crowdstrike-falcon-queries

crowdstrike-falcon-queries 一组用于使用 CrowdStrike Falcon 进行威胁狩猎的 Splunk 搜索处理语言 SPL 集合 由 i-secure co., Ltd. 的 Intelligent Response 团队开发和维护 crowdstrike-falcon-queries 执行已重命名的可执行文件 具有网络连接的 Living Off The Land 二进制文件列表 来自进程的可疑网络连接 由 Explorer 生成且具有网络连接的可疑 PowerShell 进程 威胁狩猎 1 - RDP 劫持痕迹 - 第 1 部分 威胁狩猎 2 - 使...

sysmon-modular

sysmon-modular | A Sysmon configuration repository for everybody to customise Sysmon Modular is a configuration repository for Microsoft Sysinternals Sysmon. Small XML modules make it easier to select, review and maintain the telemetry that is useful to your organisation. The sysmon-modular Go to...

Splunk-RCE-poc

Splunk RCE - 概念验证（PoC） 针对 CVE-2023-46214、SVD-2023-1104 的利用概念验证 使用方法 Splunk 实例 URL、用户名、密码、反向 Shell IP 和端口均需作为命令行参数提供。例如： $ python3 CVE-2023-46214.py --url --username --password --ip --port 前置条件 具有上传到 adddatamethods 权限的 Splunk 凭据 注意：可能存在其他攻击途径，这只是我使用的方式 Splunk 未以 SHC 模式运行 分析...

struts-splunk

struts-splunk Apache Struts vulnerable con splunk...

rip_raw

Rip Raw Rip Raw is a small tool to analyse the memory of compromised Linux systems. It is similar in purpose to Bulk Extractor, but particularly focused on extracting system Logs from memory dumps from Linux systems. This enables you to analyse systems without needing to generate a profile. This ...

Splunk <=7.0.1 - Information Disclosure

Splunk through 7.0.1 is susceptible to information disclosure by appending raw/services/server/info/server-info?outputmode=json to a query, as demonstrated by discovering a license key. id: CVE-2018-11409 info: name: Splunk =7.0.1 - Information Disclosure author: harshbothra severity: medium...

CVE-2026-20253

CVE-2026-20253 实验环境 Splunk Enterprise 通过 PostgreSQL Sidecar 服务实现预认证 RCE | ---|--- CVE| CVE-2026-20253 CVSS| 9.8 严重 类型| 未认证远程代码执行 CWE| CWE-306: 关键功能缺少身份验证 产品| Splunk Enterprise 10.0.x / 10.2.x 免责声明 ：本实验环境仅用于授权的安全研究、教育和渗透测试。请勿对您不拥有或未获得明确授权测试的系统使用。 实验架构...

CVE-2024-36991-Splunk

CVE-2024-36991 — Splunk 路径遍历 适用于 Windows 上 Splunk Enterprise 路径遍历漏洞的交互式 POC。 漏洞信息 字段| 详情 ---|--- CVE| CVE-2024-36991 类型| CWE-22 — 路径遍历 严重性| 高 CVSS 分数| 7.5 向量| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 发布时间| 2024-07-01 最后修改| 2024-10-15 描述 在 Windows 上低于 9.2.2 、9.1.5 和 9.0.10 版本的 Splunk Enterpris...

printnightmare-detection-lab

PrintNightmare 威胁检测与应急响应实验室 CVE-2021-34527 📌 概述 本项目记录了一个针对 PrintNightmare CVE-2021-34527 的端到端安全监控、检测工程与应急响应实施方案。PrintNightmare 是 Windows 打印后台处理程序服务 spoolsv.exe 中的一个严重漏洞，允许未认证的远程代码执行 RCE 以及本地权限提升 LPE 至 SYSTEM 权限。 本实验室的目标是模拟利用遥测数据，通过 Sysmon 和 Windows 安全事件日志 捕获内核与系统审计日志，将事件摄入 Splunk Enterprise SIEM...

Dashboards-Splunk-DNS-Hunting-Beaconing

DNS Hunting-Beaconing v19.2.0.0 用于搜寻和识别 Beaconing 的 DNS 仪表板 该仪表板不再使用任何第三方模块或 Splunk 查找表来识别“受信任域”。 所有这些工作都已移至 Corelight/Zeek 传感器。 然而，该仪表板确实使用两个 Splunk 查找表来识别内部和授权的 DNS 服务器。 文件 'internaldnsservers.csv' 是所有获授权与外部 DNS 服务器通信的内部 DNS 服务器的列表。 文件 'authorizeddnsservers.csv' 是所有其他设备获授权直接与之通信的 DNS 服务器的列表。...

