2023年 第49周 微信公众号精选安全技术文章总览
洞见网安 2023-12-4
0x1 浅浅分析一下flask-debug-pin
p1的安全小屋 2023-12-10T23:25:57 p1ng
因为是个人学习笔记的分享,所以可能很多地方没有讲清楚 请师傅们多多谅解
0x2 sql-labs丨less-3 and less-4
网安淬锋研习社 2023-12-10T11:24:41 © 安全盾
本文详细介绍了在sql-labs靶场中进行第三关和第四关的SQL注入攻击过程。首先，通过报错信息判断数据库的闭合符号，然后通过尝试不同的order by语句来确定字段数量。接着，使用union select语句结合database()函数获取数据库信息，再通过group_concat函数获取表名和列名。最后，通过类似的方法获取特定表中的敏感数据，如username和password。文章还强调了在使用这些技术时应自行承担责任，并提醒读者遵守法律法规。第四关的注入过程与前三关类似，但闭合符号有所不同。文章最后重申了免责声明，提醒读者在使用信息时应谨慎行事。
0x3 用Go实现USB存储设备热插拔检测及文件获取,支持Windows、Linux和MacOS全平台
二进制空间安全 2023-12-10T10:39:25 ©
本文详细介绍了使用Go语言实现USB存储设备热插拔检测及文件获取的方法，适用于Windows、Linux和MacOS全平台。文章首先概述了检测原理，即通过使用各系统自带的管理工具和命令来获取设备信息，并分析命令返回的结果。接着，针对Windows平台，介绍了使用WMIC工具检测USB存储设备的原理和实现方法，包括命令参数的含义和使用示例。对于Linux平台，文章说明了使用df命令和udevadm工具来检测USB存储设备的插入，并提供了相应的代码示例。在MacOS平台，通过system_profiler命令和diskutil命令获取USB设备信息。最后，文章总结了在不同平台上实现USB存储设备检测的方法，并指出未来可能会进行的兼容性测试和更新。
热插拔安全 系统安全 设备识别安全 文件访问安全 跨平台安全 命令行工具安全
0x4 网神 SecGate3600 authManageSet.cgi 接口登录绕过漏洞
影域实验室 2023-12-10T00:00:39 Notalking
网神 SecGate3600 是一款安全网关产品，由网神信息技术(北京)股份有限公司开发。该产品存在一个严重的登录绕过漏洞，攻击者可以利用这个漏洞获取管理员密码和其他敏感信息，进而控制整个系统。漏洞的利用方式是通过发送特定的HTTP请求到authManageSet.cgi接口，使用默认的账号密码如admin/admin@123或audit/audit@123。漏洞的发现者提供了一个POC（概念验证），展示了如何构造请求来绕过登录验证。为了修复这个漏洞，建议用户联系产商获取并升级到安全版本。文章最后强调，本文内容仅供学习和参考，使用者应遵守法律法规，不得利用文中信息进行非法活动。
0x5 漏洞复现-Apache Ofbiz XML-RPC RCE（CVE-2023-49070）
Adler学安全 2023-12-09T15:00:38 © Amica.
