19901 matches found
tscopy
TScopy Updated 2022-03-31 Introducing TScopy It is a requirement during an Incident Response IR engagement to have the ability to analyze files on the filesystem. Sometimes these files are locked by the operating system OS because they are in use, which is particularly frustrating with event logs...
tscopy
TScopy 更新日 2022-03-31 TScopy の紹介 インシデントレスポンス（IR）対応では、ファイルシステム上のファイルを分析できることが求められます。これらのファイルは、使用中のためオペレーティングシステム（OS）によってロックされている場合があり、特にイベントログやレジストリハイブで問題となります。TScopy を使用すると、管理者権限で実行しているユーザーが、ファイルのファイルシステム上の生の場所を解析し、OS に問い合わせずにコピーすることで、ロックされたファイルにアクセスできます。 同様の機能を提供するツールは他にも存在します。例えば RawCopy...
malwarescanner
MalwareScanner Very basic malware Scanner by hash comparison Sometimes this can be needed when an incident response. If you found new or suspicious files when you do response, you want to check out where these files exist in systems. so then you may need like this tool. this is a demo version. no...
malwarescanner
MalwareScanner ハッシュ比較による非常に基本的なマルウェアスキャナー インシデント対応時に必要になることがあります。 対応中に新規または不審なファイルを発見した場合、それらのファイルがシステム内のどこに存在するかを確認したいことがあります。そのような場合にこのツールが必要になるかもしれません。これはデモバージョンであり、完全ではありません。コードを変更・修正して、自分用にカスタマイズする必要があります。 変更が必要な点や追加機能のご要望があればお知らせください。 役に立った場合は「スター」を押してください。改善を続ける励みになります。 特徴...
Zero-Click-RCE-Incident-Response-CVE-2025-21298
事件响应：Windows OLE 零点击远程代码执行 CVE-2025-21298 项目概述 本项目记录了针对一次严重级别零点击远程代码执行 RCE 尝试的端到端调查与遏制流程。通过 EDR 遥测和威胁情报，我识别出了一次绕过自动化防御并建立命令与控制 C2 通信的“离地攻击 LotL”。 主要目标 对高风险 SIEM 警报进行分级处理，排查零日漏洞利用。 对武器化 RTF 附件进行静态分析。 执行端点取证，识别恶意进程树。 通过 EDR 执行网络隔离，遏制活跃威胁。 事件生命周期执行 NIST SP 800-61 1. 检测与初始分级 我识别出事件 ID 314：Windows OLE...
Ruby on Rails - Open Redirect via Host Header Injection
Ruby on Rails action pack before 6.1.2.1, 6.0.3.5 contains an open redirect caused by special crafted Host headers in combination with allowed host formats, letting attackers redirect users to malicious websites, exploit requires attacker to control Host headers. id: CVE-2021-22881 info: name: Ru...
THM-Tempest
TryHackMe — Tempest SOC 一级路径 | 事件响应调查 概述 对一台受攻击的 Windows 机器进行的完整事件响应调查。攻击者通过恶意 Word 文档利用 CVE-2022-30190（Follina）获得初始访问权限，建立持久化，使用 Chisel 穿透网络，通过 PrintSpoofer 提升权限，并利用持久化恶意服务创建后门账户。 时间范围： 2022 年 6 月 20–21 日 工具： EvtxEcmd、Timeline Explorer、Wireshark、Brim、Sysmon 受害主机： TEMPEST | 用户： benimaru 攻击链摘要 | 阶...
Microsoft-Defender-for-Endpoint-Deployment-on-Windows-10-11-device
本仓库记录了如何在 Windows 11 设备上部署 Microsoft Defender for Endpoint，包括通过本地脚本载入、启用设备发现、配置 Log4j2 检测 CVE-2021-44228 以及验证事件响应工作流。 主要功能 ✅ 适用于 Windows 10/11 的本地脚本载入 🔍 标准设备发现设置 🧨 Log4j2 漏洞检测 📈 警报验证与事件响应 📋 使用 Defender 工具进行修复的工作流 项目目标 ✔️ 在 Windows 10/11 环境中部署 Microsoft Defender for Endpoint。 ✔️ 配置设备发现和威胁检测功能。 ✔️ 启用...
