2022年 第25周 微信公众号精选安全技术文章总览
洞见网安 2022-6-20
0x1 【扩展知识面】Jboss漏洞复现
小惜渗透 2022-06-26T12:29:44 小惜渗透
image-20220626122824603【扩展知识面】Jboss漏洞复现1. JBoss介绍长话短说，
0x2 【漏洞复现】CVE-2022-1996 go-restful access control bypass
御林安全 2022-06-25T18:26:29
本文介绍了一个存在于go-restful框架中的访问控制绕过漏洞，该漏洞编号为CVE-2022-1996，影响版本低于3.8.0。go-restful是一个流行的Go语言Web框架，GitHub上拥有4.5k个星标。漏洞存在于cors_filter.go文件中，该文件负责CORS校验。由于在校验域名时使用了正则匹配，导致黑名单绕过问题，即任何包含白名单字符串的域名都能通过校验，例如whitelist.com.evil.com。文章强调，本文内容仅供学习交流，使用者需自行承担因传播利用相关技术造成的不良后果。如需转载，需注明出处且不得随意删改内容。文章还提供了修复建议，即进行更严格的匹配，并附上了参考链接。
访问控制绕过 Go语言安全 CORS漏洞 正则表达式漏洞 GitHub开源项目 漏洞复现
0x3 Spring Data MongoDB SpEL表达式注入漏洞风险提示（CVE-2022-22980）
安恒信息CERT 2022-06-24T22:04:31
近日，VMware官方发布安全公告，指出Spring Data MongoDB存在一处SpEL表达式注入漏洞（CVE-2022-22980）。该漏洞允许未经身份验证的攻击者通过构造恶意数据执行远程代码，从而获取服务器权限。受影响版本包括3.4.0至3.3.4，而安全版本为3.4.1及以上。Spring Data MongoDB是一款为MongoDB提供基于Spring编程模型的数据存储解决方案。漏洞源于在使用@Query或@Aggregation注解进行查询时，若未对用户输入进行过滤处理，则可能受到SpEL表达式注入攻击。官方已发布修复该漏洞的更新版本，建议用户尽快升级。同时，安恒信息的多款防护类产品已集成对该漏洞的检测和防护能力。
Spring框架漏洞 MongoDB安全 SpEL表达式注入 远程代码执行 CVE编号 安全公告 漏洞修复 版本更新 网络安全防护
0x4 Oracle JDeveloper ADF Faces 远程代码执行漏洞风险提示（CVE-2022-21445）
安恒信息CERT 2022-06-24T22:04:31
近日，Oracle JDeveloper ADF Faces 被发现存在一个远程代码执行漏洞（CVE-2022-21445），该漏洞允许未经身份验证的远程攻击者通过构造恶意的反序列化利用链，在目标服务器上执行任意代码。该漏洞影响Oracle JDeveloper 12.2.1.4.0和12.2.1.3.0版本，以及基于Oracle ADF Faces框架开发的多个Oracle产品，如Oracle Business Intelligence、Oracle Enterprise Manager等。官方已在2022年4月的补丁中修复了此漏洞，建议受影响的用户尽快下载并应用补丁以降低风险。
远程代码执行漏洞 CVE编号 Oracle产品安全 软件补丁 未经身份验证的攻击 Java安全 Web应用安全
0x5 2022年ISCC信息安全与对抗技术竞赛 WP-1（2）
天权信安 2022-06-24T09:00:23 © 天权信安
本文详细介绍了2022年ISCC信息安全与对抗技术竞赛中的多个WEB题目及其解题过程。文章首先描述了第一个题目“冬奥会你来参加”，其中涉及到PHP代码的GET参数判断和构造特定的payload。接着，文章讲解了第二个题目“爱国敬业好青年”，需要通过改变界面和POST参数来获取flag。第三个题目“Pop2022”涉及到PHP反序列化漏洞，通过构造特定的payload获取flag。第四个题目未提供具体细节，但提到是一道代码审计题。第五个题目“Easy-SQL”利用SQL注入技术获取flag。第六个题目“findme”通过PHP反序列化漏洞查找特定文件。最后一个题目“让我康康！”涉及漏洞利用，通过走私访问获取flag。文章最后提到，这是关于WEB方向的题目，其他方向的题目将在后续公布。
Web安全 渗透测试 漏洞利用 代码审计 信息安全竞赛 PHP安全 编码实践
0x6 某RBAC管理系统（三）越权，未授权，XSS代码审计
