2020年第7周微信公众号精选安全技术文章总览

洞见网安 2020-2-17

0x1 漏洞预警｜ Apache Tomcat文件包含漏洞（CVE-2020-1938）

交大捷普 2020-02-22T00:08:48

0x3 【安全预警】Apache Tomcat 文件包含漏洞（CVE-2020-1938）

思维世纪 2020-02-21T14:59:48

思维世纪根据已公开的漏洞详情信息，编写了Tomcat文件包含漏洞（CNVD-2020-10487）检测脚本，可用于验证漏洞是否能被利用。

本文分析了Apache Tomcat文件包含漏洞（CVE-2020-1938），这是一个由Tomcat AJP协议实现缺陷导致的漏洞。攻击者可以利用该漏洞通过构造特定参数读取服务器webapp下的任意文件，如果服务器端存在文件上传功能，则可能进一步执行远程代码。漏洞分析显示，当ajp URI设置为非jsp路径时，会触发web目录任意文件读取漏洞；当设置为jsp路径时，则可能导致JSP文件包含漏洞。本文详细描述了漏洞的原理、复现过程以及影响版本，并提供了升级版本、禁用AJP协议和配置secret等规避方案。启明星辰ADLab指出，该漏洞影响Tomcat 6、7、8和9版本，建议用户升级到安全版本或采取其他安全措施以防止攻击。

Web服务器安全文件包含漏洞 AJP协议漏洞 CVE编号漏洞分析漏洞修复代码审计渗透测试

0x5 漏洞预警 | Apache Tomcat AJP协议可导致远程命令执行的漏洞预警

观安信息 2020-02-21T09:00:00 观仔

本文预警Apache Tomcat AJP协议的文件包含和任意文件下载漏洞，可能导致远程命令执行。该漏洞影响Tomcat 7.、8.和9.*分支的多个版本。攻击者可利用该漏洞读取或包含Tomcat上所有webapp目录下的任意文件，包括敏感文件如配置文件或源代码等。建议用户升级到漏洞修复版本或采取临时缓解措施，如禁用AJP协议端口、配置认证限制等。观安威胁研究中心已验证漏洞的可利用性，并建议用户及时采取措施加固系统安全。

Apache Tomcat 漏洞文件包含漏洞远程命令执行 AJP协议应急响应软件更新网络安全预警

0x6 搭建一个去广告dns

信安灯塔 2020-02-20T18:45:43 © 信安灯塔

本文详细介绍了如何搭建一个去广告的DNS服务器。作者在家因疫情影响而长时间使用手机，对DNS劫持的广告感到厌烦，因此决定自建去广告DNS。文章首先介绍了所需的硬件和软件，包括服务器（阿里云服务器或公网服务器）、DNS程序AdGuard等。接着，作者提供了AdGuard的下载、解压、赋权执行安装的步骤，并强调了不要使用777权限赋值。文章还提到了如何添加自启并启动AdGuardHome，以及如何通过Web界面进行配置。最后，作者提醒用户配置DNS服务器到路由器，并建议将新搭建的DNS服务器设置为主要的DNS服务器，但提醒用户在面板中可以看到解析记录。

网络安全配置 DNS安全防火墙管理服务器安全 Web界面安全用户隐私保护

0x7 Apache Tomcat AJP协议高危漏洞风险提示

安恒信息CERT 2020-02-20T16:48:12 ©

本文报道了Apache Tomcat AJP协议的一个高危漏洞，该漏洞编号为CNVD-2020-10487。这个漏洞影响了Apache Tomcat 7., 8., 和 9.* 所有版本。漏洞允许攻击者通过AJP协议端口（默认为8009）读取敏感文件或在控制可上传文件的情况下执行恶意代码。官方已发布修复补丁，建议用户尽快升级到相应版本的修复版本。如果无法立即升级，可以通过临时措施，如禁用AJP协议端口来缓解风险。漏洞的详细利用方法尚未公开，但安恒研究院和应急响应中心已验证了该漏洞的可利用性。

