每周升级布告-2023-05-02

颁布功夫 2023-05-02

新增事务

 

事务名称：

HTTP_提权攻击_Linux可疑号令执行攻击

安全类型：

安全缝隙

事务描述：

号令注入攻击，是指这样一种攻击伎俩，黑客通过把系统号令参与到web要求页面头部信息中，一个恶意黑客以利用这种攻击步骤来犯法获取数据或者网络、系统资源。null

更新功夫：

20230502

 

事务名称：

ICMP_横向移动_内网信息网络_Fscan_1.8.2_ICMP扫描

安全类型：

安全扫描

事务描述：

Fscan是一款使用go说话实现的扫描工具，其占有探测主机存活、网络信息、扫描缝隙、爆破密码、缝隙利用等多种职能，攻击者能够利用该工具对域内资产情况做初步的筛选和梳理，该事务重要检测1.8.2版本中Fscan工具的icmp扫描模式。

更新功夫：

20230502

 

事务名称：

DNS_号令节造_远控后门_Raccoon.Stealer_解析C2域名要求

安全类型：

木马后门

事务描述：

检测到Raccoon.Stealer木马尝试解析C2域名。源IP地点的主机可能被植入了Raccoon.Stealer。

Raccoon也被称为 Mohazo或Racealer，是一个职能壮大的窃密木马。它能够窃取主流浏览器、Cryptocurrency Wallets、Emails等客户端保留的账号密码。

更新功夫：

20230502

 

事务名称：

DNS_号令节造_远控后门_Necurs_C2域名解析要求

安全类型：

木马后门

事务描述：

检测到Necurs 木马尝试解析C2域名。Necurs 僵尸网络于 2012 年初次被发现，它由几百万台受习染的设备组成，一向致力于分发银行恶意软件、加密劫持恶意软件、勒索软件以及每次运行时发送给数百万收件人的各类电子邮件进行诳骗。

更新功夫：

20230502

 

事务名称：

HTTP_其它注入_Apache-solr_服务器要求伪造缝隙[CVE-2017-3164][CNNVD-201902-575]

安全类型：

注入攻击

事务描述：

检测到源IP主机在利用ApacheSolr服务器要求伪造缝隙对主张主机进行攻击的行为。

Apache Solr在 1.3-7.6 版本中的ReplicationHandler类对输入数据数据处置不当，存在服务器要求伪造缝隙。机关恶意要求，能够探测服务器资源，进而攻击服务器内网。

更新功夫：

20230502

 

事务名称：

HTTP_缝隙利用_Apache-Solr_信息泄露[CVE-2021-44548]

安全类型：

CGI攻击

事务描述：

检测到源IP主机在利用Apache Solr 信息泄露缝隙对主张主机进行攻击的行为。

ApacheSolr是一个开源的搜索服务，使用Java编写、运行在Servlet容器的一个独立的全文搜索服务器，是ApacheLucene项主张开源企业搜索平台。该缝隙影响了8.11.1之前的所有Apache Solr版本（仅影响Windows平台）。Apache Solr的DataImportHandler中存在一个不正确的输入验证缝隙，可利用Windows UNC蹊径从Solr主机挪用网络上的另一台主机的SMB服务，或导致SMB攻击，从而造成敏感数据泄露。

更新功夫：

20230502

 

事务名称：

TCP_木马后门_Gh0st.SQ_衔接C2服务器

安全类型：

木马后门

事务描述：

检测到远控后门试图衔接远程服务器。源IP地点的主机可能被植入了远控后门Gh0st.SQ。Gh0st.SQ是一款基于Gh0st源码魔改的远控后门，运行后能够齐全节造被植入机械。通过供给链攻击的大局进行传布，攻击者伪造高仿的软件下载页面，并在各大搜索引擎投放告白，疏导用户下载装置绑缚远程节造木马的恶意装置包。

更新功夫：

20230502

 

批改事务

 

事务名称：

HTTP_僵尸网络_Andromeda_衔接

安全类型：

木马后门

事务描述：

检测到僵尸网络Andromeda试图衔接远程服务器，源IP地点的主机可能被植入了Andromeda。Andromeda是一个�？榛慕┦�，最原始的文件仅蕴含一个加载器。运行期间，会从C&C服务器下载各类�？�，同时也拥有反虚构机和反调试的职能。

更新功夫：

20230502

 

事务名称：

HTTP_缝隙利用_号令执行_Apache_Solr_RunExecutableListener[CVE-2017-12629][CNNVD-201710-501]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用ApacheSolrsolr远程号令执行缝隙对主张主机进行攻击的行为。ApacheSolr是Apache开发的一个开源的基于Lucene的全文搜索服务器。其集中的配置步骤（config蹊径）能够增长和批改监听器，通过RunExecutableListener执行肆意系统号令。

