2022年第13周微信公众号精选安全技术文章总览

洞见网安 2022-3-28

0x1 GitLab 发布严重漏洞补丁，该漏洞可能让攻击者劫持帐户

黑猫安全 2022-04-03T22:44:30 鹏鹏同学

GitLab近期发布了针对一个关键安全漏洞的补丁，该漏洞被追踪为CVE-2022-1162，具有9.1的CVSS评分。该漏洞存在于GitLab CE/EE版本14.7之前的14.7、14.8.5之前的14.8和14.9.2之前的14.9中，由于在OmniAuth提供商（如OAuth、LDAP、SAML）中使用了硬编码密码，攻击者可能利用此漏洞接管用户账户。GitLab通过发布14.9.2、14.8.5和14.7.7版本来解决此问题，并采取了重置部分用户密码的措施。此外，GitLab还发布了一个脚本，帮助管理员识别可能受影响的账户，并建议重置密码。在安全更新中，GitLab还修复了两个高严重性的XSS漏洞（CVE-2022-1175和CVE-2022-1190）以及多个中低严重性缺陷。鉴于问题的严重性，强烈建议受影响的用户尽快升级到最新版本。

漏洞补丁账户劫持内部发现硬编码密码密码重置跨站点脚本（XSS）安全更新版本升级

0x2 渗透小技巧之sqlmap js加密tamper编写

玉兔安全 2022-04-03T13:45:08

本文主要介绍了如何使用sqlmap工具的tamper模块来编写自定义的JavaScript加密Tamper脚本，以绕过只接受编码后数据的Web应用。文章首先介绍了准备阶段，包括使用tamper模块、查找加密算法以及使用js2py库来调用JavaScript代码。接着，详细解释了如何编写Tamper脚本，包括调用外部JavaScript文件、处理多函数JavaScript文件以及处理存在注入的参数。文章还提供了一个具体的Tamper脚本示例，并展示了如何使用sqlmap执行测试。最后，作者强调了内容的使用范围，即仅用于网络安全爱好者的技术讨论，并警告禁止用于非法途径。

SQL注入 JavaScript加密 Tamper脚本渗透测试 Python脚本编码绕过

0x3 安卓密码窃取恶意软件感染10万谷歌Play用户【密码工程】

水网火安 2022-04-02T21:54:55

近日，谷歌Play Store被曝出存在一个下载量超过100万次的恶意应用程序。该应用程序名为“Facestealer”，被嵌入安卓特洛伊木马恶意软件。该恶意软件通过诱骗用户输入Facebook凭据，将这些凭据传输到俄罗斯注册的服务器。安全公司Pradeo的研究人员指出，如果用户添加了他们的凭据，应用程序制造商将能够完全访问受害者的Facebook账户，包括信用卡信息、对话和搜索记录。这一事件突显了移动应用平台在恶意软件检测和过滤方面的重要性，以及用户隐私数据保护面临的严重威胁。

恶意软件密码窃取安卓安全移动安全数据泄露网络攻击隐私保护谷歌Play Store安全

0x4 Spring FrameWork RCE分析

九指的安全笔记 2022-04-02T12:46:54 ninefiger@深蓝

本文详细分析了Spring框架在参数绑定过程中出现的一个安全漏洞。文章首先介绍了Spring框架的基本运行流程，包括参数绑定流程中的关键组件如Handler、Dispatcher、Mapping、Adapter和Argument。接着，文章深入分析了参数绑定过程中的细节，特别是对于参数名的分割处理和参数绑定的意外情况进行了详细的调试和分析。文章揭示了Spring在处理参数绑定时，对于正常参数和特殊参数（如x.x=aaa）的不同处理方式，以及如何通过这些差异来利用漏洞。文章还探讨了JDK与Bypass的关系，以及如何利用JDK9+的新特性来绕过CVE-2010-1622漏洞。最后，文章介绍了如何构造利用链，包括如何通过Spring Boot中的参数绑定来获取应用程序类加载器，以及如何利用AccessLogValve来触发日志写入操作，最终实现WebShell的写入。