零幺sec 2022-06-23T21:38:15 Power7089
本文详细分析了某RBAC管理系统的三个安全漏洞：越权漏洞、XSS漏洞和未授权访问漏洞。在越权漏洞部分，作者通过代码审计发现删除用户功能未进行权限校验，导致任意用户可删除其他用户。XSS漏洞部分，指出后端未对输入进行过滤，且前端使用的Layui框架存在XSS漏洞。未授权访问漏洞中，SpringSecurity配置错误导致监控页面未授权访问。文章最后提到图形验证码绕过漏洞，由于验证逻辑不严谨导致安全问题。
0x7 施耐德电气IGSS拒绝服务漏洞CVE-2022-24314分析
安帝Andisec 2022-06-23T12:00:08 © Great Wall
施耐德电气的IGSS系统存在一个高危漏洞CVE-2022-24314，该漏洞允许未经身份验证的远程攻击者通过发送特制消息强制IGSSdataServer.exe分配大量内存，导致内存泄露并可能引发拒绝服务攻击。漏洞的复现过程包括在靶机上运行IGSS，使用Python脚本进行验证，并通过查看IGSS Master的详细状态和服务器日志来确认漏洞存在。漏洞分析显示攻击者可以反复连接IGSSdataServer.exe发送特制消息，但程序未能正确释放内存。修复建议是更新到IGSS数据服务器的更高版本。文章最后提到北京安帝科技有限公司提供工业网络安全产品和服务，帮助企业远离漏洞威胁。
SCADA系统安全 缓冲区溢出 拒绝服务攻击(DoS) 漏洞分析 工业网络安全
0x8 AC 配置用户隔离操作方法
网络安全运维技术 2022-06-23T08:38:45 ITOM
当客户需要限制用户互相访问时，可以配置用户隔离功能。
0x9 常见网络安全设备：漏洞扫描设备
网络技术联盟站 2022-06-23T08:00:57 瑞哥
0xa 某RBAC管理系统（二）信息收集与SQL注入代码审计
零幺sec 2022-06-22T22:27:33 Power7089
本文详细介绍了在某RBAC管理系统中进行信息收集与SQL注入代码审计的过程。首先，作者指出在pom.xml中管理第三方依赖时，需注意版本漏洞，如Fastjson 1.2.56版本存在漏洞。接着，介绍了如何通过配置文件收集数据库连接信息。文章重点分析了Mybatis操作数据库时可能出现的SQL注入漏洞，特别是在使用${}拼接SQL的场景。作者提供了详细的审计步骤，包括使用IDEA的Free Mybatis Plugin插件进行逆向追踪参数流程，从mapper.xml到DAO层，再到Service层和Controller层。最后，文章指导如何通过渗透测试进一步验证SQL注入漏洞的存在。
信息收集 依赖库安全 自动化工具使用 配置文件安全 SQL注入 代码审计 Web应用安全
0xb 防不胜防？网络钓鱼攻击常用手法盘点与防护建议
御盾安全 2022-06-22T17:00:43
网络钓鱼攻击是最常见、最容易让受害者中招的网络犯罪之一
0xc 常见网络安全设备：IPS（入侵防御系统）
网络技术联盟站 2022-06-22T09:44:18 瑞哥
0xd 新的 NTLM 中继攻击使攻击者能够控制 Windows 域
黑猫安全 2022-06-21T22:36:43 鹏鹏同学
一种名为DFSCoerce的新型Windows NTLM中继攻击被揭露，该攻击通过利用分布式文件系统（DFS）命名空间管理协议（MS-DFSNM）来控制Windows域。即使后台打印程序服务被禁用，RPC筛选器已安装，攻击者仍能通过MS-DFSNM的RPC接口中继域控制器的身份验证到Active Directory证书服务。这种攻击允许恶意实体拦截并中继身份验证请求，从而未经授权访问网络资源。DFSCoerce攻击方法与PetitPotam类似，后者滥用MS-EFSRPC协议。攻击者可通过中继到证书颁发机构的Web注册服务来获取证书，进而获取票证授予票证（TGT）。为防御此类攻击，微软建议启用身份验证扩展保护（EPA）、SMB签名，并关闭AD CS服务器上的HTTP服务。
NTLM 中继攻击 Windows 安全漏洞 分布式文件系统（DFS） Active Directory 身份验证攻击 证书服务攻击 缓解措施
0xe 常见网络安全设备：IDS（入侵检测系统）
网络技术联盟站 2022-06-21T11:08:18 瑞哥
0xf 常见网络安全设备：防火墙
网络技术联盟站 2022-06-20T14:01:41 漫谈君
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
