2023年 第29周 微信公众号精选安全技术文章总览
洞见网安 2023-7-17
0x1 文件上传漏洞
开心网安 2023-07-23T17:07:47 ©
本文详细介绍了文件上传漏洞的几种常见绕过技术。首先提到的是前端JavaScript过滤绕过方法，通过使用BurpSuite设置代理并修改上传文件的后缀为.jpg格式来绕过限制，并最终使用一句话木马进行连接。此外，还介绍了一种关闭浏览器JavaScript的方法以达到相同目的。其次，讨论了Content-Type绕过技术，即通过改变HTTP请求中的Content-Type值（如将application/octet-stream改为image/jpeg）来欺骗服务器接受上传的文件。接着，文章讲解了扩展名绕过策略，这种方法通过变换文件扩展名为大小写混合的方式来规避检查。最后，提到了00截断绕过技术，利用%00字符使系统在读取文件名时提前终止，从而实现绕过。例如，将文件命名为shell.php%00.jpg并通过BurpSuite修改数据包内的编码方式来完成上传。文中推荐了几款代理工具，包括SwitchyOmega和FoxyProxy Standard，用于辅助执行上述操作。
0x2 x86_64指令tips之bt
我吃你家米了 2023-07-23T14:56:29 12138
0x01 从左往右还是从右往左？bt指令需要两个操作数，比如bt eax, 10h意思就是检测eax的第16
0x3 一些常见漏洞原理(一)
开心网安 2023-07-22T21:46:29 © 唐开心
本文详细介绍了网络安全中常见的漏洞类型及其原理。其中包括SQL注入漏洞，这是由于前端数据未经过滤直接拼接到SQL语句中导致的数据库受损；文件上传漏洞，由于对上传文件类型和后缀的限制不严格，可能导致攻击者上传恶意文件；文件包含漏洞，攻击者可以通过控制变量构建执行代码的路径来执行任意文件；远程文件包含漏洞，允许攻击者包含远程文件，可能导致信息泄露或拒绝服务攻击；XSS攻击，通过在Web页面插入恶意脚本代码来攻击用户；CSRF跨站请求伪造，冒充用户执行站内操作；SSRF服务端请求伪造，利用服务端请求其他服务器；命令执行漏洞，黑客可以通过控制执行系统命令的函数参数来执行恶意命令；代码执行漏洞，应用未考虑用户控制字符串可能导致的代码注入；XXE外部实体漏洞，通过上传未过滤的XML文件执行恶意操作；以及反序列化漏洞，利用序列化和反序列化过程中的参数可控性执行敏感操作。
SQL注入 文件上传漏洞 文件包含 远程文件包含 XSS攻击 反射型XSS 存储型XSS DOM型XSS CSRF攻击 SSRF攻击 命令执行 代码执行 XXE漏洞 反序列化漏洞
0x4 文件包含漏洞从入门到...
ListSec 2023-07-21T23:11:07 凉城
什么是文件包含漏洞，总结了文件包含漏洞的知识点。
0x5 RDP不安全的更多原因（令人惊讶！）
黑猫安全 2023-07-21T10:21:43 博士
文章探讨了Remote Desktop Protocol (RDP)的安全问题，特别是远程代码执行(RCE)漏洞对系统安全构成的威胁。RDP自1996年推出以来，在远程工作和系统管理中扮演了关键角色。然而，RDP中的RCE漏洞可被攻击者利用以获取未授权访问、进行数据泄露等恶意操作。微软为此发布了安全公告及补丁。此外，文章还提到一种名为DLL劫持的技术(CVE-2023-24905)，它允许通过修改DLL文件来欺骗用户执行恶意操作，这种攻击主要针对运行在ARM处理器上的Windows设备。另一重要问题是RDP网关使用已过时且不安全的DTLS 1.0协议(CVE-2023-35332)，这不仅增加了安全风险，也导致合规性问题。为了缓解这些问题，建议及时安装官方补丁，并加强访问控制措施，尤其是对于难以修补的工业控制系统(ICS)环境，需寻找适合其特殊需求的安全解决方案。
远程桌面协议 安全漏洞 合规性风险 工业控制系统（ICS） 安全更新和补丁 访问控制
0x6 Adobe为积极利用ColdFusion漏洞推出新补丁
