每周升级通告-2023-05-02

宣布时间 2023-05-02

新增事务

 

事务名称：

HTTP_提权攻击_Linux可疑下令执行攻击

清静类型：

清静误差

事务形貌：

下令注入攻击，是指这样一种攻击手段，黑客通过把系统下令加入到web请求页面头部信息中，一个恶意黑客以使用这种攻击要领来不法获取数据或者网络、系统资源 。null

更新时间：

20230502

 

事务名称：

ICMP_横向移动_内网信息网络_Fscan_1.8.2_ICMP扫描

清静类型：

清静扫描

事务形貌：

Fscan是一款使用go语言实现的扫描工具，其拥有探测主机存活、网络信息、扫描误差、爆破密码、误差使用等多种功效，攻击者可以使用该工具对域内资产情形做起源的筛选和梳理，该事务主要检测1.8.2版本中Fscan工具的icmp扫描模式 。

更新时间：

20230502

 

事务名称：

DNS_下令控制_远控后门_Raccoon.Stealer_剖析C2域名请求

清静类型：

木马后门

事务形貌：

检测到Raccoon.Stealer木马实验剖析C2域名 。源IP所在的主机可能被植入了Raccoon.Stealer 。

Raccoon也被称为 Mohazo或Racealer，是一个功效强盛的窃密木马 。它可以窃取主流浏览器、Cryptocurrency Wallets、Emails等客户端生涯的账号密码 。

更新时间：

20230502

 

事务名称：

DNS_下令控制_远控后门_Necurs_C2域名剖析请求

清静类型：

木马后门

事务形貌：

检测到Necurs 木马实验剖析C2域名 。Necurs 僵尸网络于 2012 年首次被发明，它由几百万台受熏染的装备组成，一直致力于分发银行恶意软件、加密挟制恶意软件、勒索软件以及每次运行时发送给数百万收件人的种种电子邮件举行诈骗 。

更新时间：

20230502

 

事务名称：

HTTP_其它注入_Apache-solr_服务器请求伪造误差[CVE-2017-3164][CNNVD-201902-575]

清静类型：

注入攻击

事务形貌：

检测到源IP主机正在使用ApacheSolr服务器请求伪造误差对目的主机举行攻击的行为 。

Apache Solr在 1.3-7.6 版本中的ReplicationHandler类对输入数据数据处置惩罚不当，保存服务器请求伪造误差 。结构恶意请求，可以探测服务器资源，进而攻击服务器内网 。

更新时间：

20230502

 

事务名称：

HTTP_误差使用_Apache-Solr_信息泄露[CVE-2021-44548]

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用Apache Solr 信息泄露误差对目的主机举行攻击的行为 。

ApacheSolr是一个开源的搜索服务，使用Java编写、运行在Servlet容器的一个自力的全文搜索服务器，是ApacheLucene项目的开源企业搜索平台 。该误差影响了8.11.1之前的所有Apache Solr版本（仅影响Windows平台） 。Apache Solr的DataImportHandler中保存一个不准确的输入验证误差，可使用Windows UNC路径从Solr主机挪用网络上的另一台主机的SMB服务，或导致SMB攻击，从而造成敏感数据泄露 。

更新时间：

20230502

 

事务名称：

TCP_木马后门_Gh0st.SQ_毗连C2服务器

清静类型：

木马后门

事务形貌：

检测到远控后门试图毗连远程服务器 。源IP所在的主机可能被植入了远控后门Gh0st.SQ 。Gh0st.SQ是一款基于Gh0st源码魔改的远控后门，运行后可以完全控制被植入机械 。通过供应链攻击的形式举行撒播，攻击者伪造高仿的软件下载页面，并在各大搜索引擎投放广告，指导用户下载装置捆绑远程控制木马的恶意装置包 。

更新时间：

20230502

 

修改事务

 

事务名称：

HTTP_僵尸网络_Andromeda_毗连

清静类型：

木马后门

事务形貌：

检测到僵尸网络Andromeda试图毗连远程服务器，源IP所在的主机可能被植入了Andromeda 。Andromeda是一个�？榛慕┦�，最原始的文件仅包括一个加载器 。运行时代，会从C&C服务器下载种种�？�，同时也具有反虚拟机和反调试的功效 。

更新时间：

20230502

 

事务名称：

HTTP_误差使用_下令执行_Apache_Solr_RunExecutableListener[CVE-2017-12629][CNNVD-201710-501]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用ApacheSolrsolr远程下令执行误差对目的主机举行攻击的行为 。ApacheSolr是Apache开发的一个开源的基于Lucene的全文搜索服务器 。其荟萃的设置要领（config路径）可以增添和修改监听器，通过RunExecutableListener执行恣意系统下令 。

