2020年 第46周 微信公众号精选安全技术文章总览

    洞见网安 2020-11-16

    0x1 Wroba移动银行木马借助短信在美国蔓延

    水网火安 2020-11-22T20:18:32

    Example Image


    今年7月，网络安全公司Cybereason发布报告，指出一款名为FakeSpy的Android恶意软件重新活跃。该恶意软件能够窃取用户的短信、财务数据、银行登录信息等敏感信息。FakeSpy通过伪装成合法邮局应用的链接进行传播，主要针对美国和西欧用户。为了减少此类恶意软件的受害者，文章强调提高用户安全意识的重要性，建议用户仅从官方商店下载应用程序，禁止从第三方来源安装应用程序，并警惕可疑链接，包括来自已知发件人的链接，以防止钓鱼攻击。

    移动恶意软件 短信钓鱼 用户教育 应用安全 地理针对性 金融安全

    0x2 CVE-2020-0601漏洞详细分析

    水网火安 2020-11-22T20:18:32

    Example Image


    本文详细分析了CVE-2020-0601漏洞，该漏洞由微软在2020年1月15日发布补丁更新时披露。该漏洞存在于CryptoAPI椭圆曲线密码（ECC）证书检测中，攻击者可以利用该漏洞通过伪造的代码签名证书对恶意文件进行签名，进而进行攻击。漏洞的根源在于微软对数字签名进行校验时存在缺陷，只对公钥信息进行校验，导致攻击者可以绕过校验逻辑。文章介绍了椭圆曲线数字签名算法（ECDSA）的原理，以及攻击者如何利用自定义的全局域参数和签名信息来绕过校验。同时，文章还展示了相关的代码片段，以帮助理解漏洞的具体实现。

    CVE漏洞 微软安全漏洞 CryptoAPI漏洞 椭圆曲线密码学 数字签名攻击 软件补丁 安全补丁分析

    0x3 CVE-2020-1472（zero-logon）复现

    我吃你家米了 2020-11-22T18:32:56 © 12138

    Example Image


    简介该漏洞利用netlogon的漏洞，重置目标机器的机器账户hash为空，如果针对域控制器执行该攻击，则可以

    0x4 红队实战攻击之随缘测站（下）

    蚁景网络安全 2020-11-20T11:31:35

    Example Image


    本文介绍了作者在网络安全领域的实战经验，重点讲述了如何使用CobaltStrike（CS）进行渗透测试。文章首先回顾了作者在上一篇文章中未能继续利用Linux系统的经历，然后描述了如何通过信息探测发现SQL注入漏洞，进而登录后台。在后台，作者尝试了多种方法，包括上传点测试、数据备份尝试等，最终通过修改上传附件类型成功上传图片马，并通过蚁剑连接获得administrator权限。接下来，作者在CS中生成powershell马，成功上线并获取密码。文章还介绍了如何使用Ladon插件探测存活网段，并通过观察发现网站域名信息。作者通过挂代理、测试CS脚本，成功实现内网穿透。最后，作者通过密码规律的发现，成功登录其他主机，并使用mimikatz获取明文密码。文章强调了在渗透测试中灵活变通、记录信息和发现规律的重要性。

    渗透测试 CobaltStrike SQL注入 Web应用安全 密码学 内网渗透 信息安全

    0x5 【漏洞情报】CVE-2020-13671：Drupal远程代码执行漏洞

    云弈安全 2020-11-19T16:19:07 小明

    Example Image


    Drupal官方近期发布了一个高危的安全漏洞通告，编号为CVE-2020-13671。该漏洞存在于Drupal核心代码中，由于没有正确处理上传文件的文件名，攻击者可能通过上传带有恶意代码的文件，使得文件被错误地解释为PHP代码并执行，从而导致远程代码执行。受影响的Drupal版本包括7.74之前的7.x系列、8.8.11之前的8.x系列、8.9.9之前的8.9.x系列以及9.0.8之前的9.x系列。Drupal官方建议用户升级到最新的版本以修复此漏洞，并提供了相应的下载链接。此外，建议用户对Drupal目录下的文件进行排查，特别是那些具有多个扩展名的文件，如filename.php.txt或filename.html.gif，以防止潜在的安全风险。云弈科技的“天视”扫描插件和资产风险监控系统已经更新，能够检测此漏洞。

    远程代码执行 文件上传漏洞 高危漏洞 Drupal安全更新 资产风险监控

    0x6 记一次受委托的产品安全测试

    蚁景网络安全 2020-11-19T11:30:00

    Example Image


    本文详细记录了一次受委托的产品安全测试过程。作者首先介绍了测试前的准备工作，包括组件漏洞排查和全端口扫描，以识别可能的主机漏洞。接着，进行了WEB目录爆破，利用dirsearch和Dirbuster工具查找可能的敏感路径和文件。在WEB安全内容测试阶段，作者发现了服务端自动填充密码、XSS漏洞、命令注入、SQL注入、SSRF漏洞、任意文件上传以及命令执行等多个安全问题。文章详细描述了每个漏洞的发现过程、原理以及相应的利用方法。最后，作者总结了开发与安全之间的相互关系，强调了安全知识的重要性，并鼓励读者投稿交流。