黑猫安全 2023-07-21T10:21:43 博士
Adobe发布了一系列更新，旨在解决最近披露的ColdFusion漏洞CVE-2023-38205不完整修复的问题。此漏洞属于严重的访问控制不当问题，可导致安全绕过，影响ColdFusion 2023、2021及2018的部分版本。Adobe确认该漏洞已在野外被有限利用。此次更新还修补了另外两个漏洞：一个高危的反序列化漏洞CVE-2023-38204（可能导致远程代码执行）和另一个较低风险的访问控制漏洞CVE-2023-38206。此前，Rapid7指出针对CVE-2023-29298的修复工作存在缺陷，但新的补丁已解决了这一问题。CVE-2023-29298是一个允许攻击者绕过访问控制的漏洞，与疑似CVE-2023-38203一起使用时，能够帮助攻击者在目标系统上部署Web shell以获得后门访问。鉴于这些漏洞的严重性，强烈建议所有受影响的Adobe ColdFusion用户立即应用最新的安全更新。
0x7 针对Linux和Windows系统上Redis服务器的新P2PInfect蠕虫
黑猫安全 2023-07-21T10:21:43 博士
网络安全研究人员发现了一种名为P2PInfect的新蠕虫，它利用运行在Linux和Windows上的Redis服务器进行攻击。该蠕虫使用Rust编程语言编写，增加了其可扩展性和威力。估计有934个Redis系统可能受到此威胁。P2PInfect能够通过Lua沙盒逃逸漏洞CVE-2022-0543感染易受攻击的Redis实例，这一漏洞曾被用于传播Muhstik等恶意软件。与Redigo和HeadCrab不同，P2PInfect没有直接关联，因为它们使用的编程语言和技术存在差异。成功利用漏洞后，P2PInfect会建立一个点对点网络，并下载额外的恶意软件来进一步传播自身。对于Windows系统，还包含了一个监视组件以自动更新并启动新版本。尽管代码中提到了“miner”，但目前没有证据显示其目的是加密货币挖矿。P2PInfect的设计体现了现代化的特点，在云环境中较为罕见。
Redis安全 蠕虫病毒 漏洞利用 跨平台威胁 Rust编程语言 P2P网络 云安全
0x8 锐捷NBR路由器远程命令执行漏洞(CNVD-2021-09650）
Devil安全 2023-07-21T08:14:25 仲瑿
漏洞描述锐捷网络股份有限公司NBR路由器EWEB网管系统存在命令执行漏洞，攻击者可利用该漏洞获取服务器控制权
0x9 如何在 Ubuntu 22.04 上配置静态IP地址？
网络技术联盟站 2023-07-20T22:25:41 © 瑞哥 👉👉
0xa Nemo自动化收集内网及互联网资产信息
网络安全运维技术 2023-07-20T15:27:47 网络安全运维技术
Nemo是用来进行自动化信息收集的一个简单平台，通过集成常用的信息收集工具和技术，实现对内网及互联网资产信息的自动收集，提高隐患排查和渗透测试的工作效率。
0xb 零日攻击利用Citrix ADC和网关中的关键漏洞
黑猫安全 2023-07-20T09:40:10 博士
Citrix警告用户NetScaler ADC和网关存在关键漏洞CVE-2023-3519，该漏洞正被积极利用，可能导致未经身份验证的远程代码执行。影响多个版本，Citrix未提供漏洞细节，但已在未缓解设备上观察到利用。漏洞利用需设备配置为特定服务器。同时，还解决了两个其他漏洞。Resillion的Wouter Rijkbost和Jorren Geurts报告了这两个漏洞，并已提供补丁。建议受影响版本客户升级以减轻威胁。此漏洞已加入CISA KEV目录，FCEB机构需在规定时间内解决。此消息传出时，正值其他安全漏洞如Adobe ColdFusion和WooCommerce Payments插件被积极利用之际。
零日攻击 远程代码执行 Citrix NetScaler漏洞 CVE漏洞 跨站脚本攻击(XSS) 权限提升 安全补丁 CISA KEV目录
0xc HTB-PC (Easy)
搁浅安全 2023-07-20T08:37:24 ©