Spring框架安全 Java安全参数绑定漏洞代码审计漏洞利用 JDK安全特性 Tomcat安全 Web应用安全

0x5 THM｜Kenobi 「利用Samba+ProFtpd提权」

航安全 2022-04-02T12:30:19 © AKAHRZ

本文详细介绍了在TRY HACK ME平台上的Kenobi房间中，如何利用Samba和ProFtpd的漏洞进行渗透测试，最终实现权限提升至root。文章首先概述了靶场环境和任务目标，接着分步骤讲解了如何使用nmap扫描端口、枚举Samba共享、发现ProFtpd版本漏洞、利用SITE命令复制私钥以及通过SUID二进制文件获取root权限。过程中，作者提供了详细的命令和操作截图，并对每个步骤中可能遇到的问题进行了说明。文章最后，作者对整个靶场进行了小结，鼓励初学者在面对复杂细节时保持耐心，多次实践以掌握技能。

渗透测试 Samba漏洞利用 ProFtpd漏洞利用权限提升网络扫描与枚举 SSH密钥利用路径变量操作 CTF/靶场练习

0x6 罗克韦尔 PLC 中的关键漏洞可能允许黑客植入恶意代码

黑猫安全 2022-04-02T09:53:11 鹏鹏同学

罗克韦尔自动化旗下的可编程逻辑控制器（PLC）以及相关工程工作站软件中发现了两个高危安全漏洞，分别编号为CVE-2022-1161和CVE-2022-1159，由运营技术安全公司Claroty披露。前者CVSS评分为10.0，允许远程攻击者在PLC内存中写入与实际执行代码不同的文本代码；后者评分为7.7，涉及Studio 5000 Logix Designer应用程序中的漏洞，使得拥有管理权限的攻击者能够在编译过程中注入恶意代码。这两个漏洞均能导致攻击者在未被察觉的情况下修改自动化流程，并对工业操作产生影响，甚至可能造成物理损坏，类似Stuxnet和Rogue7攻击的影响。受影响的控制系统包括ControlLogix、CompactLogix以及GuardLogix。由于这些漏洞可能导致严重的安全风险，美国网络安全和基础设施安全局（CISA）已发布通告，指导用户采取相应的缓解措施来实施纵深防御策略。

工业控制系统安全安全漏洞远程代码执行权限提升恶意代码植入物理损害风险供应链安全 CISA建议

0x7 【安全公告】Spring Framwork远程命令执行漏洞预警

聚铭网络 2022-04-02T00:00:00 © 聚铭安全研究院

3月29日，Spring框架曝出框架远程命令执行漏洞，攻击者利用该漏洞，可在未授权的情况下远程执行

0x8 【快速无损检测方案】Spring框架最新RCE漏洞

非凡安全 2022-04-01T20:11:17 HelloWorld实验室

非凡安全OKSOP、幻影、镜观、OKSCAN全线产品均支持Spring框架最新RCE漏洞的快速无损检测

0x9 【漏洞分析】Spring远程代码执行漏洞解决方案

安博通 2022-04-01T16:44:18 © 安博通

干货！安博通对漏洞排查\x26amp;处置建议的全面分析

0xa CVE-2021-42287、CVE-2021-42278域内提权

不想搞安全 2022-04-01T10:16:53 舍名智

CVE-2021-42287、CVE-2021-42278域内提权

0xb Spring Framework远程代码执行漏洞(CVE-2022-22965)风险提示

安恒信息CERT 2022-03-31T21:39:01 ©

本文详细介绍了Spring Framework的远程代码执行漏洞（CVE-2022-22965）的相关信息。该漏洞允许攻击者在满足特定条件（使用JDK>=9且使用Spring框架）的情况下远程执行代码。文章提供了漏洞的影响范围、漏洞利用情况和官方发布的补丁信息。同时，还介绍了如何进行漏洞自查，包括排查项目是否使用了Spring框架以及使用的JDK版本。此外，文章还提供了临时缓解措施和安恒信息相关产品的防护方案，包括如何升级这些产品以防御该漏洞。