本文介绍了Apache OFBiz中存在的未授权远程代码执行漏洞（CVE-2023-49070）。该漏洞源于Apache OFBiz中不再维护的XML-RPC组件，由于XML-RPC协议的安全问题，该组件已被弃用。攻击者可以利用该漏洞在受影响的Apache OFBiz服务器上执行任意代码，而无需进行任何身份验证。文章中提到了受影响的版本为Apache Ofbiz XML-RPC，并提供了网络空间测绘查询方式（fofa：app="Apache_OFBiz"）。此外，文章还给出了漏洞复现的POC，包括使用CB192NOCC链生成Base64加密代码，以及使用ysoserial生成回显内存马并base64编码的POC。最后，文章提醒读者该漏洞已修复，敏感信息已打码处理，仅供经验分享，未授权的攻击属于非法行为。
远程代码执行 XML-RPC 未授权访问 Apache OFBiz 漏洞利用 安全公告 经验分享
0x6 【已复现】Apache Struts文件上传组件存在目录遍历漏洞(CVE-2023-50164)
安恒信息CERT 2023-12-09T13:13:01
近日，安恒信息CERT监测到Apache Struts文件上传组件存在一个严重的目录遍历漏洞（CVE-2023-50164）。该漏洞允许攻击者通过操纵文件上传参数来执行路径遍历，进而可能上传恶意文件并执行远程代码。Apache Struts是一个流行的Java Web应用程序框架，该漏洞影响多个版本，包括2.5.0至2.5.32和6.0.0至6.3.0.0。CVSS评分达到9.8，属于严重等级。安恒研究院已复现此漏洞，并建议用户尽快升级到安全版本2.5.33及以上或6.3.0.2及以上版本以修复漏洞。此外，安恒信息CERT提醒用户进行资产排查，以确定受影响资产并采取措施保护网络安全。
CVE-2023-50164 Apache Struts 目录遍历漏洞 文件上传组件 远程代码执行 MVC框架 Java Web应用程序 安全漏洞 应急响应 软件升级
0x7 Panabit sprog_deletevent.php sql注入
影域实验室 2023-12-09T12:20:25 © Notalking
本文介绍了Panabit日志系统中的一个SQL注入漏洞，攻击者可以通过该漏洞执行任意SQL语句，包括查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。漏洞存在于sprog_deletevent.php文件中，通过特定的GET请求参数触发。文章提供了FOFA和Hunter的搜索语法来定位受影响的系统，以及一个具体的POC来验证漏洞。同时，文章强调了免责声明，指出所提供的技术、信息或工具仅供学习和参考，要求使用者遵守法律法规和道德规范，并自行承担使用后果。最后，给出了修复建议，包括关闭互联网暴露面、设置访问权限和升级至安全版本。
0x8 Apache Ofbiz XML-RPC RCE (CVE-2023-49070) [漏洞复现]
偏远酒馆 2023-12-09T01:50:46 Ra7ing
2020年，为修复 CVE-2020-9496 增加权限校验，存在绕过。2021年，增加 Filter 用于拦截 XMLRPC 中的恶意请求，存在绕过。2023年四月，彻底删除xmlrpc handler 以避......
0x9 【父子进程/AES/XTEA/SMC】赛后复盘
蚁景网络安全 2023-12-08T17:30:53 © Ba0
本文详细介绍了进程重影技术的原理和应用，该技术利用Windows内核中的缓存同步问题，通过在诱饵路径上加载DLL，然后卸载它，再从一个新路径加载它，使得可执行文件的路径与从该可执行文件创建的映像节区所报告的路径不匹配，从而欺骗安全产品。文章还提供了一个实战案例，通过分析一个PE文件，展示了如何利用AES和XTEA加密解密技术来实现在进程重影技术中隐藏flag。首先，文章分析了进程重影技术的原理，然后通过IDA Pro对恶意程序进行分析，发现了AES和XTEA加密解密的核心函数，并详细解释了这些函数的工作原理。最后，文章通过动态调试和内存转储等技术，成功解密并获取了flag。该案例对于学习网络安全技术，特别是进程重影技术，具有一定的参考价值。