Web服务器安全文件包含漏洞漏洞修复应急响应 Apache Tomcat AJP协议

0x8 利用CentOS7云主机搭建NPS内网穿透代理服务器

WalkingCloud 2020-02-19T18:13:48 ©

利用CentOS7云主机搭建NPS内网穿透代理服务器

0x9 CLAMBLING基于 Dropbox的后门分析

信息安全最新论文技术交流 2020-02-19T17:33:30

CLAMBLING基于 Dropbox的新后门。

0xa 基于轻量化安全协议的物联网安全网关技术实现

信息安全与通信保密杂志社 2020-02-18T12:44:37 © Cismag

本文探讨了物联网（IoT）中低功耗终端的安全接入问题。由于物联网终端的计算资源、存储资源和能量消耗有限，文章提出了基于轻量级安全协议的物联网安全网关设计。该网关采用分层架构，包括安全服务、密钥管理、配置管理和基础支撑等功能模块，用于实现终端身份认证、密钥管理、安全传输和会话管理等功能。文章详细描述了身份认证协议和安全数据传输协议的设计，并分析了NB-IoT的能量消耗。此外，还讨论了物联网安全网关的硬件和软件设计，包括功能组成、分层结构和底层支撑。最后，强调了轻量级安全协议在物联网安全中的重要性，并指出这是促进物联网发展和保障安全性的关键措施。

物联网安全轻量级安全协议安全网关终端身份认证数据传输安全密钥管理能耗优化对称加密认证协议

0xb 美网络司令部发布朝APT最新样本

河南信安世纪 2020-02-18T12:28:45 爱信安世纪

2019年9月，与流行的恶意软件扫描引擎共享的11个恶意软件样本归因于Lazarus，在美国被称为“隐藏的眼

0xc 来自朝鲜的恶意软件：HOPLIGHT分析报告

数智安全研究院 2020-02-18T11:32:50 数智安全研究院

2019年上半年，美国政府机构发布警告，揭露了名为HOPLIGHT的后门木马恶意软件，该软件由朝鲜黑客组织HIDDEN COBRA使用。美国国土安全部（DHS）、联邦调查局（FBI）和国防部（DoD）合作分析确认了这一威胁，并发布了详细的恶意软件分析报告（MAR）。报告中指出，HOPLIGHT能够利用有效的公共SSL证书生成伪造的TLS握手会话，掩盖与远程操作者的通信。此外，报告还详细列出了20个恶意可执行文件、7个附加文件和23个相关IP地址。美国政府建议用户和管理员标记与此恶意软件相关的活动，并及时报告给CISA或FBI。同时，建议采取最佳实践加强网络安全，如不打开可疑文件、及时安装系统补丁、使用最新版软件和杀毒软件等。

恶意软件分析 APT攻击后门木马网络防御信息安全 SSL/TLS证书滥用

0xd 原创干货 | 过滤器设计缺陷导致权限绕过

云众可信 2020-02-17T18:00:00 tkswifty

本文探讨了网络安全中的权限控制机制，分析了权限控制的本质和常见实现方式。文章指出，权限控制通常结合filter进行接口鉴权操作，通过比对URI/URL与授权接口进行权限判断。文中介绍了使用startsWith()、endsWith()方法设置校验名单，以及结合Shiro、SpringSecurity等框架进行权限控制的方法。同时，文章也指出了使用request.getRequestURL()和request.getRequestURI()方法获取URI/URL时可能存在的权限绕过风险，包括非标准化绕过、URL截断绕过和URL编码绕过。针对这些风险，文章提出了相应的修复建议和防御措施，包括使用request.getServletPath()获取路径、标准化处理接口访问、禁用双重uri编码，以及推荐使用成熟的权限控制框架。

0xe 用法小技巧：SecureCRT的跳板机功能

WalkingCloud 2020-02-17T17:58:35 ©

本文介绍了SecureCRT软件中的一项实用功能——跳板机功能。通过SecureCRT，用户可以首先通过SSH会话登录到Linux跳板机，然后直接在跳板机后台通过SSH登录到内网的Linux服务器，从而进行后台命令操作。SecureCRT 8.0及以上版本具备“firewall”功能，允许用户一键跳过跳板机直接连接内网服务器。文章详细说明了如何配置这一功能，包括新建会话、设置Firewall选项、添加跳板机会话以及登录过程。此外，还提到了首次登录时需要输入跳板机和目标服务器的密码，并建议保存密码以实现一键登录。最后，文章简要提到了SecureCRT的其他相关功能和配置方法，并提供了相关文章的链接。

SSH安全配置跳板机使用 SecureCRT工具使用远程访问安全密码管理

本站文章为人工采集，目的是为了方便更好的提供免费聚合服务，如有侵权请告知。具体请在留言告知，我们将清除对此公众号的监控，并清空相关文章。所有内容，均摘自于互联网，不得以任何方式将其用于商业目的。由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，本站以及文章作者不承担任何责任。

2020年第7周微信公众号精选安全技术文章总览

0x1 漏洞预警｜ Apache Tomcat文件包含漏洞（CVE-2020-1938）

0x2 PHP序列化与反序列化

0x3 【安全预警】Apache Tomcat 文件包含漏洞（CVE-2020-1938）

0x4 Apache Tomcat文件包含漏洞分析