2020年 第44周 微信公众号精选安全技术文章总览
洞见网安 2020-11-2
0x1 NAT Slipstreaming：新的NAT/防火墙绕过攻击
信息安全最新论文技术交流 2020-11-08T15:21:00
文章详细摘要：NAT Slipstreaming是一种新的网络攻击技术，攻击者可以利用它绕过防火墙保护，远程访问受害者机器上的任意TCP/UDP服务。该技术通过发送恶意链接，利用用户浏览器和NAT、路由器、防火墙中的Application Level Gateway (ALG) 连接追踪机制，实现内部IP提取。攻击者通过时序攻击、webRTC、自动远程MTU和IP分段发现等手段，调整包的边界，创建以SIP方法开头的TCP/UDP包，诱使NAT ALG打开内部连接的端口。攻击的第二阶段，攻击者通过WebRTC ICE或网关上的时序攻击提取受害者的内部IP地址，然后构造web表单提交数据，最终NAT会打开受害者发送的原始包的端口，从而实现攻击。该技术已在NetGear Nighthawk R7000路由器上进行了测试。文章还提到了其他网络安全事件和研究进展，包括苹果T2安全芯片的越狱漏洞、个人信息保护法草案、比特币勒索病毒制作者落网等。
NAT穿透 防火墙绕过 时序攻击 WebRTC滥用 协议混淆 IP地址提取 SIP协议滥用 TURN认证滥用 包溢出攻击 数据包分段
0x2 【CentOS7操作系统安全加固】第(2)篇
WalkingCloud 2020-11-08T11:33:25 ©
本文详细介绍了在CentOS7操作系统上进行安全加固的五个关键步骤。首先，介绍了如何通过PAM模块限制口令重复次数，确保旧密码在连续使用前被修改至少五次。其次，讨论了文件与目录的默认权限控制，建议将新创建的目录和文件的默认权限设置为027，以增强安全性。接着，分析了配置用户最小授权的重要性，包括检查关键文件的权限和属主属组，确保它们为root用户。第四部分聚焦于SSH服务的配置，包括检查SSH服务状态和修改SSH的Banner警告信息。最后，介绍了如何设置关键文件的属性，如/var/log/messages，以确保日志文件的完整性。
操作系统安全加固 密码策略 文件权限控制 SSH安全配置 安全审计 用户最小授权 日志文件安全
0x3 【CentOS7操作系统安全加固系列】第(1)篇
WalkingCloud 2020-11-07T20:16:44 ©
【CentOS7操作系统安全加固】第(1)篇
操作系统安全加固 口令策略 账户管理 安全审计 CentOS7 PAM模块
0x4 CryptoAPI椭圆曲线密码(ECC)证书检测绕过相关漏洞
水网火安 2020-11-06T09:05:00
2020年1月，微软公布了一个与CryptoAPI椭圆曲线密码（ECC）证书检测相关的安全漏洞（CVE-2020-0601），由NSA发现并报告。该漏洞允许攻击者使用伪造的代码签名证书对恶意可执行文件进行签名，从而绕过安全校验。在数字签名验证过程中，微软的CryptoAPI支持自定义椭圆曲线参数，且仅校验公钥信息，这为攻击者提供了可乘之机。攻击者可以自定义椭圆曲线参数，使其与系统ECC根证书的公钥一致，从而伪造数字签名，使其看似由ECC根证书签发。文章详细描述了漏洞的原理、验证过程，并提供了相应的攻击步骤和示例。
椭圆曲线密码学 数字证书 CVE漏洞 签名验证 攻击技术 微软安全补丁 网络安全漏洞
0x5 隐藏在Chrome中的窃密者
水网火安 2020-11-06T09:05:00
近日，Google Chrome 扩展程序 User-Agent Switcher 被发现存在恶意行为，该扩展程序拥有超过 10 万的安装量。除了 User-Agent Switcher，还有两个扩展程序 Nano Defender 和 Nano Adblocker 也被标记为恶意，并已从 Chrome 商店中下架。这些恶意扩展程序能够收集浏览器的请求头，包括 cookies，从而可能被用于未授权登录。尽管目前没有发现窃取密码或远程登录的行为，但用户应提高警惕，检查账户是否存在异常登录情况，并修改相关账户密码。此外，攻击者可能通过这些插件获取会话信息，对用户的资金安全构成威胁。Google 已从 Web Store 中删除相关扩展程序，但 Firefox 插件不受影响。
恶意软件 浏览器安全 用户隐私 网络钓鱼 安全漏洞 Google Chrome 安全意识
0x6 甲骨文发布紧急补丁修复WebLogic Server严重漏洞（CVE-2020-14750）
水网火安 2020-11-06T09:05:00
