F145H 的博客

TerraformGoat 云靶场

Wed, 14 Oct 2026 00:00:00 +0800

阿里云

首先，在阿里云工作台创建 Accesskey。然后按照 README.md 部署靶场。在执行 terraform apply 时遇到报错，回到阿里充值一定金额并在 https://oss.console.aliyun.com/ 开启OSS对象存储服务后重新部署。

恶意软件分析

Mon, 27 Oct 2025 00:00:00 +0800

Basic knowledge

恶意软件种类划分

根据分析方法，可以将恶意软件分析分为以下四种

基础静态分析
基础动态分析
高级静态分析
高级动态分析

根据种类，可以将恶意软件分为以下九种

Backdoor
Botnet
Downloader
Launcher
Information-stealing malware
Rookit
Scareware
Spam-sending malware
Worm or virus

PE头相关知识

导入未列出的链接函数

LoadLibrary
GetProcAddress
LdrLoadDll
LdrGetProcAddress

关于导入函数名公约

当微软更新一个和旧版本不兼容的新功能时，会在新的函数后方加入 Ex，且可以叠加如 ExEx。这代表这个函数经历了两次这种类型的更新，且旧版本会继续被支持。而 A 或 W 的后缀仅表示这个函数支持 ASCII String 或 WCHAR String 类型的输入。

kernel

Thu, 23 Oct 2025 00:00:00 +0800

恶意代码分析实战-Labs

Thu, 23 Oct 2025 00:00:00 +0800

1

1-1

先将文件Hash上传 VirusTotal 查看信息

使用 PEStudio 查看文件信息，可以知道编译时间

查看节区表信息，认为没有进行加壳或混淆

查看导入表，发现有使用网络传输的模块，和遍历本地文件的模块，认为可能是泄露本地信息的恶意行为。

在 strings 中可以看到有一个形似 kernel32.dll 的 kerne132.dll。

在 strings 中可以看到有一个IP地址。

根据以上信息认为是一个 Uploader 或者是一个 Downloader

1-2

上传至 VirusTotal 查看报告

使用 DIE 和 PEStudio 都可以看到，DIE 检测到有 UPX 壳，而节区表中的节区名为 UPX0 UPX1 是明显的 UPX 加壳特征。使用 UPX 官方软件脱壳即可。

简单的关于环境设置

Thu, 23 Oct 2025 00:00:00 +0800

核心组件安装

flarevm

https://github.com/ionuttbara/windows-defender-remover/releases/tag/release_def_12_8_4

它真的会耗费很长时间…

完成后继续安装一些必要软件如 mingw 等，并手动设置环境变量和位置。

choco install mingw

注意： flarevm 的正常组件中是不包括 IDA Pro 的（除非你持有正版许可证）

remnux

https://remnux.org/

网络配置

处于安全性，虚拟机必须与外界网络隔离。

在 vmware 创建一个 /dev/vmnet2 hostonly 来保证环境的安全性。

设置 flarevm 10.0.0.2/24 和 remnux 10.0.0.3/24 并将 flarevm 的 dns 和网关指向 remnux。

PMAT-labs Challenge 1: SillyPutty

Sat, 27 Sep 2025 00:00:00 +0800

首先，看一下 README.md 的信息

Hello Analyst,

The help desk has received a few calls from different IT admins regarding the attached program. They say that they've been using this program with no problems until recently. Now, it's crashing randomly and popping up blue windows when it's run. I don't like the sound of that. Do your thing!

IR Team

## Objective
Perform basic static and basic dynamic analysis on this malware sample and extract facts about the malware's behavior. Answer the challenge questions below. If you get stuck, the `answers/` directory has the answers to the challenge.

## Tools
Basic Static:
- File hashes
- VirusTotal
- FLOSS
- PEStudio
- PEView

Basic Dynamic Analysis
- Wireshark
- Inetsim
- Netcat
- TCPView
- Procmon

## Challenge Questions:

### Basic Static Analysis
---

- What is the SHA256 hash of the sample?
- What architecture is this binary?
- Are there any results from submitting the SHA256 hash to VirusTotal?
- Describe the results of pulling the strings from this binary. Record and describe any strings that are potentially interesting. Can any interesting information be extracted from the strings?
- Describe the results of inspecting the IAT for this binary. Are there any imports worth noting?
- Is it likely that this binary is packed?
---

### Basic Dynamic Analysis
 - Describe initial detonation. Are there any notable occurrences at first detonation? Without internet simulation? With internet simulation?
 - From the host-based indicators perspective, what is the main payload that is initiated at detonation? What tool can you use to identify this?
 - What is the DNS record that is queried at detonation?
 - What is the callback port number at detonation?
 - What is the callback protocol at detonation?
 - How can you use host-based telemetry to identify the DNS record, port, and protocol?
 - Attempt to get the binary to initiate a shell on the localhost. Does a shell spawn? What is needed for a shell to spawn?

