2020年 第47周 微信公众号精选安全技术文章总览
洞见网安 2020-11-23
0x1 【分享】非常全面的CentOS7系统安全检测和加固脚本
WalkingCloud 2020-11-29T11:55:50 ©
本文介绍了一个用于CentOS 7系统的安全检测和加固脚本。该脚本旨在提高Linux系统的安全性，通过一键执行实现对系统进行全面的检查和加固。脚本包括系统基本信息、资源使用情况、系统用户情况、身份鉴别安全、安全访问控制、安全审计、剩余信息保护、入侵防范安全、恶意代码防范、资源控制安全等多个方面的检测。脚本还提供了加固设置，如设置密码复杂度、创建eproot账号、禁止root远程登录、设置SSH端口、登入失败处理等。文章详细描述了脚本的执行过程和结果，并提供了操作说明和效果展示。
Linux系统安全 自动化安全加固 安全审计 入侵检测与防御 密码策略 用户管理 资源监控 系统加固 脚本安全
0x2 WebLogic-XMLDecoder反序列化漏洞分析｜15期
道格安全 2020-11-29T10:55:31 ghtwf01
标签：WEB安全、漏洞分析
0x3 Windows PC上的Steam容易受到特权提升攻击
水网火安 2020-11-28T19:22:00
报道指出，Windows PC上的Steam客户端存在一个权限提升的安全漏洞。该漏洞源于Steam创建的启动目录权限过高，使得恶意软件能够滥用这种高权限。研究发现，Steam安装文件夹默认赋予组中的Windows用户读取和写入权限，这允许攻击者或恶意程序替换Steam.exe文件。由于Steam.exe通常在系统启动时自动运行，一旦管理员登录，伪装成Steam.exe的恶意程序将以管理员权限执行，对系统和网络构成严重威胁。目前，Steam官方尚未及时修复这一漏洞，专家建议不要在重要的系统上安装或使用Steam，以避免潜在的安全风险。
特权提升攻击 恶意软件滥用 启动目录权限 系统启动自启动 漏洞未修复 安全建议 网络安全
0x4 电力行业常用通信协议汇总
安帝Andisec 2020-11-27T17:16:16 © 安帝实验室
本文详细介绍了电力行业常用的通信协议。首先介绍了IEC 60870-5系列协议，它是国际上流行的变电站自动化协议，包括多个配套标准，如IEC 60870-5-101用于远程控制和保护，IEC 60870-5-103用于设备互操作性。接着介绍了IEC 61850，这是第一个完整的变电站自动化通信标准体系，具有面向对象建模、分布式分层体系等特性。文章还讨论了DNP3协议，它是北美地区广泛使用的协议，用于替代IEC 60870-5系列。此外，还提到了基金会现场总线（FOUNDATION Fieldbus）和Modbus协议，它们在过程/工厂自动化和智能设备通信中扮演重要角色。最后，文章概述了电力系统数据通信协议体系，包括IEC 60870-5、IEC 60870-6、IEC 61850等系列标准，并讨论了变电站的信息分层结构和IEC 61850协议的服务码编码。
通信协议安全 电力系统安全 工业控制系统安全 协议漏洞分析 网络安全标准
0x5 Drupal core高危漏洞风险提示
安恒信息CERT 2020-11-27T12:23:53
本文针对Drupal核心系统存在的两个高危漏洞（CVE-2020-28948和CVE-2020-28949）进行了详细分析。漏洞源于Drupal核心使用的PEAR Archive_Tar库在处理特定文件类型时存在安全风险，可能导致任意PHP代码执行。该漏洞影响Drupal 9.0、8.9、8.8和7分支版本，建议用户更新到相应修复版本。文章提供了详细的影响范围、漏洞描述、缓解措施和更新下载链接，提醒用户及时更新以防止潜在的安全威胁。
漏洞公告 PHP代码执行 CVE编号 安全更新 影响范围 安全维护 漏洞利用 缓解措施 网络安全
0x6 物联网安全系列 | MQTT协议安全
银基科技INGEEK 2020-11-27T12:00:15