0xa 【风险通告】Apache Struts文件上传组件存在目录遍历漏洞(CVE-2023-50164)
安恒信息CERT 2023-12-08T15:38:26
近日，安恒信息CERT监测到Apache Struts文件上传组件存在一个严重的目录遍历漏洞（CVE-2023-50164）。该漏洞允许攻击者通过操纵文件上传参数来启用路径遍历，从而可能上传恶意文件以执行远程代码。Apache Struts是一个广泛使用的开源MVC框架，该漏洞影响了多个版本，包括2.0.0至2.5.32和6.0.0至6.3.0.1。CVSS3.1评分高达9.8，被评定为高危漏洞。安恒信息建议用户尽快升级到安全版本2.5.33或6.3.0.2，并进行了资产排查，发现受影响资产主要分布在中国，数量达到81527。官方已发布修复方案，并提供了升级指南。
漏洞通告 目录遍历漏洞 Apache Struts CVE编号 安全漏洞 应急响应 Java Web应用程序 漏洞评分 漏洞修复
0xb 鱼叉攻击、鲸钓攻击、水坑攻击都是什么？
天津恒御科技有限公司 2023-12-08T08:00:54
鱼叉攻击、鲸钓攻击、水坑攻击是3种不同类型的网络钓鱼攻击，网络钓鱼是指具有恶意动机的攻击者伪装欺骗人们并收集
0xc 红队新手法？UEFI 图像解析器攻击
教父爱分享 2023-12-07T23:56:50 教父
固件安全公司Binarly披露了一种名为LogoFAIL的UEFI图像解析器攻击方法，该攻击通过特制图像利用UEFI固件中的漏洞，在系统启动或BIOS设置时执行任意代码。攻击可危害整个系统，绕过安全启动等安全措施。Binarly针对Insyde、AMI和Phoenix的固件进行研究，发现多个高严重性漏洞，影响宏碁、戴尔等多家厂商的设备。攻击者可通过固件更新程序替换合法徽标发起攻击，或在具备物理访问权限时使用SPI闪存编程器。部分供应商如戴尔，因徽标受保护而减少攻击风险。Binarly在黑帽欧洲会议上介绍了攻击细节，并发布了技术博客和PoC视频。漏洞已通报给供应商，但补丁到达终端设备需时日。
固件安全 启动过程攻击 绕过安全措施 供应链安全 物理与非物理攻击 跨平台威胁 漏洞利用 补丁管理
0xd 蜜罐初探-工控蜜罐特征修改及靶场部署
珞安科技 2023-12-07T18:00:34 © 延鹏
文章探讨了蜜罐在网络安全和国家安全中的重要性，特别是在巴以冲突期间以色列部署的蜜罐数量激增，显示出其战术意义。蜜罐是一种监控计算机资源，通过设置虚假数据和已知漏洞吸引攻击者，以收集攻击流量和行为数据，帮助安全人员分析攻击者工具和方法，加强安全措施和攻击溯源。文章重点研究了工控蜜罐，指出其在工控行业中的重要性，因为一旦遭受攻击，损失巨大。文章介绍了Conpot蜜罐的搭建和特征修改，包括如何通过Docker部署，以及如何修改Modbus和S7Comm协议特征，以提高蜜罐的仿真能力，避免被轻易识别。最后，文章提到了珞安科技的工业互联网安全靶场平台，该平台利用虚拟化技术，提供了一个逼真的工控场景仿真环境，用于攻防演练、技能培训和安全测试。
蜜罐技术 工控安全 攻防演练 网络安全监测 信息收集与溯源 虚拟化技术 网络安全教育与培训
0xe 入侵检测之流量分析--SURICATA应用
帅仔回忆录 2023-12-07T15:52:18 © qianlan
本文详细介绍了网络安全中的流量分析及其在入侵检测中的应用，以开源工具SURICATA为例，阐述了其在协议解析、可疑或恶意行为识别和防御中的作用。文章首先概述了流量分析的背景和重要性，特别是在加密通信流量日益普及的今天。接着，介绍了SURICATA作为网络入侵检测系统（IDS）和入侵防御系统（IPS）的强大功能和配置方法。文中还提供了安装SURICATA的步骤，以及如何配置和使用其规则文件进行恶意流量检测。此外，文章还提到了如何获取和使用不同来源的检测规则集，以及如何通过SURICATA分析恶意通信数据包。最后，简要介绍了SURICATA的输出日志和相关配置，为网络安全研究者提供了实用的指南。
