2021年 第52周 微信公众号精选安全技术文章总览
洞见网安 2021-12-27
0x1 appweb 认证绕过 （cve-2018-8715）
HK安全小屋 2022-01-02T20:48:13 Tzrstlx
记录一次简单的漏洞复现
认证绕过 漏洞利用 CVE-2018-8715 环境搭建 HTTP请求
0x2 网工面试题：三层交换机与路由器的区别？
网络技术联盟站 2022-01-02T09:20:00 瑞哥
0x3 Apache Druid LoadData 任意文件读取-CVE-2021-36749
HK安全小屋 2022-01-01T15:57:24 TTzZ_Hk
影响版本：Apache Druid Version \x26lt; 0.22
0x4 关于 Apache Apisix 授权问题漏洞的预警
金瀚信安 2022-01-01T15:08:54 信息安全服务商
近日，国家信息安全漏洞库(CNNVD)收到关于Apache Apisix 授权问题漏洞(CNNVD-2021
0x5 交换技术：MAC地址、广播域、帧交换
网络技术联盟站 2022-01-01T09:20:00 瑞哥
太详细了！
0x6 一个漏洞引发的思考
天策安全技术联盟 2021-12-31T19:00:00 © 无名过客
本文作者是一名APP安全检查人员，分享了他在进行安全检查时发现的一个漏洞及其引发的思考。作者在空闲时间喜欢收集漏洞利用方法，最近关注了天策安全发布的关于好视通视频会议软件的任意文件下载漏洞。在一次使用FOFA搜索网络设备漏洞的过程中，作者无意中发现了一个系统，并尝试使用弱口令成功登录。通过观察前端源代码，作者发现了一个图片链接，尝试将其替换为敏感文件路径，成功读取了密码文件。作者提出了几个问题，包括在渗透测试中遇到类似情况时，是否可以采用类似方法发现任意文件读取漏洞；在可以下载文件的地方，是否可以通过修改参数实现任意文件下载或读取；以及当页面通过URL传文件名显示时，是否可以修改文件名或路径来实现任意文件读取。作者还分享了在渗透测试中的经验，如使用Burp Suite进行数据包修改，总结漏洞发掘思路，以及查看前端源代码可能发现有用信息。最后，作者谦虚地表示自己仍在学习中，希望得到大家的包容和指导。
0x7 双尾蝎APT以互联网题材为诱饵针对中东发起钓鱼攻击
安恒信息CERT 2021-12-31T16:56:48 ©
近日，安恒信息应急响应中心发现了一起由双尾蝎APT组织发起的针对中东地区的网络钓鱼攻击。该组织自2016年起针对巴勒斯坦教育机构、军事机构等重要领域进行网络间谍活动。此次攻击利用了以互联网相关题材为诱饵的Word文档，文档内容采用阿拉伯语编写。恶意样本执行后会在系统临时目录释放诱饵文档，并创建隐藏窗口，具备记录程序执行内容、创建自启动快捷方式、收集系统信息、上传终端信息至指定服务器、上传文件和执行远程控制指令等功能。安恒信息提醒用户不要随意下载不明软件或点击不明链接，并建议使用文件威胁分析平台检测文件，定期查杀病毒，备份数据以防范此类攻击。
APT攻击 钓鱼攻击 中东地区安全 恶意软件分析 网络间谍活动 文件威胁分析 安全意识教育
0x8 log4j2远程命令执行复现
思维世纪 2021-12-31T16:07:11 代思博
0x9 u200bDOCX 文档解析及隐藏信息提取算法
信息安全与通信保密杂志社 2021-12-30T14:59:59 © Cismag
本文探讨了DOCX文档的复杂结构和信息隐藏的可能性。DOCX文档结合了XML、OLE技术和ZIP压缩技术，具有信息隐藏方式灵活且难以发现的特点。文章首先解析了DOCX文档的结构，包括[Content_Types].xml文件、rels文件、docProps文件夹和文档内容。接着，文章提出了两种信息隐藏方法：基于关联对象隐藏信息和基于文档扩展空间隐藏信息。针对这两种隐藏方法，设计了相应的检测和提取算法。最后，文章分析了这些算法的适用性，为电子数据取证技术人员的专业工作提供了一定的帮助。
0xa Gitlab未授权RCE（CVE-2021-22205）
HK安全小屋 2021-12-30T14:24:39 Dzd_Hk
Gitlab未授权RCE（CVE-2021-22205）
0xb 【FofaMap】一款FOFA数据采集器
Hx0极客圈 2021-12-30T10:48:18 © asaotomo
FofaMap是一款基于Python3开发的跨平台FOFA数据采集器，由Hx0战队开发。用户可以通过修改配置文件fofa.ini来定制化采集FOFA数据，并支持导出生成Excel表格。安装前需确保已安装Python3环境，并使用pip安装依赖包。配置文件fofa.ini中包含用户信息（email和key）、查询内容选项（fields）、查询页数（page）等设置。FofaMap支持使用FOFA查询语句查询数据，并可通过-q参数自定义查询语句，-o参数自定义输出文件名，-s参数输出扫描格式。该工具主要用于安全测试人员进行安全自查，项目地址为https://github.com/asaotomo/FofaMap。使用者需遵守当地法律，不得用于商业用途，仅限学习交流。
FOFA工具 数据采集 Python3 Excel导出 网络安全工具 API调用 配置文件 跨平台 安全自查
0xc 空管自动化系统等保测评实践与安全防护技术研究
信息安全与通信保密杂志社 2021-12-29T16:46:47 © Cismag
本文详细阐述了空管自动化系统网络安全等级保护测评的实施流程，包括等保的基本要求与定级、网络安全建设规划与实施、系统建设与安装调试以及现场测评与安全整改。文章指出，空管自动化系统作为国家关键基础信息系统，其网络安全至关重要。文章首先介绍了等级保护的相关标准和空管自动化系统等保定级和基本要求，随后讨论了信息安全建设规划，包括防火墙安装方案和解决施工难度的问题。在系统建设与安装调试部分，文章分析了端口配置不匹配和数据通信方式不兼容导致的问题及解决方案。现场测评部分详细描述了漏洞扫描发现的风险项，并提出了网络加固、操作系统加固、数据库加固和自动化系统应用软件加固等整改措施。最终，经过整改和安全加固，两套空管自动化系统顺利通过了等级保护2.0标准测评。
网络安全等级保护 空管自动化系统 信息系统安全 网络安全测评 安全加固 防火墙技术 入侵防御系统 操作系统安全 数据库安全 安全审计
0xd Grafana未授权文件读取(CVE-2021-43798)
HK安全小屋 2021-12-29T10:54:24 Dzd_Hk
Grafana未授权文件读取(CVE-2021-43798)
0xe 禅道zentaopms-9.1.1-SQL注入复现
HK安全小屋 2021-12-28T15:48:29 Xbb_Hk
漏洞出现在zentao\x5clib\x5cbase\x5cdao\x5cdao.class.php中的orderBy函数没有对limit部分做任何限制就直接拼接。也就是说，使用了orderBy这个函数的地方都有可能产生过滤。
本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。
