一、样本标签

二、详细分析

样本(41d5fda21cf991734793df190ff078ba)运行时获取受害者计算机的用户名，然后在%TEMP%目录中使用该名称创建一个新的子文件夹。

QBot-Outlook窃密

⼀、加载器分析

1、样本标签

2、详细分析

一、Readme模块分析

1、样本标签

2、详细分析

样本(194B2F31CC40249C041A5581E6A12A5B)首先检查是否处于调试环境和虚拟机环境。

一、样本标签

二、详细分析

1、样本初始化

样本(00a8b3eed7356153ab93d2fd3366a60e)首先将自己的运行程序名伪装为/bin/bash,然后判断运行参数是否为2.

一、样本标签

二、详细分析

1、样本分析

样本(8F56AEB3D516E6DEB858A73DA66E1071)运行后随机选择一个无类域间路由([CIDR](https://en.wikipedia.org/wiki/Classless_Inter-Domain_Routing#:~:text=CIDR is also used for,of bits in the address.))块在攻击期间扫描网络，它针对该 CIDR 范围内的所有 IP 地址。威胁行为者选择 CIDR 块扫描作为访问网络中不同 IP 上的各种目标主机的一种方式，而不是使用单个 IP 地址作为目标。

一、连接远程数据库：

1、显示密码

如：MySQL 连接远程数据库（192.168.5.116），端口“3306”，用户名为“root”，密码“123456”

1

C:/>mysql -h 192.168.5.116 -P 3306 -u root -p123456

2、隐藏密码

一、Nginx安装

1. 下载nginx

   1. 官网：http://nginx.org/
   2. 创建文件夹 mkdir nginx && cd nginx
   3. 复制压缩包地址
   4. wget http://nginx.org/download/nginx-1.17.6.tar.gz下载文件
   5. wget不存在 yum安装wget yum -y install wget

2. 安装必要插件

   1. yum -y install automake autoconf libtool make
   2. yum -y install gcc pcre pcre-devel zlib zlib-devel openssl openssl-devel

3. 压缩下载好的文件

   1. tar -zxvf nginx-1.17.6.tar.gz
   2. cd nginx-1.17.6
   3. 指定安装路径 ../images/Usual/configure --prefix=/software/nginx --with-http_stub_status_module --with-http_ssl_module
   4. make编译
   5. make install安装
   6. 进入到安装nginx目录下面的sbin cd /software/nginx/sbin
   7. 启动命令 ../images/Usual/nginx

常用命令

1. 从容停止服务器 nginx -s quit
2. 立即停止服务器 nginx -s stop
3. 查询nginx主进程号 ps -ef | grep nginx
   1. 从容停止 kill -QUIT 主进程号
   2. 快速停止 kill -TERM 主进程号
   3. 强制停止 kill -9 nginx
4. 启动 ../images/Usual/nginx
5. 重启 ../images/Usual/nginx -s reload
6. 停止 ../images/Usual/nginx -s stop

二、Nginx

一、 认识结构

• UObject

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

class UObject
{
/** virtual function table */
void* vtf; 
/** Flags used to track and report various object states. This needs to be 8 byte aligned on 32-bit
  platforms to reduce memory waste */
  EObjectFlags                    ObjectFlags;
  
    /** Index into GObjectArray...very private. */
  int32                            InternalIndex;                //表明该对象在GObjectArray中的第几个
  
    /** Class the object belongs to. */
  UClass*                            ClassPrivate;        //对象所属的基类
  
    /** Name of this object */
  FName                            NamePrivate;           //类名
  
    /** Object this object resides in. */   
  UObject*                        OuterPrivate;      //这个对象是从哪个对象来的
}

• UField

1
2
3
4
5
6

class UField : public UObject
{
public:
  /** Next Field in the linked list */
    UField* Next;
};

1、简单的加密解密例子

• CS1.6人物速度加密实现

首先，找到人物速度后，访问速度查看任何改写和访问的代码。

然后对这四条都进行自实现简单的加解密。

一、认识静态类

• 静态类

每一个对象都是从某一个静态类继承而来的，基类存在UObject的Class成员中。那么通过这个字段我们就可以判断当前对象是什么类。