MQTT（消息队列遥测传输）是一种轻量级、基于发布/订阅的消息协议，广泛应用于物联网（IoT）场景。本文介绍了MQTT协议的基本特点，包括其使用TCP/IP协议传输、简单的数据包格式、支持发布/订阅模式等。文章还讨论了MQTT协议的安全性，包括匿名连接、传输未加密、弱口令等潜在的安全风险，并提到了针对这些风险的防范措施。此外，文章还介绍了MQTT协议的攻击点和防御方法，如使用mqtt-pwn工具进行漏洞测试和用户名密码爆破。最后，文章强调了在研究和测试MQTT安全时，应遵守法律法规，避免对网络目标进行非法测试和破坏活动。
MQTT 物联网安全 协议分析 中间人攻击 认证与授权 漏洞研究 漏洞利用工具 端口扫描 网络空间测绘 安全最佳实践
0x7 内网渗透 | 常用的内网穿透工具使用
蚁景网络安全 2020-11-27T11:30:00 一寸一叶
本文详细介绍了多种内网穿透工具的使用方法，包括环境配置和具体操作步骤。文章首先介绍了EarthWorm工具的正向和反向连接方法，接着阐述了Neo-reGeorg、Venom、ssf、frp等多种工具的穿透技巧。此外，还讲解了如何使用msf搭建Socks4a代理，以及portfwd的端口转发功能。文章最后介绍了icmpsh和nc工具在内网渗透中的应用，包括正向和反向shell的创建方法。整体上，文章为网络安全学习者提供了实用的内网渗透技能和工具使用指南。
0x8 weblogic后台密码解密
我吃你家米了 2020-11-27T08:23:00 © 12138
点击阅读原文体验更佳前言前段时间复现wenlogic的漏洞，从vulnhub上下载的漏洞环境，但是并没给出来
0x9 记一次针对恶意攻击者的渗透测试
蚁景网络安全 2020-11-26T11:30:00
本文详细记录了一次针对恶意攻击者的渗透测试过程。作者在梳理文档时发现了一个攻击者的IP地址，决定对其进行渗透测试。测试过程中，作者使用了nmap和fofa进行信息收集，发现目标服务器为Windows操作系统，并开启了多个端口和服务。通过发现websoft9运维页面上的账号密码尝试登录，成功后利用漏洞写入webshell并获取了系统权限。作者尝试获取管理员密码，但未能成功。随后，作者尝试添加新用户，并使用UDF提权方法尝试获取更高权限，但均未成功。最终，作者通过尝试net1.exe命令成功连接到目标服务器。文章强调了信息收集的重要性，并对弱口令和系统安全提出了警示。
渗透测试 漏洞利用 弱口令攻击 Web安全 Windows系统安全 工具使用 实战经验
0xa 浅谈木马的伪装与防御
Linux网络安全 2020-11-26T07:52:18
本文探讨了网络安全领域中木马伪装与防御的重要性。文章首先指出社会工程学作为攻击手段的致命性，接着详细介绍了如何利用木马伪装进行社会工程学攻击。具体操作包括使用HBuilder将Web页面打包成APP文件，配置APP项目并设置图标，使用自己的证书进行签名，以及利用Kali Linux创建自签名证书。文章还介绍了如何使用msfvenom生成带有后门的APK文件，并通过设置监听端口和IP地址实现远程控制。最后，文章提醒读者在实际操作中可能会遇到的问题，并鼓励有兴趣的读者下载示例APK进行反编译学习。
木马攻击 社会工程学 移动安全 逆向工程 安全防护 证书管理 安全工具
0xb 骑士CMS assign_resume_tpl 远程代码执行漏洞风险提示
水网火安 2020-11-25T20:21:54
本文报道了骑士CMS人才系统存在的一个远程代码执行漏洞。骑士CMS是一款基于PHP+MYSQL开发的免费开源人才网站系统。阿里云应急响应中心发现，由于系统某些函数过滤不严格，攻击者可以利用文件包含漏洞，在无需登录的情况下执行任意代码，控制服务器。这一漏洞利用简单，相关利用细节已公开，因此阿里云提醒用户采取安全措施。文章指出，CMS系统因其便捷性和易用性被广泛使用，但也因产品良莠不齐和安全性难以保证而成为网络安全问题的重灾区。
远程代码执行漏洞 CVE CMS系统安全 开源软件安全 应急响应 漏洞利用 网络安全意识
0xc VMware 多个产品高危漏洞风险提示
安恒信息CERT 2020-11-25T19:05:00 ©