CorelightForSplunk

CorelightForSplunk...

CVE-2024-36991

CVE-2024-36991 Windows 上の Splunk Enterprise の "/Modules/Messaging/" エンドポイントにおけるパストラバーサル 9.2.2、9.1.5、9.0.10 未満の Splunk Enterprise バージョンにおいて、攻撃者は Windows 上の Splunk Enterprise の /modules/messaging/ エンドポイントに対してパストラバーサルを実行できる可能性があります。 この脆弱性は、Python の os.path.join...

CVE-2024-36985

CVE-2024-36985 すべてのエクスプロイトコードはgeminiによって生成されています。 Splunkの管理者ロールが必要です。Splunkarchiverアプリケーションが有効になっている必要があります。 以下のSPLを検索で実行してRCEをトリガーすることもできます。 | copybuckets data=""providers": "pwnprovider": "command.arg.0": "/opt/splunk/etc/apps/splunkarchiver/java-bin/jars/sudobash", "command.arg.1":...

CVE-2026-20253

CVE-2026-20253 - Splunk Enterprise ⚡ 简单用法 仅在安全且经过授权的环境中使用此项目，例如： 本地虚拟机 Docker容器 隔离实验室环境 经授权的渗透测试环境 示例设置： git clone https://github.com/HORKimhab/CVE-2026-20253 cd CVE-2026-20253 Project use python follow below Create a virtual environment python -m venv venv Activate the virtual environment macOS ...

CVE-2025-20384

SPLUNK CVE-2025-20384 なぜか知らないけど、友達が送ってきたものを読んで、適当なJavaScriptコードを打ち始めた。 Log Injection/Forgery/Poisoning/Obfuscate type POC この記事をお読みください OWASP Log Injection TL;DR 静的ファイルを探し、それを渡してランダムなパラメータを追加する そこで、以下のように実行する。curl -k...

CVE-2022-43571

CVE-2022-43571 CVE-2022-43571 Splunk RCE – 私の人生を彩る個人的な旅 IT部門から「Splunkをアップデートする理由はない」という声明をもらったため、私はこの脆弱性CVE-2022-43571を分析し、リモートコード実行が可能であることを証明しました。これが私のエクスプロイトです。 もし私がこの脆弱性を発見していたら、これを「colorful sparklines」と名付けていたでしょう…… ;- @SPLUNK 脆弱性に名前を付けたり、コード内で詳細に言及したりすべきではありません。それは正しい方向への素早いポインタでした ;-...

CVE-2024-36991

CVE 2024-36991 攻撃者がシステムからファイルを読み取ることを可能にするパストラバーサルの脆弱性。 技術概要 CVE : 2024-36991 パストラバーサル 影響を受けるシステム : Splunk Enterprise 9.2.1 , 9.1.4 , 9.0.9 法的免責事項 このツールは許可されたセキュリティ評価専用に提供されています。無断使用は以下の法律に違反します： コンピュータ詐欺および濫用取締法（米国） コンピュータ不正使用法（英国/EU）...

Detection-Rules

APT29 Detection Engineering Production-ready Sigma detection rules developed from analysis of 196,071 Sysmon events in the MITRE ATT&CK Evaluations APT29 dataset. Overview This repository contains validated detection rules for adversary behaviors observed during APT29 simulation. Each rule was...

Cybersecurity-Capstone-Project

Cybersecurity-Capstone-Project Descripción general Este repositorio contiene mi Proyecto Final de Ciberseguridad, realizado como parte del NCSC Nashama CyberCamp 11 , impartido en colaboración con IT Security C &T. El proyecto demuestra un flujo de trabajo completo de evaluación de vulnerabilidad...

log4shell-exploitation-detection

Log4Shell CVE-2021-44228 漏洞利用、检测与修复 一个实战型攻防安全项目，模拟 Log4Shell 漏洞的完整生命周期：从攻击者控制的虚拟机进行漏洞利用、在 Splunk 中进行检测工程，以及验证修复方案。 项目动机 该领域的大多数作品集项目都只涉及 SSH 暴力破解。我想做一个能展示更全面技能的项目：端到端地利用一个真实的高影响 CVE，然后转向防御侧进行检测和修复，这正是安全工程师或检测工程师在实际工作中经历的完整生命周期。 环境 攻击机： Kali Linux 虚拟机 192.168.1.86 目标机： Linux Mint 虚拟机，主机名 illshot...