更新功夫：

20230502

 

事务名称：

HTTP_Apache_Solr远程反序列化代码执行缝隙[CVE-2019-0192][CNNVD-201903-229]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Apache Solr远程反序列化代码执行缝隙对主张主机进行攻击的行为。

Apache Solr是一个开源的搜索服务器。Solr使用Java说话开发，重要基于HTTP和 Apache Lucene实现。Apache Solr solr.RunExecutableListener类存在远程代码执行缝隙，攻击者向网站发送精心机关的攻击payload，攻击成功能够远程执行肆意号令，进而节造服务器。

通过挪用Config API批改jmx.serviceUrl属性指向恶意的RMI服务，导致Apache Solr出现远程反序列化代码执行的安全缝隙。

尝试进行肆意文件读取，窃取敏感信息。

更新功夫：

20230502


事务名称：

HTTP_提权攻击_Apache_Solr_Velocity_远程代码执行[CVE-2020-13957]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用Apache_Solr_Velocity远程代码执行缝隙攻击主张IP主机的行为攻击成功，可远程执行肆意代码。

更新功夫：

20230502

 

事务名称：

HTTP_提权攻击_Apache_Solr_远程代码执行缝隙[CVE-2019-17558][CNNVD-201912-1225]

安全类型：

安全缝隙

事务描述：

检测到源IP主机在利用ApacheSolrVelocityResponseWriter远程代码执行缝隙对主张主机进行攻击的行为。ApacheSolr是美国阿帕奇（Apache）软件基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器。该产品支持层面搜索、垂直搜索、高亮显示搜索了局等。ApacheSolr5.0.0版本至8.3.1版本中存在输入验证谬误缝隙。该缝隙源于网络系统或产品未对输入的数据进行正确的验证。攻击者向网站发送精心机关的攻击payload，攻击成功能够远程执行肆意号令，进而节造服务器。尝试进行肆意文件读取，窃取敏感信息。

更新功夫：

20230502

 

事务名称：

HTTP_安全缝隙_ToTolink_N600R路由器_Exportovpn_未授权号令注入

安全类型：

安全缝隙

事务描述：

检测到源IP主机正试图通过ToTolinkN600R路由器Exportovpn号令注入缝隙攻击主张IP主机。在ToTolinkN600R路由器的cstecgi.cgi文件中，exportovpn接口存在号令注入，攻击者可借此未验证远程执行恶意号令。

更新功夫：

20230502

 

事务名称：

HTTP_Apache_Solr_SSRF缝隙[CVE-2021-27905]

安全类型：

注入攻击

事务描述：

ApacheSolr是一个开源的搜索服务，使用Java编写、运行在Servlet容器的一个独立的全文搜索服务器，是ApacheLucene项主张开源企业搜索平台。该缝隙是由于没有对输入的内容进行校验，攻击者可利用该缝隙在未授权的情况下，机关恶意数据执行SSRF攻击，最终造成肆意读取服务器上的文件。

更新功夫：

20230502


事务名称：

HTTP_提权攻击_Spring_Boot_Actuator_mysqljdbc_远程代码执行

安全类型：

安全缝隙

事务描述：

检测到源ip在利用Actuator的/env接口设置属性将spring.datasource.url设置为表部恶意mysqljdbcurl地址。SpringBootActuator是一款能够援手你监控系统数据的框架,其能够监控好多好多的系统数据,它有对利用系统的自省和监控的集成功能，能够查看利用配置的具体信息。

更新功夫：

20230502

 

事务名称：

HTTP_提权攻击_PHP_imap_号令执行[CVE-2018-19518][CNNVD-201811-666]

安全类型：

安全缝隙

事务描述：

在PHP和其他产品的imap_open（）中使用的UNIX上的华盛顿大学IMAP工具包2007f启动rsh号令（借助于c-client/imap4r1.c中的imap_rimap函数和osdep/unix/tcp_unix中的tcp_aopen函数.c），而不会阻止参数注入，若是IMAP服务器名称是不受信赖的输入（例如，由Web利用法式的用户输入），并且rsh已被拥有分歧参数的法式代替，则远程攻击者可能会执行肆意OS号令语义。例如，若是rsh是ssh的链接（如在Debian和Ubuntu系统上看到的），则攻击能够使用蕴含“-oProxyCommand”参数的IMAP服务器名称。

更新功夫：

20230502

 

事务名称：

TCP_提权攻击_Flask内存马注入_代码执行

安全类型：

安全缝隙

事务描述：

检测到目前主张主机上的Flask服务在盛开了增长路由职能的情况下，受到注入代码执行攻击。Flask是一个使用Python编写的轻量级Web利用框架。其WSGI工具箱选取Werkzeug，模板引擎则使用Jinja2。

更新功夫：

20230502