近日，VMware官方发布了多个产品的高危安全漏洞公告，涉及VMware ESXi、VMware Workstation Pro/Player、VMware Fusion Pro/Fusion以及VMware Cloud Foundation等。公告编号为VMSA-2020-0026.1，对应CVE编号CVE-2020-4004和CVE-2020-4005。这些漏洞可能导致具有本地管理员权限的恶意攻击者在虚拟机上执行代码，从而实现虚拟机逃逸。受影响的版本包括VMware ESXi 6.5、6.7、7.0，VMware Fusion Pro/Fusion 11.X，VMware Workstation Pro/Player 15.X，以及VMware Cloud Foundation 3.X和4.X。VMware建议用户更新到相应的修复版本。同时，如果无法立即打补丁，可以临时删除XHCI (USB 3.x)控制器作为缓解措施。
虚拟机安全漏洞 内存释放后重用漏洞 权限提升漏洞 逃逸漏洞 补丁管理 产品安全公告 网络安全更新
0xd 浅谈SVG的两个黑魔法
蚁景网络安全 2020-11-25T11:35:00 © Kawhi
本文详细介绍了XXE漏洞的原理、利用技术以及防御方法，并结合SVG讲解了其在网络安全中的实际应用。文章首先概述了XXE漏洞的产生原因，即程序在解析XML输入时未能禁止外部实体的加载，从而允许加载恶意外部文件，造成文件读取、命令执行、内网扫描等危害。接着，文章深入探讨了SVG作为XML格式的一种，如何被用于触发XSS和XXE漏洞。通过具体的CTF题目实例，如svgmagic和svgggggg!，文章展示了如何利用SVG构造恶意payload，实现无回显和有回显的XXE攻击，以及如何通过读取文件内容、外带数据等方式获取敏感信息。此外，文章还提供了相关的防御方法和参考资料，强调了SVG在网络安全中不容忽视的风险。通过学习本文，读者可以掌握XXE漏洞的利用技巧，提高网络安全防护能力。
XXE漏洞 SVG安全 XSS跨站脚本 CTF实战 XML外部实体 Web安全 漏洞利用 安全防御
0xe 一文读懂 Linux 内核运行时参数配置
泰晓科技 2020-11-25T11:30:00 ©
本文深入探讨了Linux内核运行时参数配置的方法和原理。作者Daemon.Wu，一位Linux内核性能优化工程师，详细介绍了如何通过sysctl命令在运行时设置内核的各种配置参数，无需修改内核源码。文章首先解释了Linux内核的子系统及其配置参数，如内存管理、CPU调度和文件回写等。接着，通过sysctl命令的配置示例，展示了如何设置内存子系统的参数。文章进一步分析了sysctl命令使用的接口，并通过strace追踪系统调用来揭示sysctl命令是如何通过/proc/sys目录下的接口文件实现配置的。随后，详细介绍了内核中各子系统如何导出参数到procfs，并允许用户通过echo、cat等工具操作这些节点来设置参数。最后，文章还提供了如何新增一个sysctl接口的示例代码，并介绍了如何在/proc/sys目录下创建一个新的节点。
Linux内核安全 系统调用安全 内核参数配置安全 运行时安全 系统管理安全 内核模块开发安全
0xf Discord桌面应用程序RCE报告
水网火安 2020-11-24T09:29:31
本文分析了Discord桌面应用程序中的一个远程代码执行（RCE）漏洞。文章指出，尽管在Electron应用中，nodeIntegration参数默认关闭可以提供一定的安全性，但contextIsolation参数的开启可能导致内部脚本未进行隔离，从而形成xss到node.js的攻击链。文章详细讨论了攻击点和防御点，强调在nodeIntegration关闭的情况下，需要检查contextIsolation是否开启，并建议开发者不应为方便而牺牲安全性，确保相关接口得到妥善处理。
Electron应用安全 跨站脚本攻击（XSS） 命令执行漏洞（RCE） 安全配置管理 前端安全 安全最佳实践
0x10 CVE-2020-25705/SAD DNS：DNS缓存投毒攻击