    Web安全 漏洞分析 安全测试 漏洞利用 安全防护 代码审计 安全开发

    0x7 Hack the Building：美国网络司令部赞助的网络演习

    HackSee 2020-11-19T10:24:00

    Example Image


    Hack the Building 2020是由美国网络司令部赞助，马里兰州创新研究所（MISI）及其DreamPort计划组织的网络演习，旨在提升关键基础设施的网络安全。活动吸引了45个来自工业、学术界、民政机构和国防部的团队参与，于2020年11月16日至19日举行，并在Twitch上直播。演习围绕马里兰州安纳波利斯附近的一座150,000平方英尺的办公大楼进行，涉及IT、物联网、楼宇自动化系统等多个方面的攻防。活动分为两天进攻大楼时间，虚拟会议和Pitch比赛，以及两天的攻防演练。主办方提供了攻击思路和工具建议，并强调了一些规则，如不进行拒绝服务攻击，不破坏资源等。防守方也得到了培训和工具建议，如使用ELK、PacketBeat等。整个活动强调了关键基础设施网络安全的重要性，并在官网提供了研究资源。

    网络演习 关键基础设施网络安全 攻防演练 网络威胁模型 安全工具和设备 安全防御措施

    0x8 基于C++的免杀

    Linux网络安全 2020-11-18T11:37:24 ©

    Example Image


    本文介绍了一种基于C++的免杀技术，通过在Dev C++环境中使用特定的代码实现。文章详细说明了如何创建一个名为Loader64的项目，并设置了相应的编译环境。代码中包含了初始化Winsock、建立连接、接收数据、分配内存以及调用远程代码的关键步骤。用户需要根据实际情况修改IP地址和端口，并确保在Metasploit Framework中监听相应的端口。编译过程中需要添加特定的链接器选项，并在命令行中执行相应的命令来运行程序。文章还提供了一个论坛地址，供读者获取更多教程和相关信息。

    网络安全 恶意软件分析 免杀技术 C++编程 网络通信 Windows系统安全 Metasploit框架

    0x9 Apache Dubbo反序列化漏洞

    蚁景网络安全 2020-11-18T11:30:00 © 合天网安学院

    Example Image


    Apache Dubbo是一款高性能的Java RPC框架，广泛应用于服务的远程调用、容错和负载均衡。2020年6月，Apache Dubbo被披露存在高危漏洞CVE-2020-1948，该漏洞允许攻击者通过RPC请求发送恶意参数，实现远程代码执行。受影响的版本包括Dubbo 2.7.0至2.7.6和2.6.0至2.6.7，以及官方不再维护的2.5.x版本。漏洞复现包括构造恶意的poc，通过LDAP代理服务和Dubbo客户端脚本发送请求，验证漏洞存在。修复措施包括升级至2.7.7版本，并参照官方建议进行参数校验，或更换协议和反序列化方式以增强安全性。

    远程代码执行 反序列化漏洞 Java RPC框架 Dubbo漏洞 漏洞复现 安全加固 开源框架安全

    0xa Fastjson反序序列化漏洞分析（下） | 14期

    道格安全 2020-11-18T10:07:21 p1g3

    Example Image


    标签：Fastjson，反序列化，序列化

    0xb 记一次fastadmin后台测试

    ListSec 2020-11-17T22:59:06 © 凉城

    Example Image


    本文详细记录了一次针对FastAdmin后台的渗透测试过程。首先，作者通过一个已知弱口令成功登录FastAdmin后台，并利用authrule权限认证的漏洞获取了webshell。具体步骤包括创建低权限账户，触发phpinfo()函数获取服务器路径，并通过file_put_contents和file_get_contents函数写入木马。然而，服务器启用了disable_functions，限制了命令执行。随后，作者尝试攻击另一个无弱口令的后台，发现存在前台获取webshell的漏洞，但由于服务器为Linux系统，该漏洞无效。最终，渗透测试未能继续进行下去。

    渗透测试 弱口令利用 代码执行 Webshell获取 disable_functions绕过 前台漏洞利用

    0xc 记一次某众测的考核

    蚁景网络安全 2020-11-17T11:30:00 © kawhi

    Example Image


    本文详细记录了一次网络安全众测的考核过程。作者报名参加众测，通过一个靶场进行考核，共包含十道题目。考核内容涉及多种网络安全知识点，包括但不限于SQL注入、文件包含、命令执行、注入点发现等。作者通过修改User-Agent、爆破弱口令、审计代码、利用文件包含漏洞、构造一句话木马、使用base64编码绕过过滤、使用sqlmap工具进行数据库注入等多种方法解决了题目。文章中详细描述了每道题目的解题思路和步骤，并分享了使用的技术和工具。最后，作者成功通过了考核，并鼓励有才能的读者投稿参与。

    网络安全实战 靶场测试 SQL注入 Web安全 渗透测试 安全工具 安全编码 安全意识

    0xd 站库分离常规渗透思路总结

    蚁景网络安全 2020-11-16T11:30:57

    Example Image


    本文详细介绍了站库分离的常规渗透思路。首先解释了站库分离的概念，即管理员将网站程序和数据库分别放在不同的服务器上以提高安全性。然而，这种分离也可能成为攻击者的渗透入口。文章从Web入口和数据入口两个方面阐述了渗透方法，包括利用网站漏洞获取Webshell、通过数据库弱口令或SQL注入获取权限等。接着，文章介绍了判断站库分离的方法，如通过网络连接状态、数据库配置文件、MySQL和MSSQL的内置函数和表等。最后，文章提出了站库分离的利用思路，包括下载远程文件、执行远程Payload以及模拟令牌权限提升等。文章还提供了一些实用的工具和技巧，对于网络安全学习者来说具有很高的参考价值。

    网络安全 站库分离 渗透测试 数据库安全 Web安全 漏洞利用 内网渗透

    0xe https通信过程

    我吃你家米了 2020-11-16T04:50:21 © 12138

    Example Image


    推荐点击阅读原文进行阅读前言前段时间给自己的网站上了个https证书，因此想借此机会深入了解一下https通

    本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。