远程代码执行 Spring框架 Java 软件漏洞安全补丁漏洞利用安全防护安全公告

0xc 恒安嘉新云眼 | BotenaGo僵尸网络漏洞特征

EversecTechInc 2022-03-31T20:48:28

2021年11月，一个新的感染了多个物联网设备的恶意软件在互联网上被披露，这个恶意软件与Mirai非常相似，

0xd CVE-2021-22825：施耐德电气/APC AP7920B CSRF漏洞分析

安帝Andisec 2022-03-31T12:00:58 VulEye-ReM

施耐德电气/APC AP7920B PDU设备存在CVE-2021-22825 CSRF漏洞，影响多个版本。攻击者通过诱导特权用户点击恶意链接，可获取提升的权限访问系统。漏洞源于设备未对敏感信息进行充分保护，如外部链接缺少'rel="noreferrer"'属性，导致HTTP Referer标头可能泄露用户会话令牌。插座用户可创建后门账户，提升权限。建议更新固件至安全版本，并添加'rel="noreferrer"'属性及限制性Referrer-Policy标头以缓解风险。

设备安全漏洞分析 CSRF漏洞工业控制系统安全固件更新威胁情报

0xe WiFi爆破学习记录

Linux网络安全 2022-03-31T11:30:00

本文详细记录了一位网络安全学习者在没有WiFi的情况下，通过Kali Linux虚拟机进行WiFi破解的学习过程。文章首先介绍了实验环境，包括台式机、Kali虚拟机和无线网卡。接着，作者详细描述了实验步骤，包括无线网卡配置、握手包抓取和密码爆破的过程。在握手包抓取部分，作者使用airmon-ng和airodump-ng工具进行无线信号监测和握手包捕获，并通过aireplay-ng进行干扰以获取握手包。在密码爆破部分，作者尝试使用aircrack-ng工具进行密码破解，但由于密码字典不够强大，未能成功破解。文章最后，作者总结了实验过程中的学习心得，并提到了使用GPU加速的hashcat工具和EWSA工具，但由于硬件限制，未能体验其加速效果。

无线网络安全网络安全工具密码破解 WiFi安全测试 Kali Linux 实验记录

0xf HTB靶机4-Blue-WriteUp

X的碎碎念 2022-03-31T10:10:00 © Xavier

HackTheBox-Granny-WriteUp; 扫描、WebDAV上传shell、提权。

0x10 SpringCore RCE 1day漏洞复现(NSSCTF Spring Core RCE)

sec0nd安全 2022-03-31T09:44:14 © web菜鸡

本文详细介绍了SpringCore RCE（远程代码执行）漏洞的描述、影响范围、复现过程以及解决方案。SpringCore RCE漏洞存在于Spring框架的JDK9及以上版本中，攻击者可以通过构造特定的class对象链，修改Tomcat日志配置，向日志中写入shell脚本，从而获得系统权限。该漏洞的影响范围较广，包括使用JDK9及以上版本的Spring MVC框架的应用。文章提供了两种临时解决方案：一是通过WAF（Web应用防火墙）实施临时策略进行过滤；二是通过添加全局类来限制某些字段，从而减少漏洞风险。同时，文章提醒用户警惕Spring core RCE漏洞的POC和EXP钓鱼攻击，并建议等待官方补丁发布。

Java框架安全远程代码执行漏洞复现安全应急响应 WAF防护钓鱼攻击安全意识 DNS安全漏洞利用

0x11 【漏洞通告】VMware vCenter Server信息泄露漏洞(CVE-2022-22948)

金瀚信安 2022-03-30T15:35:32 信息安全服务商

0x00 漏洞概述0x01 漏洞详情VMware vCenter Server 是一款高级服务器管理软件，提

0x12 Spring RCE 0day高危漏洞预警

黑猫安全 2022-03-30T12:29:35 鹏鹏同学

2022年3月29日，Spring框架曝出RCE 0day漏洞，该漏洞源于SerializationUtils#deserialize的Java序列化机制，可能导致远程代码执行。JDK9及以上版本可能受到影响。漏洞利用可能导致远程攻击。Spring框架是开放源代码的J2EE应用程序框架，提供强大的IOC、AOP及Web MVC等功能。该漏洞影响sparkcore 3.1.2和3.2.1版本。漏洞描述为当spark任务的文件名可控时，Utils.unpack采用命令拼接的方式对tar文件进行解压，存在任意命令注入的风险，源于Hadoop中unTar函数未正确转义文件名。目前，Apache Spark官方已提交修复补丁，用户需及时安装补丁更新。