入侵检测 流量分析 网络入侵检测系统 数据包捕获 协议解析 安全规则 恶意代码分析 开源工具 网络安全工具
0xf Apache Ofbiz XML-RPC RCE漏洞复现（CVE-2023-49070）
影域实验室 2023-12-07T10:05:11 OidBoy_G
Apache OFBiz是一个开源ERP系统，提供多种商业功能。2023年发现其XML-RPC接口存在远程代码执行漏洞（CVE-2023-49070），允许未授权攻击者执行任意代码，可能导致数据泄露或系统被控制。该漏洞源于2020年修复CVE-2020-9496时增加的权限校验存在绕过，2021年增加的Filter用于拦截恶意请求也存在绕过。2023年4月，主分支删除了XML-RPC组件，但仅最新版本18.12.10废除了该功能。攻击特征包括异常HTTP请求、不寻常的URI结构和特定错误日志。影响范围为Apache OFBiz低于18.12.10的版本。复现环境可通过FOFA查询，复现方法包括发送包含用户名和密码的HTTP请求到XML-RPC接口，使用ysoserial工具生成序列化数据并反弹shell。修复建议包括禁用接口、增强监控、网络ACL限制和升级至最新版本。
远程代码执行 漏洞复现 Apache OFBiz XML-RPC CVE-2023-49070 安全防护
0x10 【风险通告】Atlassian Confluence远程代码执行漏洞(CVE-2023-22522)
安恒信息CERT 2023-12-06T19:33:54
近日，安恒信息CERT发现Atlassian Confluence Data Center和Confluence Server存在远程代码执行漏洞（CVE-2023-22522），该漏洞允许未经授权的攻击者通过注入不安全的用户输入到Confluence页面，从而在受影响的系统中执行远程代码，获取服务器权限。该漏洞影响多个版本，包括4.x.x至8.5.x系列，以及最新的LTS版本。官方已发布修复版本，建议用户尽快升级至安全版本以防止攻击。目前该漏洞尚未在野利用，但鉴于其高危等级，建议所有使用Confluence的用户进行资产自查和升级。根据网络空间资产测绘数据显示，全球多个国家的资产受到影响，中国内地有30640个资产存在风险。
远程代码执行漏洞 Atlassian Confluence 企业知识管理软件 安全漏洞 应急响应 网络攻击 CVSS评分 高危漏洞 软件升级
0x11 CVE初探之CVE-2019-6250反弹Shell
蚁景网络安全 2023-12-06T17:35:56 © 5ma11wh1t3
本文详细介绍了ZMQ库中CVE-2019-6250漏洞的复现过程和分析。该漏洞存在于ZMQ的核心引擎libzmq的4.2.x及4.3.1之后版本中，位于ZMTP v2.0协议的实现中。文章首先指导读者如何搭建漏洞环境，包括下载和安装libzmq和cppzmq库，并强调编译时的完整性和正确性。接着，文章提供了一个基于cppzmq的POC，用于触发漏洞。POC通过构造特定的消息格式，利用整数溢出和缓冲区写越界问题，最终实现对函数指针的控制，从而达到远程代码执行的目的。文章深入分析了POC的四个主要部分：greeting、v2msg、plsize和content_t_replacement，并指出了漏洞的核心机制。最后，文章还提供了一个基于Python的exploit脚本，用于在未开启PIE的程序中实现反弹shell。整个文章旨在帮助网络安全学习者更好地理解和复现该漏洞，从而提升对相关安全问题的研究能力。
ZMQ 漏洞分析 漏洞复现 远程执行 C++ 整型溢出 缓冲区溢出
0x12 HTB之Broker
羽泪云小栈 2023-12-06T16:03:08 © 羽泪云小栈