现在，我们将围绕这些问题对程序进行分析：

GDBfuzz: Fuzzing Embedded Systems using Debug Interfaces

Thu, 25 Sep 2025 00:00:00 +0800

前记：在对 DIR-816路由器的漏洞 CVE-2025-5623 的复现过程中，发现这是一个典型的内存溢出漏洞，利用该漏洞可以控制路由器的内存，从而实现对路由器的控制。为了进一步研究该漏洞和学习相关fuzz工具，模拟漏洞发现过程，我们使用了 GDBfuzz 这个工具来对路由器进行 fuzzing 测试。

相关论文在 docs/Fuzzing Embedded Systems using Debug Interfaces.pdf

GDBfuzz 的安装和测试

首先，从最基础的安装和使用学习 gdbfuzz 这个工具。

git clone https://github.com/F145H-F145H/gdbfuzz
cd gdbfuzz

根据 README.md 文档，我们最好使用一个独立的 python 环境，且最好是 3.10 版本，笔者在 python3.13 环境下安装依赖时遇到了错误。在 make 的过程中，如果遇到错误或网络问题等，可以根据 Makefile 文件手动解决问题。

conda create -n python310 python=3.10
conda activate python310 
# 这里我使用 miniconda 管理python版本，可以在这里进行安装： 
# https://www.anaconda.com/docs/getting-started/miniconda/install#linux-2

python3 -m venv .venv
source .vnev/bin/activate # 使用本地虚拟环境

make
chmod a+x ./src/GDBFuzz/main.py

安装完成后，我们可以由简到繁地进行测试。首先，我们打开./为了进一步观察 fuzz 过程，我们使用 Ghidra 打开测试程序，使用 Script Manager，搜索 bridge 关键字，找到 ghidra_bridge_port.py 设置端，然后运行 ghidra_bridge_server_background.py，注意 .cfg 文件的端口需要和这里保持一致。

DIR816路由器栈溢出复现和深入探索

Fri, 29 Aug 2025 00:00:00 +0800

路由器漏洞分析

在官网下载对应版本固件

https://www.dlink.com.cn/techsupport/ProductInfo.aspx?m=DIR-816

固件： DIR-816A2_FWv1.10CNB05_R1B011D88210.img

使用 binwalk 查看信息，没有加密，因此直接进行解包，提取出系统进行分析。

binwalk -Me DIR-816A2_FWv1.10CNB05_R1B011D88210.img
find ./ -iname 'busybox'
cp -r ./extractions/DIR-816A2_FWv1.10CNB05_R1B011D88210.img.extracted/0/Linux_Kernel_Image.bin.extracted/1822EE/squashfs-root/ .

这个漏洞存在于 /bin/goahead 程序中 isIpNetmaskValid 函数中，由于主调函数的 sip_address 和 dip_address 参数可控，在其后传参并调用的此函数中，直接对字符串进行了写入操作，无论传入参数的长度如何，都会被复制到 local_30 缓冲区中，存在漏洞调用路径的入口函数有三个 FUN_0044ab48 FUN_0044dde8 和 FUN_0046bb80，在这里我使用了 FUN_0046bb80 进行漏洞复现。

( FUN_0046bb80 中，关于 sip_address 和 dip_address 的获取。 )

LD_PRELOAD

Sun, 10 Aug 2025 00:00:00 +0800

模拟固件下的 patch 和 hook

LD_PRELOAD

LD_PRELOAD 是 Linux 系统中的一个环境变量，它可以影响程序的运行时的链接（Runtime linker），它允许你定义在程序运行前优先加载的动态链接库。

当程序调用一个动态链接库中的函数（如 printf, open, malloc）时，动态链接器负责在已加载的共享库中找到该函数（符号）的实际地址，动态链接器按照特定的顺序搜索共享库来解析符号。LD_PRELOAD 赋予指定的库最高的搜索优先级。

这意味着：如果一个函数（例如 open）在 LD_PRELOAD 指定的库 A 中被定义，同时也在标准库 B（如 libc.so.6）中被定义，那么链接器会优先找到并使用库 A 中的 open 函数，而完全忽略库 B 中的原始 open 函数。

示例如下：图中虚线表示动态链接过程，实线表示函数调用流程。预加载库通过拦截-转发机制实现了对系统调用的透明监控。

sequenceDiagram
 box 无 LD_PRELOAD（普通模式）
 participant Program as 程序
 participant LibC as 标准库
 end
 
 box 有 LD_PRELOAD（拦截模式）
 participant ProgramX as 程序
 participant Preload as 预加载库
 participant LibCX as 标准库
 end
 
 Note left of Program: 普通执行<br/>./openfd
 Program->>LibC: 调用 open("test.txt")
 LibC-->>Program: 返回文件描述符 (fd)
 
