2024年第17周微信公众号精选安全技术文章总览

洞见网安 2024-4-29

0x1 记一次北京某大学逻辑漏洞挖掘

蚁景网安 2024-04-28T17:30:40 © 可能是程序员

本文分享了作者在北京某大学进行逻辑漏洞挖掘的经历。首先，作者使用在线工具收集了700多个子域名，并通过Finger工具探针存活的站点。在资产漏洞挖掘阶段，作者筛选出两个可能存在漏洞的系统站点。在第一个站点，作者发现了任意账号密码重置的逻辑漏洞，通过修改token值成功更改了其他账号的密码。在第二个站点，作者通过修改登录请求中的username参数，实现了任意用户登录。文章最后总结了逻辑漏洞挖掘的关键在于使用BP抓包工具，分析请求和响应包，寻找可利用的参数，并通过不断尝试来发现漏洞。

信息收集资产漏洞挖掘逻辑漏洞密码重置漏洞用户登录漏洞抓包分析参数篡改

0x2 Symantec Endpoint Protection 技术防护哪些类型的攻击？

企业网络信息安全 2024-04-28T15:09:57

Symantec Endpoint Protection 技术防护哪些类型的攻击？#企业版杀毒软件#SEP诺顿企业版，是一款客户端/服务器解决方案，用于为网络中的笔记本电脑、台式机和服务器防范恶意软件、风险和漏洞。

0x3 一次恶心的windows 驱动层木马查杀记录

低语sec 2024-04-28T13:56:54 ©

本文记录了一次针对Windows系统的驱动层木马查杀过程。该木马样本使用了多种技术手段进行隐蔽和持久化，包括在运行后删除自身并在系统目录下生成驱动文件，创建不可轻易删除或修改的服务与注册表项，以及通过system权限的UDP请求保持网络通信。木马还利用了系统的启动机制，设置了启动项的Start值以确保在系统引导时加载。查杀过程中，安全工具如LastActiveView、DNS捕获工具、ProcHuntet、Process Hacker及Gmer等被用来检测和定位木马。尽管多数常规安全工具难以检测到该木马，但通过对注册表的监控和特定工具的应用，最终识别出了木马的存在及其部分行为模式。此外，还介绍了Windows系统中驱动程序的不同加载状态（Start值），解释了不同数值对应的加载时机。

恶意软件分析木马查杀驱动层攻击系统隐藏技术注册表操作网络通信权限提升安全工具使用

0x4 攻防|反弹shell方式汇总

恒御科技 2024-04-28T08:00:09

注意有些反弹shell的方法或脚本只适用于Linux或者Windows，注意区分相关脚本的编写方式方法。

0x5 [禅道PMS] <*.12小版本_身份认证_绕过漏洞

Cloud Security lab 2024-04-27T17:34:23 ©

禅道PMS是一套开源的项目管理系统，近期被监测到存在身份认证绕过漏洞。该漏洞利用简单，可获取web管理权限，甚至可能组合后台其他漏洞间接导致远程代码执行（RCE）。文章提供了本地部署测试环境的步骤，包括获取安装包、服务器部署、服务启动和访问。漏洞复现部分介绍了如何通过特定接口获取授权cookie，并利用该cookie调用接口查看组织信息或添加用户。文章还提供了编写检测脚本的yaml检测模版，以帮助用户检测和修复漏洞。建议受影响的用户尽快采取行动，修复漏洞以保障系统安全。

身份认证绕过系统漏洞 RCE（远程代码执行）权限提升 API安全

0x6 【漏洞复现】通达OA WHERE_STR 存在前台SQL注入漏洞

如棠安全 2024-04-27T07:50:19 如棠安全

通达OA系统存在前台SQL注入漏洞，该漏洞允许攻击者通过WHERE_STR参数获取数据库敏感信息。文章提供了系统指纹信息，指出通达OA的app.name为'通达 OA'。漏洞复现部分展示了如何通过构造恶意HTTP POST请求利用该漏洞，包括具体的请求头和请求体。文章还提供了使用SQLmap进行测试的方法。最后，文章给出了修复建议，即升级系统版本，并提示关注公众号如棠安全获取批量验证脚本和SQLmap汉化版。文章强调，所提供的信息仅供网络安全人员进行检测或维护参考，未经授权不得用于非法入侵操作。