OpsGuard-simulation
OpsGuard - 模拟仪表盘 🖥️ 这是 OpsGuard 的前端界面 。它充当可视化“大脑”，用于演示自主 SRE 代理的实际运行情况。 由于 OpsGuard 是一个后端优先的代理，此仪表盘旨在模拟 生产环境，并将代理不可见的工作流程（摄取 → 分析 → 修复）可视化，用于演示和监控。 🌟 功能特性 赛博朋克/SRE 美学 ：深色模式、扫描线和电影级辉光效果，营造“任务控制中心”的沉浸感。 实时模拟控制 ： CRASH ：通过 API 手动触发严重事件（例如内存泄漏）。 RESET ：将系统恢复至干净状态。 实时日志 ：类终端的日志流，展示代理的“思考过程”（AI...
Sharepoint-cve-2023-29375-incident-response
SOC 事件分析：Microsoft SharePoint Server 特权提升（CVE-2023-29375） 深入安全调查了一次针对 Microsoft SharePoint 服务器的关键漏洞利用和枚举尝试。 事件概述 告警名称： SOC227 - Microsoft SharePoint Server 特权提升 - 可能的 CVE-2023-29375 漏洞利用 严重性： 严重 日期/时间： 2023年10月6日 20:05 目标主机名： MS-SharePointServer 目标 IP / 端口： 172.16.17.233:443（HTTPS） 源 IP（攻击者）：...
nextjs-rce-incident-response
Next.js RCEインシデント対応 — CVE-2025-55182 種別: 本番環境におけるインシデント対応 脆弱性: CVE-2025-55182 — React Server Components の安全でないデシリアライゼーション RCE 影響を受けたシステム: Next.js フロントエンド + リモートの本番サーバー 役割: サイバーセキュリティインターン — SenseLive Technologies 日付: 2026年2月24日～26日 何が起こったか 同期された攻撃がフロントエンドアプリケーションとリモートの本番サーバーの両方を標的にしました。この攻撃は、Reac...
CVE-2024-4577-LetsDefend-walkthrough
事件响应演练：缓解零日攻击（CVE-2024-4577） LetsDefend 分析报告 PHP-CGI CVE-2024–4577 场景： 我们的入侵检测系统（IDS）和入侵防御系统（IPS）于 UTC 时间 12:05 发现一起针对关键系统组件的潜在攻击。本文详细介绍了确认利用尝试并了解攻击者行为的调查过程。 调查： 1. 了解漏洞（CVE-2024-4577）： 相关资料为理解该漏洞及潜在利用方法提供了宝贵见解。 2. 识别存在漏洞的 PHP 版本： 采用了两种方法： 分析 news.txt 以获取 PHP 更新历史。 直接运行 php.exe -v 来确定版本。 存在漏洞的版本：...
teamcity-cve-2026-63077-remediation
企业安全修复套件 一套生产级安全工程套件，包含四个专业的事件响应与加固软件包。 📁 仓库模块架构 root@kitploit: . ├── README.md 企业套件索引与快速入门 ├── package.json 主测试运行器（Jest + Python unittest 套件） ├── .gitignore 生产仓库排除项 │ ├── supply-chain-security/ 目标 1：供应链安全即服务（Injective 规范） │ ├── README.md 模块架构与红队结果 │ ├── SUPPLYCHAINSECURITYPLAYBOOK.md 主部署手册 │ ├──...
sift
Sift Secrets 面向文件共享的凭据与敏感数据暴露分类排查工具。 当出现一个开放共享时，问题从来不是“这个仓库里有没有泄露的密钥”，而是 “刚刚暴露了什么，我必须在今天下班前轮换哪些密钥。” sift 正是为这个问题而生：高召回率、快速的审查队列，以及一个反馈循环，让你肉眼发现的任何内容都能成为一条规则，进而找到另外两百份副本。 Python 3.11+，仅使用标准库。无需 pip 安装，无需联网，无需构建步骤。它运行在一台锁定加固的事件响应笔记本电脑上，而这正是你需要它的地方。bash sift survey \fileserver\openshare how big is...