Broker之ActiveMQ漏洞
0x13 【漏洞复现】FLIR-AX8RCE漏洞
Devil安全 2023-12-06T10:01:27 仲瑿
声明该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁
0x14 微架构泄漏模板及其在基于缓存的侧信道中的应用
数缘信安社区 2023-12-06T07:00:59 © 张丽凤
通用的泄露模板—识别和分析高速缓存侧信道攻击
0x15 赛立德（ZYXEL）修复了防火墙、接入点和网络附加存储（NAS）设备中的数十个漏洞。
黑猫安全 2023-12-05T11:00:29 鹏鹏同学
台湾供应商赛立德（Zyxel）修复了其防火墙、接入点和网络附加存储（NAS）设备中的多个安全漏洞。这些漏洞包括命令注入、身份验证绕过和跨站脚本攻击（XSS），它们可能使攻击者能够窃取Cookie、访问配置文件、执行命令注入和发起拒绝服务攻击。修复的漏洞涉及多个CVE编号，包括CVE-2023-35136、CVE-2023-35139、CVE-2023-37925、CVE-2023-37926、CVE-2023-4397、CVE-2023-4398、CVE-2023-5650、CVE-2023-5797、CVE-2023-5960等。具体漏洞包括输入验证不正确、权限管理不当、缓冲区溢出和整数溢出等。此外，NAS设备中的漏洞允许攻击者通过发送特定请求来执行操作系统命令或获取系统信息。
漏洞修复 命令注入 身份验证绕过 跨站脚本(XSS) 权限管理不当 拒绝服务(DoS) 缓冲区溢出 整数溢出
0x16 恶意广告攻击依赖Danabot木马传播Cactus勒索软件
黑猫安全 2023-12-05T11:00:29 鹏鹏同学
微软公司发现持续的恶意广告攻击活动，使用DanaBot木马部署CACTUS勒索软件，并与勒索软件操作者Storm-0216相关联。Storm-0216过去通常使用Qakbot恶意软件进行初始访问，但Qakbot基础设施被关闭后，转而使用其他恶意软件。微软研究人员注意到，攻击者使用了私有版本的知名信息窃取恶意软件。DanaBot是一种用Delphi编写的多阶段模块化银行木马，首次出现在2018年，针对多国用户。该恶意软件采用模块化结构，允许操作者添加新功能。在最新一波攻击中，DanaBot将窃取的凭据传输到攻击者控制的服务器，通过RDP登录尝试进行横向移动，并最终尝试部署CACTUS勒索软件。
恶意广告 勒索软件 木马 信息窃取 横向移动 网络犯罪 僵尸网络 模块化恶意软件
0x17 BOOMSLANG（树蚺）移动欺诈家族分析
LianSecurity链安 2023-12-05T08:09:01 © 链安博客
概述经监测，我们截获了一起与未知家族有关的欺诈性 Android 应用传播事件。详细调查发现，该家族主要使用
Android安全 恶意软件分析 源代码分析 网络攻击技术 欺诈行为 反欺诈技术 DNS安全 安全检测与防护
0x18 NAND存储器转储分析 - 使用ECC修复位错误与UBI镜像固件分析
LianSecurity链安 2023-12-05T08:09:01 © 链安博客
这篇研究论文将通过黑客的视角，详细阐述如何操作 NAND dump 以及如何获取 dump 文件中的所有文件
存储安全 固件分析 数据恢复 错误纠正 逆向工程 硬件安全 漏洞研究
0x19 基于污点分析的jsp webshell检测工具-P1
ss0t 战队 2023-12-05T03:35:57 © yulate
基于污点分析的jsp webshell检测工具-P1 by yulate
0x1a Linux RISC-V ISA 扩展支持
泰晓科技 2023-12-04T18:04:10 © 晓泰