SQL注入漏洞复现安全警告系统指纹修复建议批量验证脚本

0x7 【已复现】禅道项目管理系统存在身份认证绕过漏洞

安恒信息CERT 2024-04-26T18:55:21

禅道项目管理系统被发现存在一个严重的安全漏洞，该漏洞允许攻击者在未经身份认证的情况下调用任意API接口创建任意管理员用户。该漏洞的CVSS3.1评分高达10.0，表明其危害性极高。该漏洞影响了禅道项目管理系统多个版本的客户端，包括v16.x <= 禅道项目管理系统< v18.12（开源版）、v6.x <= 禅道项目管理系统< v8.12（企业版）和v3.x <= 禅道项目管理系统< v4.12（旗舰版）。安恒CERT已经复现了此漏洞，并建议受影响的用户尽快更新至安全版本。据安恒Sumap全球网络空间资产测绘数据显示，受影响资产主要分布在中国、美国和新加坡等国家，其中中国内资产占比高达88.46%。官方已发布修复方案，并提供了相应的下载链接。

身份验证漏洞禅道项目管理系统 CVE编号 CVSS评分安全漏洞复现安全建议软件更新全球影响行业影响

0x8 护网蓝队之日志分析

青锋云盾 2024-04-26T18:00:07 © 青雲至

本文详细介绍了Windows和Linux系统中的日志分析技术，涵盖了日志类型、审核策略、事件查看器、事件日志类型和类别以及日志分析方法等多个方面。在Windows系统中，系统日志、应用程序日志和安全日志分别记录了操作系统组件、应用程序和系统安全相关的事件。启用审核策略和设置日志属性对于故障排除和安全分析至关重要。事件查看器是查看和管理系统日志的工具，可以浏览、过滤和创建自定义视图。事件日志类型分为信息、警告、错误等，事件日志类别包括应用程序、安全、系统等。在Linux系统中，常见的日志分析命令包括tail、head、cat、grep、awk、sed和less等。内核日志记录内核在运行时生成的事件和错误，系统日志由syslog守护进程收集和处理。Linux系统中有三个主要的日志子系统：连接时间日志、进程统计日志和错误日志。常见的日志文件包括/var/log/dmesg、/var/log/auth.log、/var/log/boot.log、/var/log/daemon.log等。日志分析方法包括使用文本处理工具、编写脚本以及利用现成的日志分析工具。通过分析日志，可以及时发现并解决系统问题，保障系统安全。

0x9 网络性能监控工具Progress Flowmon曝满分漏洞，已公开PoC

看雪学苑 2024-04-26T17:59:40 看雪学苑

网络性能监控工具Progress Flowmon被发现存在一个严重漏洞（CVE-2024-2389），该漏洞可能被攻击者利用以提升权限并无需身份验证访问Flowmon Web界面，进而执行任意系统命令。Progress Flowmon是一款广泛应用于全球1500多家公司的网络监控工具。此漏洞由Rhino Security Labs发现，严重性评分为最高级10/10。Progress Software已发布安全更新，建议用户升级到最新版本以修复漏洞。安全研究人员已发布漏洞利用的PoC，并详细描述了攻击过程。

漏洞披露网络监控工具权限提升未经身份验证访问系统命令执行软件补丁网络安全事件 Rhino Security Labs Progress Software PoC

0xa 记一次任意文件下载到Getshell

蚁景网安 2024-04-26T16:30:09 C01D

文章详细描述了一次从任意文件下载到Getshell的网络攻击过程。攻击者首先在渗透测试中发现了应用程序中的任意文件下载漏洞，并成功利用该漏洞下载了服务器上的index.php文件。随后，攻击者通过百度搜索找到了ThinkPHP3.2的目录结构，并成功下载了数据库配置文件，获取了数据库账号和密码。攻击者进一步尝试连接数据库，并成功获取了管理员账号和密码。在寻找后台的过程中，攻击者通过仔细分析数据库配置文件中的信息，成功找到了后台入口。最后，攻击者通过文件上传功能上传了Webshell，并成功获得了Getshell权限，完成了整个攻击过程。

任意文件下载敏感信息泄露数据库连接后台管理漏洞文件上传漏洞 Webshell获取

0xb Microsoft Windows "AFD.sys"驱动程序本地权限提升漏洞分析

混子安全团队 2024-04-26T16:08:15 混子安全团队

Windows \x26amp;quot;AFD.sys\x26amp;quot;驱动程序本地权限提升漏洞分析最近在学习内网渗透，在提权的

0xc 漏洞复现-CVE-2024-32399

Adler学安全 2024-04-26T15:54:18 ©

本文介绍了RaidenMAILD邮件服务器v.4.9.4及以前版本中存在的路径遍历漏洞（CVE-2024-32399）。该漏洞允许远程攻击者通过/webeditor/组件获取敏感信息。文章强调了漏洞的严重性，并提供了漏洞复现的POC（Proof of Concept），展示了如何利用该漏洞访问系统文件。同时，文中还提供了批量检测工具nuclei.exe的使用方式，以及如何更新系统或软件以修复漏洞的建议。文章最后提醒读者，利用文章提供的信息造成的任何后果由使用者自行承担，作者不承担责任，并提供了获取批量验证脚本和渗透测试工具的联系方式。