 Note right of ProgramX: 拦截执行<br/>LD_PRELOAD=./libpreload.so ./openfd
 ProgramX->>Preload: 调用 open("test.txt")
 Note over Preload: ✋ 拦截 open 调用!<br/>🔍 访问文件: test.txt
 Preload->>LibCX: 调用原始 open()
 LibCX-->>Preload: 返回文件描述符 (fd)
 Note over Preload: ✅ 返回文件描述符: fd
 Preload-->>ProgramX: 返回文件描述符 (fd)

示例 2-1 openfd.c

利用binfmt_misc机制加快CGI调试

Sun, 10 Aug 2025 00:00:00 +0800

学习参考文章奇安信天工实验室利用binfmt_misc机制加快CGI调试姚红 binfmt_misc binfmt_misc Wikipedia

binfmt_misc 是 Linux 内核的一项功能，其使得内核可识别任意类型的可执行文件格式并传递至特定的用户空间应用程序，如模拟器和虚拟机，它是内核中准备用户空间程序运行的诸多二进制格式文件处理程序之一。例如，可以用它来自动运行 Java 或 Python 脚本，或在 x86_64 系统上运行 ARM 二进制文件等。这里，我们可以通过 binfmt_misc 这项功能来简化和加速跨平台文件的调试过程。

在许多文章中提到使用 binfmt_misc 往往需要先将其挂载，但是在笔者的系统上（Ubuntu 24.04）已经不再需要手动进行挂载。所以高版本的系统大多可以跳过挂载这个阶段，这一点可以通过命令得到确认，或者是直接运行一个 python 脚本。

mount | grep binfmt_misc
./test.py

在 Linux 系统中，直接“执行” Python 脚本时，binfmt_misc 机制会自动调用 python3 test.py 来运行脚本。其原理是通过 binfmt_misc 机制将以特定格式（如以 #! 开头的脚本文件）自动关联到相应的解释器（如 Python 解释器），从而实现无需手动指定解释器即可直接运行脚本文件。

Cisco RV160W 固件模拟

Wed, 06 Aug 2025 00:00:00 +0800

本次进行的固件模拟，依旧是基于 Cyberangel 师傅的博客进行学习。指北： Cyberangle 公开知识库

先对获得的固件进行解压、打包备用。

固件： RV16X_26X-v1.0.01.01-2020-08-17-11-09-01-AM.img

设置网桥、启动虚拟机，给出代码和截图。

# 创建网桥
sudo brctl addbr ms_br # 创建一个名为`ms_br`的网桥设备
sudo ip link set ms_br up # （启动）刚刚创建的网桥`ms_br`，使其处于活动状态
sudo ip addr add 192.168.10.1/24 dev ms_br # 给网桥`ms_br`分配一个IP地址`192.168.10.1`

# 创建并连接TAP设备
sudo ip tuntap add dev ms_tap mode tap # 创建一个TAP设备，命名为`ms_tap`
sudo brctl addif ms_br ms_tap # 将TAP设备`ms_tap`添加到网桥`ms_br`中
sudo ip link set ms_tap up # 启用TAP设备`ms_tap`
sudo ip addr add 192.168.10.10/24 dev ms_tap # 给`my_tap`分配一个IP地址`192.168.10.10`

开启虚拟机：

Cisco RV340利用链研究

Wed, 06 Aug 2025 00:00:00 +0800

作为初次接触IoT漏洞研究的探索，本文基于多篇优秀技术文章完成环境搭建和漏洞复现，主要参考：

Cyberangel 师傅的语雀文章 Cisco RV340利用链研究

盛邦安全的知乎文章 Cisco RV340命令执行漏洞（CVE-2022-20707）及关联历史漏洞分析

就叫16385吧的奇安信攻防社区文章 pwn2own2021中的Cisco路由器

Swing 的博客 Pwning a Cisco RV340 漏洞分析（CVE-2022-20705 和 CVE-2022-20707

lone_legend 的博客园文章配置 QEMU Ubuntu 虚拟机通过网桥连接外网

注意：笔者不再使用这篇博客的环境，不建议使用这篇博客进行环境安装的参考。

基础环境的安装和测试

环境准备

MIPS交叉编译工具链搭建及其32位指令集。

# qemu 安装
sudo apt install qemu qemu-user qemu-user-static qemu-system binfmt-support

# 虚拟网络工具包
sudo apt install uml-utilities bridge-utils

# 安装 mips 交叉编译环境
sudo apt install gcc-mips-linux-gnu
sudo apt install gcc-mipsel-linux-gnu
sudo apt install gcc-mips64-linux-gnuabi64
sudo apt install gcc-mips64el-linux-gnuabi64

# 多架构调试依赖
sudo apt install gdb-multiarch

习惯使用 conda 进行环境管理，创建一个专门用来进行 IoT 操作的 conda 环境（主要管理 python包 等），此步骤可以省略。