每周升级布告-2023-05-30

颁布功夫 2023-05-30

新增事务

 

事务名称：

HTTP_注入攻击_E-Cology_detail_LoginSSO_SQL注入[CNVD-2021-33202]

安全类型：

注入攻击

事务描述：

检测到攻击在利用泛微OAE-Cology_detail_LoginSSO前台sql注入执行缝隙,泛微detail."107" valign="center" style="padding: 0px 7px; border-left-width: 1px; border-left-color: windowtext; border-right-width: 1px; border-right-color: windowtext; border-top: none; border-bottom-width: 1px; border-bottom-color: windowtext; background: rgb(255, 255, 255);">

更新功夫：

20230530

 

事务名称：

DNS_号令节造_远控后门_Patchwork.Badnews_域名解析要求

安全类型：

木马后门

事务描述：

检测到Patchwork(白象)木马后门BADNEWS域名解析要求。源IP地点的主机可能被植入了BADNEWS木马。“白象”别名“Patchwork”，“摩诃草”，疑似来自南亚某国，自2012年以来持续针对中国、巴基斯坦等国进行网络攻击，持久窃取指标国度的科延注军事资料。BADNEWS木马是一个职能极度壮大的后门，运行后，允许攻击者齐全节造被植入机械。

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_文件上传_MetInfo

安全类型：

安全缝隙

事务描述：

MetInfo企业建站系统选取PHP+Mysql架构，是一款对SEO极度敦睦、职能全面、安全不变、支持多终端展示并且使用起来极其单一的企业建站软件。用户能够在不必要任何编程的基础上，通过单一的设置和装置就可能在互联网搭建独立的企业网站，可能极大的降低企业建站成本。Metinfo在低版本的PHP环境下存在肆意文件上传缝隙，攻击者可通过该缝隙节造使用此法式的服务器。

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_文件上传_�？低觟VMS综合安防_文件上传

安全类型：

安全缝隙

事务描述：

�？低�iVMS某接口存在肆意文件上传缝隙 共同正确的token值可直接获取服务器权限

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_文件上传_�？低幼酆习卜纁enter_文件上传

安全类型：

安全缝隙

事务描述：

HIKVISION Center综合安防治理平台是一套“集成化”、“智能化”的平台。�？低幼酆习卜纁enter某接口存在肆意文件上传缝隙，攻击者可通过该接口进行肆意文件上传，造成getshell。

更新功夫：

20230530

 

事务名称：

HTTP_安全扫描_masscan扫描器

安全类型：

安全扫描

事务描述：

检测到源IP设备在使用masscan扫描器对主张IP设备进行扫描；masscan的扫描了局类似于nmap(一个很驰名的端口扫描器)，在内部，它更像scanrand,unicornscan,andZMap，选取了异步传输的方式。它和这些扫描器最重要的区别是，它比这些扫描器更快。并且，masscan越发矫捷，它允许自界说肆意的地址范和端口领域。

更新功夫：

20230530

 

事务名称：

TCP_Oracle_WebLogic_反序列化缝隙[CVE-2019-2725/CVE-2019-2729]

安全类型：

安全缝隙

事务描述：

检测到源IP利用weblogic反序列化缝隙进行攻击的行为，WebLogic是一个基于JAVAEE架构的中央件，用于开发、集成、部署和治理大型散布式Web利用、网络利用和数据库利用的Java利用服务器。部门版本WebLogic中默认蕴含的wls9_async_response包，为WebLogic Server提供异步通佩服务。由于该WAR包在反序列化处置输入信息时存在缺点，攻击者能够发送精心机关的恶意 HTTP 要求，获得指标服务器的权限，在未授权的情况下远程执行号令。

更新功夫：

20230530

 

批改事务

 

事务名称：

HTTP_木马后门_webshell_china_chopper_customize节造号令

安全类型：

木马后门

事务描述：

该事务批注源IP地址主机上的中国菜刀客户端正在向主张IP地址主机上的webshell服务器端发出节造号令。webshell是web入侵的剧本攻击工具。单一说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，时时将这些asp或php等木马后门文件搁置在网站服务器的web目录中，与正常的网页文件混在一路。而后攻击者就能够用web的方式，通过该木马后门节造网站服务器，蕴含上传下载文件、查看数据库、执行肆意法式号令等。webshell能够穿越防火墙，由于与被节造的服务器或远程主机互换的数据都是通过80端口传递的，因而不会被防火墙拦截。并且使用webshell通常不会在系统日志中留下纪录，只会在网站的web日志中留下一些数据提交纪录，治理员较难看出入侵痕迹。攻击者可远程节造被上传webshell主机执行肆意操作。

更新功夫：

20230530

 

事务名称：

TCP_后门_ircBot_衔接(扫描)

安全类型：

安全扫描

事务描述：

检测到源IP主机在对主张IP主机进行扫描。ircBot是基于irc和谈的僵尸网络，重要职能是对指定指标主机提议DDoS攻击。本事务报警不是真实攻击，仅仅意味着源IP主机在对主张IP主机进行扫描。源IP通常属于Shodan扫描主机，主张IP是客户主机。源IP主机仿照ircBot样本向主张IP主机发奉上线报文，若是收到进展的返回数据，即以为主张IP主机上运行着ircBot节造端，是ircBot的C&C服务器。Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan表，其它一些威胁谍报公司的IP主机也在进行着这种扫描。源IP主机在对主张IP主机进行扫描。

更新功夫：

20230530

 