远程代码执行高危漏洞 Spring框架命令注入 Apache Spark Java序列化

0x13 处于有效利用状态下的关键 Sophos 防火墙 RCE 漏洞

黑猫安全 2022-03-30T12:29:35 鹏鹏同学

网络安全公司Sophos发布警告，其防火墙产品中存在的一个高危安全漏洞（CVE-2022-1040）正在被现实世界中的攻击者积极利用。该漏洞在CVSS评分系统上得分为9.8，影响Sophos防火墙版本18.5 MR3及之前的所有版本。此漏洞与用户门户和Webadmin界面的身份验证绕过有关，一旦被远程攻击者利用，可能导致任意代码执行。Sophos发现该漏洞主要在南亚地区被用来针对一小部分特定组织，并已向受影响的组织发出通知。此漏洞已被包含在自动更新的补丁中，该补丁为启用了“允许自动安装修补程序”的用户提供了解决方案。作为临时措施，建议用户禁用WAN对用户门户和Webadmin界面的访问。此外，Sophos还发布了生命周期终止版本，包括17.5 MR12至MR15、18.0 MR3和MR4以及18.5 GA版本，强调了问题的严重性。使用旧版本Sophos防火墙的用户需要进行升级以获取最新保护和修复此漏洞。

漏洞利用远程代码执行安全补丁安全建议版本升级

0x14 [安洵杯 2019]吹着贝斯扫二维码

DarkZone 2022-03-30T00:15:25 plat0

本文介绍了一道名为'[安洵杯 2019]吹着贝斯扫二维码'的网络安全题目。题目要求通过转换和还原二维码内容来获取flag。解题步骤包括下载并解压文件，使用bat脚本修改文件后缀，然后使用ps软件还原二维码。二维码内容经过base32、十六进制、rot13、base85、base64和base85的转换后，得到明文。最后，使用rot13解密网站解密得到密码，并使用该密码解压zip文件获取flag。题目考察了二维码的拼凑和编码转换等网络安全知识。

逆向工程文件格式解析密码学二进制分析网络安全挑战漏洞利用恶意软件分析

0x15 Python安全开发 | PHPstudy后门检测EXP编写

天策安全技术联盟 2022-03-29T19:00:00 © VIP内部学员投稿

该文章主要介绍了如何利用Python编写EXP（探索性程序）来检测并利用PHPstudy中存在的后门漏洞。首先，文章提到了一个学习社区的信息和加入方式，以及一些免费资源的获取途径。接着，介绍了Python3环境下httpx和base64模块的基本用途与安装方法。httpx是一个功能全面的HTTP客户端，支持同步和异步API，适用于HTTP/1.1和HTTP/2协议；base64则是一种常见的二进制数据编码方法，Python内置库可以直接进行编解码操作。文章的核心在于演示如何通过构造特定的HTTP请求头来触发PHPstudy后门中预设的漏洞，从而执行任意命令。漏洞利用的关键点在于后门程序会对接收到的特定格式Accept-Encoding和Accept-Charset头进行处理，通过base64解码后执行其中的代码。文章提供了完整的Python脚本示例，展示了如何构建请求包并执行命令。需要注意的是，作者强调了仅应在授权情况下使用此类工具，并提供了免责声明。