本文详细描述了一个网络安全靶机的渗透测试过程，重点关注gRPC服务的安全性。靶机使用nmap扫描发现开放了22（SSH）和50051（未知服务）端口。通过grpcui工具，可以网络访问配置并交互式地测试gRPC服务。文章进一步展示了如何利用Burpsuite捕获getInfo请求，并通过SQL注入技术获取数据库信息。靶机中的SQLite数据库被成功利用，获取了用户sau的凭证。随后，通过SSH连接到靶机，发现开放了8000端口的服务。利用该端口提供的Python下载管理器中的预认证远程代码执行漏洞（CVE-2023-0297），成功赋予bash suid位，从而以root权限执行命令，并获取了flag。整个过程涉及端口扫描、服务识别、gRPC交互、SQL注入和漏洞利用等多个网络安全技术点。
gRPC Nmap Port Scanning Service Discovery gRPC UI gRPC Reflection SQL Injection Web Security Exploitation Privilege Escalation Pre-auth RCE payloads Linux
0xd 【风险通告】Spring Security存在安全特性绕过漏洞(CVE-2023-34034)
安恒信息CERT 2023-07-19T14:11:11
近日，安恒信息CERT监测到Spring Security框架存在一个安全特性绕过漏洞（CVE-2023-34034）。该漏洞在WebFlux的Spring Security配置中使用"**"作为模式时，可能导致Spring Security和Spring WebFlux之间的模式不匹配，从而造成安全绕过。Spring Security是一个广泛使用的身份验证和访问控制框架，该漏洞影响了多个版本，包括6.1.0至6.1.1、6.0.0至6.0.4、5.8.0至5.8.4、5.7.0至5.7.9、5.6.0至5.6.11。官方已发布修复方案，建议用户升级至安全版本6.1.2及以上、6.0.5及以上、5.8.5及以上、5.7.10及以上、5.6.12及以上。该漏洞的CVSS3.1评分为9.1，属于严重级别。目前，官方尚未发现该漏洞的PoC或Exp，也没有在野利用的报道。
安全漏洞 CVE编号 Spring Security Web应用安全 安全修复 身份验证与访问控制 应急响应 开发框架安全
0xe 通达OA漏洞利用工具/资源分享
在社会的拍打中挣扎着寻找希望 2023-07-19T10:58:46 小意思
本文分享了通达OA漏洞利用工具的资源，该工具支持多个版本的通达OA系统漏洞验证和利用。包括任意用户登录、后台im、ispirit、module、前台action任意文件上传漏洞，前台ispirit文件包含漏洞，后台attachment_remark文件包含漏洞，后台management任意文件上传漏洞，以及v11.6和v11.8版本的前台任意文件删除和上传漏洞。工具更新记录包括免杀webshell的修改、webshell工具的更换，以及新增多个漏洞检测功能。获取工具可通过关注公众号并回复关键词。
0xf 黑客活动目标网站使用WordPress WooCommerce支付插件
黑猫安全 2023-07-19T09:33:27 博士
近期，黑客利用WordPress WooCommerce支付插件中的一个关键漏洞（CVE-2023-28121，CVSS评分9.8）进行攻击，该漏洞允许未经身份验证的攻击者冒充任意用户，包括管理员，可能导致网站被接管。该插件安装在超过60万个网站上，影响版本为4.8.0至5.6.1。大规模攻击始于2023年7月14日，高峰时对157,000个站点发起了130万次攻击。尽管WooCommerce在2023年3月修复了此漏洞，Wordfence也从4月22日起提供了缓解措施，但攻击者通过插件枚举请求和特定标头（X-Wcpay-Platform-Checkout-User: 1）绕过身份验证，尝试安装WP Console插件以执行代码，显示出比以往更复杂的攻击策略。