事务名称：

TCP_可疑行为_SSF代理工具_TLS衔接

安全类型：

木马后门

事务描述：

检测到SSF代理工具衔接服务器，主张地址主机在使用SSF代理工具。SecureSocketFunneling（SSF）是一种网络代理工具。它提供单一有效的方式，将多个sockets（TCP或UDP）的数据通过单个安全TLS链接转发到远程推算机。

更新功夫：

20230530

 

事务名称：

TCP_木马后门_CobaltStrike_HttpsBeacon_TLS衔接

安全类型：

木马后门

事务描述：

检测到由黑客工具CobaltStrike天生的后门Beacon试图衔接远程服务器,源IP地点的主机可能被植入了CobaltStrike.Beacon。CobaltStrike.Beacon执行后攻击者可利用CobaltStrike齐全节造受害机械，并进行横向移动。CobatStrike是一款基于java编写的全平台多方协同后渗入攻击框架。CobaltStrike集成了端口转发、端口扫描、socket代理、提权、垂钓、远控木马等职能。该工具险些覆盖了APT攻击链中所必要用到的各个技术环节，深受黑客们的喜欢。

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_XXL_JOB_未授权接见远程号令执行

安全类型：

安全缝隙

事务描述：

XXL-JOB是一个轻量级散布式工作调度平台。默认情况下XXL-JOB的RestfulAPI接口或RPC接口没有配置认证措施，未授权的攻击者可机关恶意要求，造成远程执行号令，直接节造服务器。

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_文件上传_ActiveMQ[CVE-2016-3088][CNNVD-201605-596]

安全类型：

安全缝隙

事务描述：

ActiveMQ 是 Apache 软件基金会下的一个开源新闻驱动中央件软件。Jetty 是一个开源的 servlet 容器，它为基于 Java 的 web 容器，例如 "107" valign="center" style="padding: 0px 7px; border-left-width: 1px; border-left-color: windowtext; border-right-width: 1px; border-right-color: windowtext; border-top: none; border-bottom-width: 1px; border-bottom-color: windowtext; background: rgb(255, 255, 255);">

更新功夫：

20230530

 

事务名称：

HTTP_缝隙利用_号令执行_亿邮电子邮件系统

安全类型：

安全缝隙

事务描述：

检测到源ip主机在利用亿邮电子邮件系统通过批改cookie在主张ip主机执行远程代码执行操作，亿邮电子邮件系统是由北京亿中邮信息技术有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、当局、高校用户的国产邮件系统。亿邮电子邮件系统选取了自主研发MTA引擎、散布式文件系统存储方式、多对列机造、ECS存储子系统、Cache系统等多项主题技术，提供了丰硕的邮件职能。

更新功夫：

20230530

 

事务名称：

HTTP_文件操作攻击_Zimbra_文件上传[CVE-2022-27925][CVE-2022-37042][CNNVD-202204-3909]

安全类型：

安全缝隙

事务描述：

ZimbraCollaborationSuite(ZCS)8.8.15和9.0拥有mboximport职能，可接管ZIP存档并从中提取文件。通过绕过身份验证（即没有身份验证令牌），攻击者能够将肆意文件上传到系统，从而导致目录遍历和远程代码执行。

更新功夫：

20230530

 

事务名称：

HTTP_提权攻击_YouPHPTube_Encoder_号令执行[CVE-2019-5127]

安全类型：

安全缝隙

事务描述：

YouPHPTubeEncoder是YouPHPTube的编码器插件，该插件可在YouPHPTube中提供编码器职能。使用者在自己的服务器上装置并使用YouPHPTubeEncoder以取代第三方公共编码器服务器，能够更急剧便捷的编码自己的视频，并且还能够使用私有方式对自己的视频进行编码。在YouPHPTubeEncoder2.3中，存在无需身份验证的号令注入缝隙。攻击者能够发送蕴含特定参数的Web要求来触发这些缝隙。

更新功夫：

20230530

 

事务名称：

HTTP_提权攻击_fuelCMS_1.4.1_代码执行[CVE-2018-16763]

安全类型：

安全缝隙

事务描述：

FUELCMS是一款基于CodeIgniter的内容治理系统。其1.4.1版本存在缝隙，允许通过pages/select/执行php代码，这可能会导致远程代码执行。

更新功夫：

20230530

 

事务名称：

DNS_木马_Kryptik远控木马_C2域名解析要求

安全类型：

木马后门

事务描述：

Kryptik远控木马也称为 Krypt、Cryptic、Crypt。Kryptik远控木马能够窃取各类利用法式和服务的电子邮件地址、剪贴板数据、用户名和密码等信息，此表，Kryptik 能够窃取数字证书和有关密码、接见网站的 URL、POP3 和 IMAP帐户信息、推算机名称和用户名、操作系统版本以及 Outlook Express帐户数据，还能够捕获屏幕截图、纪录击键、关关或沉新启动受习染的推算机并在其上运行可执行文件。

该事务批注源IP主机习染了Kryptik远控木马，在要求解析C&C域名而后进行衔接。

更新功夫：

20230530

 

事务名称：

HTTP_安全风险_可疑.NET反序列化数据

安全类型：

可疑行为

事务描述：

检测到源IP主机在对可能存在.NET反序列化缝隙的页面发送可疑反序列化数据攻击者可提交精心机关的反序列化数据来利用此缝隙。成功利用此缝隙的攻击者可执行肆意代码。攻击者能够齐全节造指标主机

更新功夫：

20230530

 

事务名称：

DNS_可疑行为_interact_带表查问

安全类型：

CGI攻击

事务描述：

interact.sh是interact.sh工具配套的DNSLog平台，可能对发送从前的DNS要求进行纪录。时时被攻击者用于传输执行号令了局的回显。

更新功夫：

20230530