本文深入剖析了Linux内核对RISC-V指令集扩展的检测与支持方式。随着RISC-V扩展数量的增加，传统的misa CSR已无法满足需求，因此引入了mconfigptr CSR来指向包含硬件信息的数据结构，用于生成SMBIOS、设备树或ACPI。文章首先介绍了Linux内核如何通过设备树或ACPI获取ISA扩展信息，并解释了内核如何进行合法性检测和设置，例如F和D扩展的绑定关系。接着，文章详细分析了内核中的riscv_fill_hwcap函数，该函数负责填充硬件能力（HWCAP）和ISA扩展信息，并最终输出所支持的ISA扩展。由于elf_hwcap仅有64位，无法满足所有扩展的检测需求，因此Linux内核引入了新的系统调用hw_probe，允许用户空间进行硬件检测。该系统调用支持检测m{arch,imp,vendor}id和少数ISA扩展，未来将支持更多功能。文章最后总结了Linux内核在RISC-V ISA扩展检测方面的进展，并强调了hw_probe系统调用的意义。
0x1b PWN学习之LLVM入门
蚁景网络安全 2023-12-04T17:30:27 © 5ma11wh1t3
本文介绍了PWN（渗透测试）学习中的LLVM入门知识。文章首先概述了基本流程，包括寻找runOnFunction函数的重写位置、逆向工程以编写基本exp、寻找漏洞并编写利用exp.c、生成.ll文件以及将文件输入LLVM。接着，文章提供了生成.ll文件的命令和将文件输入LLVM的命令示例。文章通过具体的例题，如202Redhat simpleVM、CISCN2021 satool和CISCN2023 llvmHELLO，详细讲解了如何利用LLVM进行PWN攻击，包括逆向工程、漏洞利用和攻击技巧。最后，文章鼓励读者投稿原创技术文章，并提供了投稿方式和稿酬信息。
PWN学习 逆向工程 LLVM 缓冲区溢出 信息泄露 漏洞利用 安全研究 编程技巧
0x1c 横向移动之WinRM横向移动
V安全资讯 2023-12-04T11:48:39
本文详细介绍了Windows远程管理（WinRM）的基本概念和配置方法。WinRM是Microsoft对WS-Management协议的实现，它允许通过WSMan与远程计算机建立会话，并使用HTTP/S作为传输机制。文章首先概述了WinRM的配置过程，包括如何通过winrm.cmd quickconfig命令或组策略来快速设置WinRM服务。接着，文章讨论了WinRM的默认端口（5985/TCP和5986/HTTPS）以及支持的身份验证方法（NTLM和Kerberos）。此外，还介绍了如何使用winrs.exe工具执行远程命令，并通过示例展示了如何使用WinRM进行横向移动。文章还涉及了通过Enter-PSSession进行远程连接，以及如何使用WinRM进行命令执行和文件传输。最后，文章提到了一些第三方工具和脚本，如WSMan-WinRM和SharpWSManWinRM，以及如何在Cobalt Strike平台上利用WinRM进行横向移动。
Windows操作系统安全 远程管理安全 WS-Management协议安全 网络扫描与侦测 横向移动攻击 凭证窃取与滥用 加密与认证 漏洞分析与利用 安全工具与脚本 安全策略与配置
0x1d 新型代理病毒——浣熊（Agent Raccoon）对中东、非洲和美国进行了瞄准
黑猫安全 2023-12-04T10:30:20 鹏鹏同学
Unit42研究人员发现了一种名为Agent Raccoon的新型后门，主要针对中东、非洲和美国的多个行业组织。该后门采用.NET编写，利用DNS协议建立隐蔽通信。它与Ntospy和Mimilite工具配合使用，进行凭据窃取和网络间谍活动。攻击者将其伪装成常用软件更新程序，并通过微小修改源代码逃避检测。该后门不具备持久性机制，而是通过计划任务执行。分析显示，其C2基础设施可追溯至2020年，且可能与国家支持的威胁行为者有关，置信度为中等。
后门恶意软件 目标地理分布 行业攻击 .NET开发 DNS隧道 国家支持的网络间谍 伪装技术 代码混淆 IDNA和Punycode 无持久性机制 中等置信度
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
