”（协作式），而在于硬件层面的硬中断（非协作式），这是构建稳定多任务系统的核心。
- 地址翻译与保护边界： MMU 在每一行代码执行时悄悄进行的逻辑偏移，不仅创造了“独占物理内存”的幻觉，更通过用户态/内核态（User/Kernel Mode）的硬件隔离，封锁了非法越界访问。
- 并发的代价： 理解为何简单的
counter++在多线程下需要三条汇编指令（Load, Modify, Store），进而产生不确定性结果。这是编写所有高并发基础架构的起点。
7. 实际案例讲解
案例笔记：因第三方运维私开测试端口致企业被LockBit勒索
案例笔记：因第三方运维私开测试端口致企业被LockBit勒索
来源：吾爱破解论坛 solar应急响应 实战案例，已脱敏，2026-08-20 真实事件
一、案例概览
攻击者未使用0day、免杀或域控攻击，全程使用公开工具和标准协议。真正的漏洞是一条“没人记得、没人审批、没人关闭”的RDP端口映射。两台受害主机：A主机（最先被加密，攻击者在此发起SMB爆破）、B主机（攻击入口跳板机，也是最后一个被加密的机器）。
二、应急响应分析流程（逆向溯源思路）
核心原则：先逆向，再正向。 日志可以缺，口供可以否，但互联网会记得——合理怀疑一切，找到一切不合理。
阶段1：案发现场快速研判
现象识别： A主机业务文件批量加密，修改时间整齐停在 05:29–05:30。系统日志中 05:29 起出现大量 SMBClient 报错，显示该机器正在对内网 192.168.1.* 网段的445端口发起密集连接（SMB爆破）。
关键困境： 系统日志中没有任何记录能说明攻击者如何获得A主机权限，日志被攻击者清空了。
阶段2：寻找“清不掉”的痕迹——Amcache突破口
系统日志可被清空，但 Amcache（Windows程序执行记录数据库） 是攻击者清不掉的取证金矿。在A主机Amcache中发现：
字段 | 值 |
文件名 | 5-NS new.exe |
执行时间 | 2026-08-20 05:28:13 |
SHA1 | 629c9649ced38fd815124221b80c9d9c59a85e74 |
通过哈希在公开沙箱与威胁情报中核实，确认该工具为基于
NetShareEnum、WNetAddConnection2W 等API的内网共享扫描/爆破工具，与 The DFIR Report 2025年5月披露的 ELPACO 勒索攻击报告中攻击者工具包文件名及哈希完全一致（一款2018年编译的老工具至今仍在勒索一线被使用）。同期发现： A主机桌面
C:\Users\Administrator\Desktop\x64-Release\ 目录下留有攻击者完整工具包——加密器本体（Stub）、密码抓取工具 netpass64.exe（NirSoft出品）、勒索信等。阶段3：锁定第二台主机与RDP登录溯源
在B主机系统日志中发现加密时间段附近存在RDP登录记录，来源IP为 192.168.1.254（企业路由器网关地址） ，B主机桌面也存在同一套攻击工具包。
攻击链初步推断： 攻击者先控制某台对互联网开放的主机 → 植入加密器和内网横向工具 → 对内网网段SMB爆破 → 能匿名登录的直接拿下并加密。
阶段4：矛盾点识别与资产测绘验证
核心矛盾： 运维人员声称“从未开启过任何对外服务”，但B主机RDP登录来源为网关IP极不合理。
验证方法： 通过资产测绘平台（FOFA/ZoomEye/Quake等）查询企业出口IP，发现该IP 曾对外开放3389端口，测绘记录中主机名字段与B主机一致，最新检测时间为2026-08-11。
测绘数据时效性说明： 测绘平台数据滞后几天至一周以上属行业常态，8月11日的记录可作为佐证证明端口在8月20日被攻击时仍然开放。
运维最终承认： “这是我们当初对外映射的测试端口。”
阶段5：攻击链完整复盘
时间（2026年） | 事件 | 证据来源 |
8月11日前 | 出口IP的B主机3389端口对公网开放（“测试端口”） | 资产测绘平台记录 |