漏洞利用 身份验证绕过 插件安全 攻击趋势分析 缓解措施 攻击复杂性
0x10 部署ShadowPad恶意软件进行复杂攻击的巴基斯坦实体
黑猫安全 2023-07-19T09:33:27 博士
一名身份未知的威胁行为者入侵了巴基斯坦多个实体，通过传递ShadowPad恶意软件进行了复杂的攻击。目标包括政府机构、公共部门银行和电信提供商。这次攻击可能源于供应链攻击，利用了合法的E-Office应用程序安装程序。攻击者在安装程序中植入了恶意软件，通过社交工程手段诱使受害者运行。恶意软件利用了DLL侧加载漏洞，并采用了混淆技术来隐藏其活动。除了ShadowPad，攻击者还使用了Mimikatz工具进行后渗透活动。尽管有线索指向中国威胁行为者，但具体组织的归因仍缺乏证据。
供应链攻击 恶意软件 后门植入 DLL侧加载 社交工程 信息收集 密码凭据窃取 高级持续性威胁（APT）
0x11 OSPF技术连载9：OSPF TTL 安全检查
网络技术联盟站 2023-07-18T11:14:32 © 瑞哥 👉👉
本文详细介绍了OSPF TTL安全检查机制，这是一种保护OSPF免受远程攻击的技术。文章解释了OSPF协议的基本概念，以及TTL攻击的原理。通过启用TTL安全检查，OSPF将只接受TTL为255的数据包，从而防止TTL欺骗攻击。文章提供了在思科、华为和Juniper设备上启用和配置TTL安全检查的步骤，并指出了可能遇到的问题及其应对措施。最后，强调了在复杂网络环境中测试配置的重要性，以确保网络正常运行不受影响。
0x12 Linux 中的 lshw 命令：获取硬件详细信息
网络技术联盟站 2023-07-18T11:14:32 © 瑞哥 👉👉
0x13 使用SOGU和SNOWYDRIVE恶意软件瞄准全球目标的恶意USB驱动器
黑猫安全 2023-07-18T09:50:26 博士
Mandiant的研究显示，2023年上半年，使用感染USB驱动器作为攻击手段的网络攻击事件增加了三倍。研究中特别指出了两个活动：SOUG和SNOWYDRIVE，它们通过USB驱动器传播恶意软件，针对全球公共和私营部门。SOUG活动被认为与名为TEMP.Hex的中国黑客组织有关，该组织还使用其他别名如Camaro Dragon、Earth Preta和Mustang Panda。SOUG攻击涉及多个行业，包括建筑、商业服务、政府、医疗、交通和零售。攻击链从插入恶意USB开始，执行PlugX后门，然后启动SOGU后门程序，该程序负责窃取文件、记录按键和屏幕截图。另一个攻击集群UNC4698则针对亚洲石油和天然气组织，使用SNOWYDRIVE恶意软件创建后门，允许远程执行系统命令，并能传播到其他USB设备。研究人员建议组织应限制外部设备的使用，或在连接到内部网络前进行安全扫描。
恶意软件 APT攻击 物理媒介攻击 数据泄露 远程控制 横向移动 社会工程学
0x14 Adobe警告客户在攻击中利用了关键的ColdFusion RCE
黑猫安全 2023-07-18T09:50:26 博士
Adobe发布警告，指出其ColdFusion产品存在一个严重的预身份验证远程代码执行漏洞（CVE-2023-29300），该漏洞的CVSS评分为9.8。此漏洞正被攻击者在野外积极利用，允许未经身份验证的访问者在受影响的ColdFusion 2018、2021及2023服务器上执行命令。漏洞由CrowdStrike的安全研究员Nicolas Zilio发现，与不可信数据的反序列化有关。尽管Adobe已修复了包括这个漏洞在内的三个问题，但并未公开具体的技术细节或攻击方式。此外，在2023年3月，美国国家网络安全和基础设施安全局（CISA）将另一个严重漏洞（CVE-2023-26360，CVSS评分8.6）加入到已知被利用漏洞目录中，该漏洞涉及不正确的访问控制，可能导致任意代码执行以及文件系统读取和内存泄漏。
远程代码执行漏洞 高风险漏洞 野外利用 Adobe ColdFusion 反序列化漏洞 CISA关注漏洞 访问控制不当
0x15 等保2.0硬件篇之防火墙基本原理