漏洞利用后门检测安全开发 Python编程 HTTP客户端 Base64编码系统命令执行

0x16 数百万三星安卓手机带有加密缺陷【密码工程】

水网火安 2022-03-29T10:27:59

近日，Tel-Aviv University的研究人员发现三星多款安卓手机存在严重的数据加密设计缺陷。这些缺陷可能允许攻击者窃取手机的硬件加密密钥，并获取包括敏感数据在内的手机信息。受影响的设备包括Galaxy S8、S9、S10、S20和S21系列。研究人员揭示了AES-GCM的IV重用攻击和“downgrade”攻击，这些攻击能够提取硬件保护的密钥材料。此外，攻击者还可以绕过FIDO2 WebAuthn登录和谷歌的安全密钥导入。这一发现突显了智能手机在安全关键任务中的脆弱性，以及设计和实现细节在密码系统中的重要性。

加密缺陷硬件安全逆向工程 Android安全 IV重用攻击 FIDO2安全漏洞移动支付安全企业安全开源标准

0x17 黑客劫持未修补的 Exchange 服务器上的电子邮件回复链以传播恶意软件

黑猫安全 2022-03-29T10:01:16 鹏鹏同学

一份由以色列公司Intezer发布的报告显示，一种新的电子邮件网络钓鱼活动正在利用未修补的Microsoft Exchange服务器进行对话劫持，以传播IcedID信息窃取恶意软件。该活动主要通过伪造先前被盗邮件的回复来增加钓鱼邮件的可信度，从而提高感染率。此次攻击在2022年3月中旬被发现，主要针对能源、医疗保健、法律和制药行业。IcedID是一种银行木马，现已演变为复杂威胁的入口点，包括勒索软件和Cobalt Strike对抗模拟工具。它能连接远程服务器下载后续阶段的植入物和工具，帮助攻击者在网络中横向移动。自2021年起，IcedID的传播策略已从利用网站联系表单转向易受攻击的Exchange服务器，以及从使用Office文档转变为使用ISO文件中的LNK和DLL文件，以此绕过安全检测。这种对话劫持技术通过在现有邮件线程中发送虚假回复，使得钓鱼邮件显得更为合法，从而提高了成功率。

电子邮件钓鱼攻击未修补的Microsoft Exchange服务器 IcedID信息窃取恶意软件社交工程多阶段攻击安全漏洞利用 ISO文件滥用

0x18 四步升至域管权限，Windows域提权漏洞需防护！

聚铭网络 2022-03-28T17:45:27 J博士

MS14-068漏洞可谓是威力无穷，在域渗透中，第一步就是应该检测域控是否有这个漏洞，一旦域控没有打上这个补

漏洞分析权限提升 Kerberos安全内网渗透测试 Windows域环境补丁管理异常流量检测

0x19 熊海CMS简单审计 | 40期

道格安全 2022-03-28T12:00:51 © Ho1L0w-By

本文章主要面向于想要入门代码审计的新手，主要内容是使用Seay审计工具，以及人工审计对于熊海CMS的一次分析。

0x1a 西部数据解决了My Cloud OS 5中的一个关键错误

黑猫安全 2022-03-28T10:12:45 鹏鹏同学

西部数据（Western Digital）解决了其My Cloud OS 5设备中存在的一项严重漏洞（CVE-2021-44142），该漏洞可能允许攻击者以root权限远程执行代码。受影响的设备包括My Cloud PR2100、PR4100、EX4100、EX2 Ultra、Mirror Gen 2、DL2100、DL4100、EX2100及WD Cloud等型号。此漏洞源于Samba软件包中的vfs_fruit模块，在处理文件的扩展属性（EA）元数据时存在越界堆读/写错误。若未经身份验证的用户能对文件扩展属性进行写入，则可能会被利用。此漏洞由DEVCORE的研究员Orange Tsai发现，并通过移除VFS模块中的"fruit"组件及调整EA支持配置得以修复。此外，西部数据也在同一更新中修复了Netatalk Apple File Protocol文件服务器中的另一严重漏洞。西部数据在2022年3月23日发布的My Cloud OS 5固件版本5.21.104中，包含了对上述问题的修复措施。

漏洞修复远程代码执行 Samba漏洞 VFS模块扩展属性（EA）安全通报固件更新

0x1b Sophos 防火墙受严重身份验证绕过漏洞的影响