GhostTrace
GhostTrace 找出 Windows 上软件遗留的痕迹，在它找上门之前。 GhostTrace 是一款本地 Windows 取证痕迹搜索工具，面向事件响应人员、系统管理员和安全意识较强的资深用户。它将持久化、执行、活动和残留痕迹映射为可审查的记录，并且仅在你明确选择时，才提供严格受限的清理功能。 下载 | 系统要求 | 快速上手 | 功能概览 | 安全模型 | 路线图 | 葡萄牙语（巴西） 为什么选择 GhostTrace 卸载应用程序并不总能清除其运行痕迹。启动项、计划任务、缓存执行证据、注册表值、服务和文件夹可能在安装程序报告成功之后仍然残留。 GhostTrace...
CVE-2024-49138-SOC-Investigation
CVE-2024-49138 漏洞利用调查 平台： LetsDefend SOC 培训环境 警报： SOC335 - 检测到 CVE-2024-49138 漏洞利用 类别： 权限提升 | 恶意软件分析 | 事件响应 状态： 调查完成 ✅ 概述 在此次调查中，我处理了一条涉及 Windows 终端上疑似利用 CVE-2024-49138 漏洞的警报。 该警报最初指向一个名为 svohost.exe 的进程的可疑活动。我没有仅依赖警报本身，而是从查看进程详情、父进程、命令行、文件位置、哈希值以及受影响主机周边的活动开始着手。...
dfir-malware-investigation
DFIR 恶意软件调查实验室 – Spring4Shell CVE-2022-22965 一个全面的数字取证与事件响应 DFIR 项目，用于模拟、检测并调查 Spring4Shell CVE-2022-22965 严重漏洞。本项目展示了从初始失陷到检测、缓解及取证分析的完整事件响应生命周期。 攻击模拟 → 网络捕获 → 日志分析 → IOC 检测 → 防火墙缓解 → 取证调查 作为一个蓝队 / SOC 分析师作品集项目构建，展示实用的防御性安全技能。 项目概述 该实验室环境通过重现受控的 Spring4Shell...
Playbooks
目录 TOC IR 手册（Playbooks） 本仓库包含公司安全运营中心（SOC）的所有事件响应手册（Incident Response Playbooks）与工作流。 每个文件夹包含一份手册，按照 NIST - 800.61 r2 拆分为 6 个部分。 1- 准备（Preparation） 此部分应包含以下信息： 所有 资产的清单 服务器 端点（+关键端点） 网络 应用程序 员工 安全产品 基线 沟通计划 哪些安全事件 阈值 如何访问安全工具 如何授予访问权限 创建手册 规划演练 桌面推演（Table Top） 实操演练（Hands On） 2- 检测与分析（Detection an...
IRM
IRM-2022 事件响应方法论 2022 CERT Societe Generale 与 CERT aDvens 合作，提供易于使用的运营事件最佳实践。这些速查表专门用于事件处理，涵盖 CERT 团队可能参与的多个领域。对于我们所处理的每种安全事件，都有一个对应的 IRM。 CERT Societe Generale 谨感谢 SANS 和 Lenny Zeltser，他们为部分 IRM 提供了重要的灵感来源。 我们还要感谢 CERT aDvens 的协作工作和法语翻译。 如果您在这些 IRM 中发现错误或问题，请随时联系我们。 本作品采用 知识共享署名 3.0 未本地化许可协议 进行许...