8月20日 05:28:13 | 在A主机执行5-NS扫描器，对内网445爆破 | A主机Amcache |
8月20日 05:29起 | A主机文件批量被加密 | 文件时间戳 |
8月20日 05:32起 | B主机文件批量被加密 | 文件时间戳 |
8月20日 05:34 | 攻击者经RDP再次登录B主机（来源显示为网关192.168.1.254） | B主机RDP日志 |
攻击者正向视角六步：
- 找门： 通过资产测绘平台检索开放RDP服务的IP，无需自行扫描，检索即是踩点。
- 进门： B主机 Guest来宾账户呈启用状态，无需暴力破解密码。
- 站稳脚跟： 提权与权限巩固（具体手法因日志被清无法还原——能证明的写死，不能证明的留白，这是应急响应的职业底线）。
- 投放工具、横向移动： 整套工具包置于桌面
x64-Release目录，用5-NS扫描内网，用netpass64抓取本机保存的网络密码。
- 清理痕迹： 使用
LogDelete.bat和Clearr.cmd两个脚本通过wevtutil清空全部Windows事件日志。
- 加密： 先运行
killprocess.cmd停掉SQL Server相关服务、关闭系统防火墙、删除备份目录、禁用系统自动恢复，然后才执行加密。
关键洞察——为什么入口机B最后一个被加密： B是攻击者进出内网的唯一通道，只有内网其他机器全部加密完毕、确认无价值可榨后，才会“过河拆桥”加密跳板并离场。这也是最初容易误判A主机为入口的原因——攻击者刻意把入口留到了最后。
三、关键取证方法与技术要点
3.1 RDP日志来源IP为何显示为路由器网关
运维在路由器上做端口映射（DNAT）时，路由器为保证回程流量正确返回，对入站连接同时做了源地址转换（SNAT/MASQUERADE），导致B主机看到的连接来源被替换为路由器内网地址192.168.1.254。RouterOS等系统上尤为典型。
取证难点： 这类路由器普遍不具备连接日志记录能力，转换表随会话结束即销毁，攻击者真实外网IP随路由器重启或会话老化永久消失。攻击者未必懂这个原理，但客观上一条件随手配置的映射替攻击者完成了一次日志清理。
3.2 核心取证工具速查
3.3 IOC指标情报
四、后期注意事项与防范建议
4.1 甲方（企业）——管不住的人用制度管
- 第三方运维必须纳管： 远程运维一律走堡垒机或VPN，账号专人专号、限时授权、操作留痕；禁止私自使用frp等内网穿透工具，写进合同与安全责任书。
- 端口变更要审批： 任何对公网的端口映射（含“临时测试”）必须走审批并设定自动关闭时间，到期未续批自动失效。
- 定期自查暴露面： 每季度用资产测绘平台（FOFA、ZoomEye、Quake等）查一遍自己的出口IP——你看到的，就是攻击者看到的。
- 日志必须外发： Windows事件日志实时转发到独立的日志服务器。本机日志可以被清，外发的日志清不掉。本案例中Amcache能成为突破口，恰恰说明“多留一份证据”的价值。
4.2 乙方（运维人员）
- 测试端口即开即关，关闭后到测绘平台复查确认。
- 出了事第一时间说实话。应急人员要的是时间线和入口，不是检讨书；隐瞒的代价是把企业和你自己都拖进更深的坑。
- 你图省事打开的那扇门，攻击者一定会找到，测绘平台一周之内就会把它挂上索引，剩下的只是时间问题。
4.3 按企业规模差异化策略
- 小企业三条底线： ① 3389/445等管理端口永不出公网；② Guest账户保持禁用；③ 核心数据留一份离线备份。做到这三条可挡掉绝大多数同类攻击。
- 大企业： 将攻击面管理纳入常态运营，对全部分支机构、子公司、供应商的出口资产做持续测绘监控；内网做分段隔离，让一台跳板机的沦陷不等于整网沦陷。
4.4 应急响应中的职业底线
- “能证明的写死，不能证明的留白” ——当日志被清理、证据链断裂时，诚实地说“未知”比编造一个故事更有价值。
- “我们只相信一句话：合理怀疑一切，找到一切不合理” ——口供可以否认，但互联网会记得；资产测绘的历史记录、Amcache的执行痕迹，都是沉默但可靠的证人。