苏说安全 2023-07-18T07:00:35 一口Linux
本文详细介绍了防火墙的基本原理和功能。防火墙作为网络中的重要安全设备，位于可信和不可信网络之间，如局域网(LAN)和广域网(WAN)之间，通过检查所有经过的数据包并根据预设策略决定是否允许其通过。文章区分了状态过滤和无状态过滤，其中状态过滤防火墙能够跟踪所有连接，而无状态过滤则不会跟踪。同时，文章还讨论了数据包检测，即防火墙能够深入检查数据包内容，甚至到OSI模型的第七层，以识别和过滤恶意流量。此外，文章还提到了安全区域的概念，如Cisco路由器的安全区域功能，它通过设置不同的安全级别来控制不同区域间的流量。文章最后强调了防火墙在网络安全中的重要性，并简要提及了其他网络安全相关的主题。
防火墙基本原理 网络安全设备 网络架构 访问控制 状态过滤 数据包检测 安全区域 DoS攻击防护
0x16 记一次打穿云上内网的攻防实战
河马安全区 2023-07-17T20:45:35
本文首发于火线安全社区，原文地址https://zone.huoxian.cn/d/2766申明：本文仅供技
0x17 OSPF技术连载8：OSPF认证：明文认证、MD5认证和SHA-HMAC验证
网络技术联盟站 2023-07-17T18:36:28 © 瑞哥 👉👉
学网络，尽在网络技术联盟站！
0x18 记一次Struts2漏洞利用到PTH登录
划水但不摆烂 2023-07-17T12:38:05 © 4Zen
0x19 Bypass Windows DF Shellcode
TtTeam 2023-07-17T10:00:39 © Tt
Bypass Windows DF Shellcode
0x1a BlackLotus UEFI Bootkit的源代码在GitHub上泄露
黑猫安全 2023-07-17T09:35:24 博士
ESET研究人员发现了一种名为BlackLotus的UEFI引导工具，能够绕过Windows 11的安全启动功能。此恶意软件自2022年10月起在黑客论坛上以5000美元的价格出售，每次更新费用为200美元。它采用汇编和C语言编写，大小仅80KB，具备反虚拟化、反调试及代码混淆能力，并能禁用HVCI、BitLocker与Windows Defender等安全解决方案。该rootkit通过利用CVE-2022-21894漏洞实现持久性，即使在启用UEFI安全启动的情况下也能执行未签名驱动程序。尽管微软已修复该漏洞，但由于相关二进制文件未被撤销，攻击者仍可利用之。一旦安装成功，BlackLotus会部署内核驱动程序和HTTP下载器用于C2通信，加载额外的恶意负载。其源代码已在GitHub上泄露，可能促使威胁行为者开发变种。专家指出，虽然泄露代码不完整，但结合新的攻击手法，依旧对现代终端安全构成挑战。
UEFI安全 恶意软件 漏洞利用 固件安全 Rootkit 安全绕过 源代码泄露
0x1b 绕过403访问资源TIPS及工具
玄武盾网络技术实验室 2023-07-17T01:06:36
本文由Notadmin发布在FreeBuf.COM，探讨了当遇到HTTP状态码403（表明请求被服务器理解但拒绝执行）时，如何尝试绕过限制访问资源的方法。造成403错误的原因可能包括IP被列入黑名单、过多的访问频率、未绑定域名、权限不足等问题。文章随后提供了多种绕过策略，如修改User-Agent伪装请求来源、通过设置不同的HTTP头信息（例如X-Originating-IP、X-Client-IP等）来伪造客户端IP地址、调整Referer字段以符合目标站点的要求以及使用URL覆盖技术尝试绕过更高级别的缓存和Web服务器限制。此外，还介绍了基于目录遍历或扩展名变换的方法来规避403限制。最后，推荐了几款工具，特别是BurpSuite插件403Bypasser，用于自动化测试这些绕过技巧，并提供了GitHub项目地址和网盘下载链接。
网络安全漏洞 网站访问控制 渗透测试 HTTP请求伪造 Web应用安全 安全工具
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