Oracle近期发布了紧急安全更新，修复了Oracle WebLogic Server中一个严重漏洞（CVE-2020-14750），该漏洞可能导致远程代码执行。漏洞评分为9.8分，属于最高等级。攻击者无需身份验证即可利用该漏洞，通过HTTP远程利用服务器控制台组件中的RCE漏洞。受影响的WebLogic Server版本包括10.3.6.0.0、12.1.3.0.0、12.2.1.3.0、12.2.1.4.0和14.1.1.0.0。Oracle感谢20个组织和人员提供了有助于修复该漏洞的信息。Oracle强烈建议客户尽快应用更新以防止潜在的攻击。此外，该漏洞与之前修复的CVE-2020-14882有关，且攻击者已经开始扫描易受攻击的系统。网络安全和基础架构安全局（CISA）也敦促用户和管理员应用此安全更新。
Oracle WebLogic Server 漏洞 远程代码执行（RCE） 安全补丁 带外更新 身份验证绕过 服务器安全 漏洞评分 网络安全事件 CVE编号
0x7 session文件包含getshell
必火安全 2020-11-05T17:31:01 ©
本文分析了利用文件包含漏洞通过session文件实现GetShell的攻击方法。文章首先介绍了攻击原理和条件，指出需要已知session文件路径且文件内容部分可控。接着，详细说明了如何通过phpinfo获取session保存路径，以及常见的session存放位置。文章还提到了如何通过分析cookie字段获取phpsessid，从而确定session文件名。此外，提供了测试代码，包括包含漏洞测试代码和session内容可控代码，并详细描述了测试流程，包括如何通过phpinfo查看session位置、如何写入一句话马或PHPinfo；以及如何结合phpinfo页面和session存储位置进行文件包含攻击，直至达到攻击效果。最后，提醒读者在完成攻击后连接webshell管理工具，并鼓励读者留言讨论。
文件包含漏洞 PHP安全 Session管理 漏洞利用 信息收集 Web安全
0x8 Lacework跟踪Moobot：针对易受攻击的Docker API的僵尸网络
水网火安 2020-11-05T09:32:53
本文报道了Lacework跟踪到的Moobot僵尸网络的新变体，该变体针对易受攻击的Docker API进行攻击。Moobot通过修改现有的image文件，在用户安装时在后台下载Mirai恶意软件，尽管这种攻击目前影响范围不大，但已成功入侵一家公司部署的超过10%的Docker环境。这种攻击利用了Moobot源代码的变体难以区分的特点，通过修改源文件的一小部分即可伪装成正常软件。文章中提供了攻击前后Docker配置的对比图，展示了攻击者如何修改Docker的版本、内核版本、API版本等信息，以及如何在后台执行恶意命令。
僵尸网络 Docker API攻击 木马攻击 代理木马 软件供应链攻击 镜像篡改 网络安全漏洞
0x9 深入分析Chrome浏览器textbook UAF漏洞
水网火安 2020-11-05T09:32:53
本文详细分析了Chrome WebAudio模块中存在的释放后使用（UAF）漏洞（CVE-2020-6449），该漏洞位于DeferredTaskHandler::BreakConnections函数中。文章首先介绍了背景，包括PartitionAlloc内存分配器的特性以及之前相关的PartitionAlloc UAF漏洞。接着，文章阐述了CVE-2020-6449的触发条件，即通过操作AudioScheduleSourceNode的AudioHandler在active_source_handlers_和finished_source_handlers_之间制造UAF。为了利用该漏洞，文章提出了一种策略：首先使用BiquadDSPKernel替换释放的ConstantSourceHandler，通过多次触发漏洞损坏空闲列表，使特定指针发生重叠。然后，利用AudioDelayDSPKernel泄露libchrome地址和堆指针。最后，通过创建一个包含伪造vtable的AudioArray对象，并利用泄露的地址信息，成功调用ROP gadget实现任意函数调用，最终达成远程代码执行（RCE）。文章还讨论了PartitionAlloc内存分配器带来的挑战和利用技巧，并强调了多级别安全防护的重要性。
漏洞分析 内存安全 Chrome漏洞 PartitionAlloc 漏洞利用 RCE ROP 沙箱逃逸
0xa 从底层看PHP对文件操作的小trick | 12期
道格安全 2020-11-04T17:55:18 Hpdoger
PHP，CTF
0xb Acrobat产品存在关键漏洞，允许黑客利用漏洞执行任意代码
ISEC安全e站 2020-11-04T16:27:42 ISEC安全e站
Adobe解决了其Acrobat产品中的14个漏洞，这些严重漏洞允许黑客漏洞执行任意代码...