漏洞复现路径遍历漏洞邮件服务器安全网络安全软件安全

0xd 漏洞复现-CVE-2024-25723

Adler学安全 2024-04-26T15:54:18 ©

本文详细介绍了ZenML Server中的一个垂直权限绕过漏洞（CVE-2024-25723）。ZenML是一个开源的机器学习工作流程管理框架，该漏洞允许未经授权的用户获取任何ZenML账户的所有权。受影响的版本包括0.42.1、0.43.0、0.44.3和0.46.6。文章提供了网络空间测绘查询方法，以及使用Docker搭建靶场环境的具体步骤。通过一个具体的POC示例，展示了如何复现该漏洞，指出该漏洞利用的前提是知道用户名，且默认存在用户名为'default'。最后，文章给出了修复建议，即更新系统或软件至最新版以修复漏洞。

权限绕过漏洞复现 ZenML 安全建议 Docker使用网络空间测绘 RCE风险

0xe 威胁狩猎：apt组织ToddyCat通过网络隧道窃取敏感信息

独眼情报 2024-04-26T09:22:37 卡巴斯基

APT组织ToddyCat活跃于亚太地区，主要目标为窃取政府及国防机构敏感信息。该组织使用LoFiSe和PcExter等工具收集和泄露文件，并通过多种方法确保持续访问被感染的基础设施。他们利用反向SSH隧道、SoftEther VPN、Ngrok代理和Krong等技术建立多条备用通道，以实现对系统的持续监控和访问。此外，ToddyCat还使用Cuthead工具搜索和收集文档，WAExp工具窃取WhatsApp网页版数据，以及TomBerBil工具从浏览器中提取密码和cookie。这些工具都经过精心设计，以绕过检测并隐藏攻击者的存在。为了保护组织的基础设施，建议限制远程访问工具的使用，监控可疑活动，并要求用户避免在浏览器中存储密码。文章还提供了一些IOC信息，包括恶意软件哈希值、C2地址和链接。

0xf ThinkPHPv5.0.x反序列化利用链

p1的安全小屋 2024-04-25T17:01:11 © p1ng

本文详细分析了ThinkPHPv5.0.x框架中存在的反序列化漏洞利用链。文章首先介绍了漏洞测试环境，包括使用的PHP版本、操作系统和ThinkPHP版本。接着，通过分析代码和类文件，确定了漏洞的入口点在Windows类的__destruct()方法中。该方法调用了removeFiles()方法，该方法会遍历files数组并尝试删除文件，从而可能触发__toString()方法。进一步分析发现，__toString()方法会调用toJson()和toArray()方法，这些方法在处理数据时可能会触发__call()魔法函数。通过查找相关类文件，最终确定了反序列化利用链的路径：Windows类的__destruct()方法 -> removeFiles()方法 -> Model类的__toString()方法 -> toJson()方法 -> toArray()方法 -> __call()方法 -> block()方法 -> writeln()方法 -> write()方法 -> Memcache类的write()方法 -> File类的set()方法 -> setTagItem()方法 -> set()方法。文章还详细描述了如何构造利用链，包括如何控制变量和控制方法调用，最终实现远程代码执行。最后，文章给出了一个具体的exp示例，展示了如何利用该漏洞。

0x10 邮件安全篇：邮件传输加密（SSL/TLS or STATRTTLS）

mailabc 2024-04-24T20:31:45 © 小胡子大魔王

本文深入探讨了邮件传输加密的重要性，详细介绍了SSL和TLS两种协议及其演变过程。文章首先解释了SSL和TLS的定义和作用，它们旨在保护客户端与服务器之间的通信不被窃听、篡改和伪造。接着，文章介绍了STARTTLS协议，它允许在非加密网络服务上增强安全性。文章指出，SSL已被视为过时且不安全，而TLS则不断演进，TLS 1.3是当前主流使用的版本。文章还通过实际检测工具展示了邮件系统端口的安全状态，并提供了SSL/TLS和STARTTLS在客户端配置时的具体操作步骤和端口号对应关系。最后，文章强调了传输层加密的重要性，并建议使用S/MIME实现邮件内容的端到端加密，以进一步提高安全性。

网络安全协议邮件安全加密技术邮件客户端配置端到端加密安全漏洞

0x11 HTB之Runner

羽泪云小栈 2024-04-23T19:59:59 © 羽泪云小栈

赛季5HTB之Runner+子域名扫描+未授权api调用+敏感信息收集+端口转发+runc逃逸

0x12 SharifCTF 2016 – dandelion Writeup

长弓三皮 2024-04-23T16:22:49 ©

0x13 Bugku 好多压缩包 writeup