水网火安 2020-11-24T09:29:31
CVE-2020-25705/SAD DNS攻击是由加利福尼亚大学和清华大学的研究人员发现的一系列安全漏洞。这种攻击允许攻击者通过DNS缓存投毒的方式实施off-path攻击，将特定域名的流量重定向到攻击者控制的服务器，从而监听和修改通信流量。SAD DNS攻击是一种新型的DNS攻击，它利用网络协议栈中的侧信道进行扫描和发现可用的端口，通过注入伪造的DNS记录到DNS缓存中实现攻击。这种攻击方式严重威胁了网络的安全性，因为它可以在不直接参与通信的情况下进行。研究人员发现，超过34%的互联网开放解析器存在漏洞，其中包括许多主流DNS服务。为了缓解这一漏洞，研究人员建议用户禁用ICMP响应，并设置严格的DNS查询timeout。此外，他们还开发了一个工具来测试是否受到该攻击的影响。
DNS安全 漏洞分析 侧信道攻击 网络侧信道攻击 攻击技术 操作系统安全 网络安全防护 安全研究
0x11 360发现Drupal 远程代码执行漏洞
水网火安 2020-11-23T12:08:55
2020年11月，360CERT监测发现Drupal存在一个高危的远程代码执行漏洞（CVE-2020-13671），该漏洞评级为8.1分。漏洞源于Drupal core未正确处理上传文件名，可能导致文件被错误解析为PHP并执行，从而允许未授权的远程攻击者上传特定文件名的文件来执行任意代码。360CERT建议用户尽快升级到Drupal的最新版本，并加强资产自查和预防措施。尽管漏洞已经公开，但由于个人用户安全意识不足，攻击者仍然可能利用该漏洞进行攻击。为了防止漏洞带来的危害，用户应及时安装补丁。
远程代码执行漏洞 Drupal漏洞 高危漏洞 文件上传漏洞 安全更新 网络安全监测 黑客攻击预防
0x12 朝鲜黑客组织Lazarus以软件供应链手法攻击韩国用户
水网火安 2020-11-23T12:08:55
朝鲜黑客组织Lazarus近期利用软件供应链攻击手法对韩国用户发动了攻击。他们利用了韩国合法安全软件WIZVERA VeraPort以及从两家安全公司窃取的数字凭证。Lazarus组织在2016年被发现，与美国政府和朝鲜政府有密切关系，曾因攻击索尼影业而知名。此次攻击通过替换合法软件下载为恶意程序，主要针对WIZVERA VeraPort软件。该软件在韩国政府或银行网站中广泛使用。攻击分为两个阶段，第一阶段通过入侵合法网站替换软件，第二阶段使用窃取的凭证签署恶意程序。尽管软件供应链攻击可以预防，但黑客通过冒充合法软件入侵多台电脑的能力仍然是一个严重的安全威胁。
黑客攻击 软件供应链攻击 恶意软件植入 数字凭证盗窃 国家支持的黑客组织 网络安全事件 安全软件漏洞 供应链安全
0x13 踩坑版渗透-记录某次授权测试
蚁景网络安全 2020-11-23T11:30:00 耳旁有首歌
本文是关于一次授权测试的渗透经历记录。作者在朋友的邀请下，对一目标站点进行信息搜集和端口扫描，发现多个开放服务。尝试利用弱密码和社工技巧，通过burp的intruder工具成功入侵管理系统。在系统中发现文件上传点，尝试上传webshell但遇到障碍。随后，作者尝试利用mysql慢日志写入webshell，但因URL编码问题失败。在分析数据包时，发现Apache Shiro权限绕过漏洞的迹象，但未能利用。最后，通过redis未授权访问，作者成功写入webshell并连接。文章最后，作者总结了避免弱密码、不暴露非必要服务和加密登录cookie等安全建议。
Web应用渗透测试 服务与端口安全 弱密码攻击 文件上传漏洞 代码执行与Webshell 数据库安全 反序列化漏洞 未授权访问 权限维持
0x14 CVE-2020-14882~14883(Weblogic RCE)
我吃你家米了 2020-11-23T09:00:00 © 12138
简介本次复现为两个漏洞，前者CVE-2020-14882为绕过weblogic控制台认证、后者CVE-202
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
