https://blog.qife122.com/tags/%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF/ Recent content in 后门技术 on 办公AI智能小助手 Hugo zh-cn qife Sun, 23 Nov 2025 21:15:43 +0800 https://blog.qife122.com/p/citrix-netscaler%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%902025%E5%B9%B4%E6%94%BF%E5%BA%9C%E6%94%BB%E5%87%BB%E6%B4%BB%E5%8A%A8%E6%8F%AD%E7%A7%98/ Sun, 23 Nov 2025 21:15:43 +0800 https://blog.qife122.com/p/citrix-netscaler%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%902025%E5%B9%B4%E6%94%BF%E5%BA%9C%E6%94%BB%E5%87%BB%E6%B4%BB%E5%8A%A8%E6%8F%AD%E7%A7%98/ <h1 id="citrix-netscaler后门分析第一部分2025年5月针对政府的攻击活动">Citrix Netscaler后门分析——第一部分：2025年5月针对政府的攻击活动</h1> <p>这是之前文章的后续，也是研究不同Netscaler漏洞在野外被利用为零日漏洞系列的一部分。</p> https://blog.qife122.com/p/citrix-netscaler%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%902025%E5%B9%B4%E6%94%BF%E5%BA%9C%E6%94%BB%E5%87%BB%E6%B4%BB%E5%8A%A8%E6%8F%AD%E7%A7%98/ Thu, 20 Nov 2025 05:03:26 +0800 https://blog.qife122.com/p/citrix-netscaler%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%902025%E5%B9%B4%E6%94%BF%E5%BA%9C%E6%94%BB%E5%87%BB%E6%B4%BB%E5%8A%A8%E6%8F%AD%E7%A7%98/ <h1 id="citrix-netscaler后门分析第一部分2025年5月针对政府的攻击活动">Citrix Netscaler后门分析——第一部分：2025年5月针对政府的攻击活动</h1> <p>这是前一篇帖子的后续，也是研究在野被利用为0day的不同Netscaler漏洞系列的一部分。</p> https://blog.qife122.com/p/cavalry-werewolf%E7%BD%91%E7%BB%9C%E6%94%BB%E5%87%BB%E6%94%BF%E5%BA%9C%E6%9C%BA%E6%9E%84%E9%83%A8%E7%BD%B2%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ Fri, 07 Nov 2025 19:26:45 +0800 https://blog.qife122.com/p/cavalry-werewolf%E7%BD%91%E7%BB%9C%E6%94%BB%E5%87%BB%E6%94%BF%E5%BA%9C%E6%9C%BA%E6%9E%84%E9%83%A8%E7%BD%B2%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E5%88%86%E6%9E%90/ <h1 id="cavalry-werewolf对政府机构发起网络攻击以部署网络后门">Cavalry Werewolf对政府机构发起网络攻击以部署网络后门</h1> <p>2025年7月，Doctor Web反病毒实验室收到来自俄罗斯联邦一家政府机构的关键警报。该机构在发现来自其企业邮箱地址的垃圾邮件后，怀疑网络已遭入侵。</p> https://blog.qife122.com/p/appsuite-pdf%E7%BC%96%E8%BE%91%E5%99%A8%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%90/ Sat, 18 Oct 2025 03:30:00 +0800 https://blog.qife122.com/p/appsuite-pdf%E7%BC%96%E8%BE%91%E5%99%A8%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%BA%A6%E5%88%86%E6%9E%90/ <h1 id="appsuite-pdf编辑器后门详细技术分析">AppSuite PDF编辑器后门：详细技术分析</h1> <p>一些威胁行为者大胆到将自己的恶意软件作为误报提交给防病毒公司，并要求移除检测。这正是AppSuite PDF Editor发生的情况。最初，自动化系统将其标记为潜在不受欢迎程序——这一判定通常适用于具有可疑功能的合法软件，如不需要的广告或未经适当同意安装第三方程序。然而，在AppSuite案例中，我们发现了一个后门。</p> https://blog.qife122.com/p/ghostcontainer%E5%90%8E%E9%97%A8%E9%92%88%E5%AF%B9%E4%BA%9A%E6%B4%B2%E9%AB%98%E4%BB%B7%E5%80%BC%E7%BB%84%E7%BB%87%E7%9A%84exchange%E6%9C%8D%E5%8A%A1%E5%99%A8%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E5%88%86%E6%9E%90/ Fri, 19 Sep 2025 11:27:25 +0800 https://blog.qife122.com/p/ghostcontainer%E5%90%8E%E9%97%A8%E9%92%88%E5%AF%B9%E4%BA%9A%E6%B4%B2%E9%AB%98%E4%BB%B7%E5%80%BC%E7%BB%84%E7%BB%87%E7%9A%84exchange%E6%9C%8D%E5%8A%A1%E5%99%A8%E6%81%B6%E6%84%8F%E8%BD%AF%E4%BB%B6%E5%88%86%E6%9E%90/ <h1 id="ghostcontainer后door-for-exchange-servers--securelist">GhostContainer后door for Exchange servers | Securelist</h1> <h2 id="概述">概述</h2> <p>在最近的应急响应（IR）案例中，我们发现高度定制化的恶意软件针对政府环境中的Exchange基础设施。通过分析检测日志和样本线索，推测Exchange服务器可能通过已知的N-day漏洞被入侵。深入分析恶意软件揭示了一个复杂的、多功能的backdoor，可通过下载额外模块动态扩展功能。我们将其命名为GhostContainer，它也被称为NightEagle（APT-Q-95）。</p> https://blog.qife122.com/p/%E5%8D%83%E7%A7%8D%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E5%9F%9F%E6%9E%97%E6%B8%97%E9%80%8F%E4%B8%8E%E6%8C%81%E4%B9%85%E5%8C%96/ Fri, 19 Sep 2025 05:40:32 +0800 https://blog.qife122.com/p/%E5%8D%83%E7%A7%8D%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E5%9F%9F%E6%9E%97%E6%B8%97%E9%80%8F%E4%B8%8E%E6%8C%81%E4%B9%85%E5%8C%96/ <h1 id="jump-esp-jump-千种后门windows域林的方法">Jump ESP, jump!: 千种后门Windows域（林）的方法</h1> <p>当Kerberos权限提升漏洞（CVE-2014-6324 / MS14-068）公开时，以下博客文章的修复段落引起了轰动：<br> <a href="http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx">http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx</a></p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E5%9F%9F%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E5%8D%83%E7%A7%8D%E6%B8%97%E9%80%8F%E4%B8%8E%E6%8C%81%E4%B9%85%E5%8C%96%E6%96%B9%E6%B3%95/ Wed, 10 Sep 2025 06:39:30 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90windows%E5%9F%9F%E5%90%8E%E9%97%A8%E6%8A%80%E6%9C%AF%E5%8D%83%E7%A7%8D%E6%B8%97%E9%80%8F%E4%B8%8E%E6%8C%81%E4%B9%85%E5%8C%96%E6%96%B9%E6%B3%95/ <h1 id="深入解析windows域后门技术千种渗透与持久化方法">深入解析Windows域后门技术：千种渗透与持久化方法</h1> <p><a href="http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx">http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx</a></p> <p>“唯一能够以高度确定性修复域泄露的方法是完全重建域。”</p> <p>个人而言，我同意这一点，但……但这是否是真正的解决方案，我不确定。同样适用于受感染的计算机。当发现恶意软件能够在计算机上运行时（例如，计划扫描发现了恶意软件），没有简单的方法可以100%确定计算机上没有rootkit。因此，重建计算机可能是一个值得考虑的好方法。对于偏执狂，使用新硬件；）</p>