0xc Evading defences using VueJS script gadgets
水网火安 2020-11-04T08:47:08
本文深入探讨了JavaScript框架VueJS的安全问题，特别是其特性如何对网站安全构成威胁。文章重点介绍了如何利用VueJS的脚本gadget来创建特定于Vue的跨站脚本（XSS）攻击向量，这些向量可以绕过像WAFs和CSP这样的防御机制。文章详细解释了脚本gadget的概念，以及它们如何被用于绕过安全措施。此外，文章还从开发者的角度提供了如何防止XSS漏洞的建议，并涵盖了从基于表达式的载体到突变XSS（mXSS）的各种技术。作者还分享了他们通过推特发布VueJS技巧的经验，并提供了具体的代码示例和XSS向量的分析。文章最后提供了一个XSS Cheat Sheet的VueJS部分，供读者快速查找和利用VueJS相关的XSS攻击向量。
Web Application Security Cross-Site Scripting (XSS) JavaScript Framework Security Defence Bypass Techniques Security Research
0xd Excel文档暗藏危机？黑客利用.NET库生成恶意文件可绕过安全检测
水网火安 2020-11-04T08:47:08
近期，网络安全领域出现了一种新型的恶意攻击手段，名为“Epic Manchego”的恶意组织利用.NET库生成Excel文件，这些文件含有大量宏，并能绕过安全检测。用户一旦打开此类文件并允许执行脚本，恶意软件就会被下载并安装到系统中，从而窃取用户的浏览器、电子邮件和FTP客户端的密码。这种攻击方式在办公软件中尤其危险，提醒用户需提高安全意识。为应对此类攻击，建议采取过滤电子邮件附件、实施端点检测和响应防御以及增强网络钓鱼意识等措施。
恶意软件攻击 宏病毒 文档安全 端点安全 网络钓鱼 安全意识教育
0xe Linux eBPF JIT权限提升漏洞（CVE-2020-27194）分析与验证
ADLab 2020-11-03T18:36:36 启明星辰
本文详细分析了Linux eBPF JIT权限提升漏洞（CVE-2020-27194）。该漏洞源于Linux内核中bpf验证系统对某些操作的寄存器边界跟踪计算错误，可能导致本地攻击者泄露内核信息或提升特权。漏洞影响范围为Linux-5.7至Linux-5.8.14及Ubuntu 20.10版本。文章介绍了漏洞原理、调试分析过程，包括缺陷代码的位置和错误的赋值操作，以及如何通过设置寄存器值绕过验证器检查。此外，还提供了漏洞复现的方法和步骤，以及相关的安全防护措施。文章最后简要介绍了启明星辰积极防御实验室（ADLab）及其在网络安全领域的研究成果。
操作系统安全 内核漏洞 eBPF技术 漏洞分析 漏洞利用 安全防护 安全漏洞
0xf 常见文件上传漏洞解析
Linux网络安全 2020-11-03T08:00:00
本文详细分析了文件上传漏洞的常见检测和绕过方法。文章首先介绍了文件上传漏洞的基本概念和利用价值，随后从前端和后端两个方面对文件上传的检测机制进行了深入探讨。前端检测主要依赖于JavaScript限制文件类型和大小，但这种方法非常不安全，容易被绕过。后端检测包括检测文件类型、文件扩展名和文件内容。文章分别介绍了检测content-type、文件头、文件扩展名（黑名单和白名单）以及文件内容的方法，并针对每种方法提供了相应的绕过技巧。此外，文章还讨论了IIS和Apache解析漏洞、%00截断、magic_quotes_gpc关闭等漏洞利用方法，以及如何利用这些漏洞绕过文件上传的限制。最后，文章简要介绍了利用.htaccess文件进行解析绕过的条件和方法。
网络安全 文件上传漏洞 Webshell PHP漏洞 前端检测 后端检测 漏洞利用 渗透测试 编码实践 漏洞防御
0x10 Unicorn反混淆：恢复被OLLVM保护的程序(一)
奋飞安全 2020-11-02T17:08:37 奋飞
本文主要探讨了在ARM架构下，如何应对Obfuscator-LLVM使用控制流平坦化技术增加逆向分析难度的问题。文章首先介绍了控制流平坦化的基本原理，即通过主分发器控制程序执行流程，从而模糊基本块之间的前后关系。接着，以check_passwd_arm_flat程序为例，详细说明了如何使用IDA和angr工具来恢复被混淆的程序。文章中详细介绍了如何使用angr进行程序分块、找出真实块、确定真实块之间的调用关系，并使用Unicorn模拟执行来寻找真实块之间的关系。此外，还介绍了如何使用队列进行路径搜索和控制流集成，以及如何修复二进制程序。最后，文章强调了本文的目的是为了学习和探讨技术，并提醒读者不要将技术用于非法商业目的。
0x11 uTorrent协议层远程漏洞的分析和利用
水网火安 2020-11-02T12:06:00
近期，著名torrent客户端uTorrent被发现存在安全漏洞CVE-2020-8437。该漏洞允许远程攻击者利用BitTorrent协议层中的字典解析错误，使uTorrent实例崩溃。由于uTorrent使用多个对等节点建立连接以实现下载，这一漏洞对整个网络稳定性构成威胁。为了防范此漏洞，用户应升级至最新版本的uTorrent客户端，并对代码进行严格的输入验证和空指针引用检查，以确保程序稳定性和安全性。
漏洞分析 远程攻击 BitTorrent协议 软件漏洞 空指针引用错误 网络安全防护 软件升级
0x12 通过下载功能实现Facebook安卓应用任意代码执行
水网火安 2020-11-02T12:06:00
本文分析了Facebook安卓应用中下载功能的安全漏洞。该应用允许用户从群组中下载文件，但在文件保存过程中未对文件名进行过滤，导致目录遍历漏洞。攻击者可以通过构造特定的文件名，覆盖应用的原生库代码，从而实现任意代码执行。这一漏洞利用了应用上传文件功能，通过将特定文件上传到特定路径，最终达到执行恶意代码的目的。文章建议开发者对上传和下载的文件进行严格的验证和过滤，以防止此类安全问题的发生。
安全漏洞 移动应用安全 任意代码执行 文件处理安全 漏洞利用
0x13 Weblogic CVE-2020-14882 CVE-2020-14883） 管理控制台未授权远程命令执行漏洞 复现
Z说安全 2020-11-02T11:46:25 zeo
本文详细分析了Weblogic CVE-2020-14882和CVE-2020-14883两个严重漏洞。这两个漏洞允许远程攻击者在未经身份验证的情况下接管WebLogic Server Console，并在其中执行任意代码。漏洞影响了Oracle Weblogic多个版本，包括10.3.6.0.012.1.3.0.012.2.1.3.012.2.1.4.014.1.1.0.0。文章提供了漏洞的详细描述、影响版本、漏洞利用方法，包括通过构造特殊HTTP请求和利用特定XML文件执行远程命令。同时，文章还给出了修复建议，即及时更新Oracle官方发布的补丁以解决这些漏洞。
Web应用安全 漏洞分析 远程代码执行 Oracle WebLogic CVE编号 漏洞复现 安全补丁
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