更新时间：

20230502

 

事务名称：

HTTP_Apache_Solr远程反序列化代码执行误差[CVE-2019-0192][CNNVD-201903-229]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Apache Solr远程反序列化代码执行误差对目的主机举行攻击的行为 。

Apache Solr是一个开源的搜索服务器 。Solr使用Java语言开发，主要基于HTTP和 Apache Lucene实现 。Apache Solr solr.RunExecutableListener类保存远程代码执行误差，攻击者向网站发送全心结构的攻击payload，攻击乐成可以远程执行恣意下令，进而控制服务器 。

通过挪用Config API修改jmx.serviceUrl属性指向恶意的RMI服务，导致Apache Solr泛起远程反序列化代码执行的清静误差 。

实验举行恣意文件读取，窃取敏感信息 。

更新时间：

20230502


事务名称：

HTTP_提权攻击_Apache_Solr_Velocity_远程代码执行[CVE-2020-13957]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Apache_Solr_Velocity远程代码执行误差攻击目的IP主机的行为攻击乐成，可远程执行恣意代码 。

更新时间：

20230502

 

事务名称：

HTTP_提权攻击_Apache_Solr_远程代码执行误差[CVE-2019-17558][CNNVD-201912-1225]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用ApacheSolrVelocityResponseWriter远程代码执行误差对目的主机举行攻击的行为 。ApacheSolr是美国阿帕奇（Apache）软件基金会的一款基于Lucene（一款全文搜索引擎）的搜索服务器 。该产品支持层面搜索、笔直搜索、高亮显示搜索效果等 。ApacheSolr5.0.0版本至8.3.1版本中保存输入验证过失误差 。该误差源于网络系统或产品未对输入的数据举行准确的验证 。攻击者向网站发送全心结构的攻击payload，攻击乐成可以远程执行恣意下令，进而控制服务器 。实验举行恣意文件读取，窃取敏感信息 。

更新时间：

20230502

 

事务名称：

HTTP_清静误差_ToTolink_N600R路由器_Exportovpn_未授权下令注入

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过ToTolinkN600R路由器Exportovpn下令注入误差攻击目的IP主机 。在ToTolinkN600R路由器的cstecgi.cgi文件中，exportovpn接口保存下令注入，攻击者可借此未验证远程执行恶意下令 。

更新时间：

20230502

 

事务名称：

HTTP_Apache_Solr_SSRF误差[CVE-2021-27905]

清静类型：

注入攻击

事务形貌：

ApacheSolr是一个开源的搜索服务，使用Java编写、运行在Servlet容器的一个自力的全文搜索服务器，是ApacheLucene项目的开源企业搜索平台 。该误差是由于没有对输入的内容举行校验，攻击者可使用该误差在未授权的情形下，结构恶意数据执行SSRF攻击，最终造成恣意读取服务器上的文件 。

更新时间：

20230502


事务名称：

HTTP_提权攻击_Spring_Boot_Actuator_mysqljdbc_远程代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Actuator的/env接口设置属性将spring.datasource.url设置为外部恶意mysqljdbcurl地点 。SpringBootActuator是一款可以资助你监控系统数据的框架,其可以监控许多许多的系统数据,它有对应用系统的自省和监控的集乐成能，可以审查应用设置的详细信息 。

更新时间：

20230502

 

事务名称：

HTTP_提权攻击_PHP_imap_下令执行[CVE-2018-19518][CNNVD-201811-666]

清静类型：

清静误差

事务形貌：

在PHP和其他产品的imap_open（）中使用的UNIX上的华盛顿大学IMAP工具包2007f启动rsh下令（借助于c-client/imap4r1.c中的imap_rimap函数和osdep/unix/tcp_unix中的tcp_aopen函数.c），而不会阻止参数注入，若是IMAP服务器名称是不受信托的输入（例如，由Web应用程序的用户输入），并且rsh已被具有差别参数的程序替换，则远程攻击者可能会执行恣意OS下令语义 。例如，若是rsh是ssh的链接（如在Debian和Ubuntu系统上看到的），则攻击可以使用包括“-oProxyCommand”参数的IMAP服务器名称 。

更新时间：

20230502

 

事务名称：

TCP_提权攻击_Flask内存马注入_代码执行

清静类型：

清静误差

事务形貌：

检测到现在目的主机上的Flask服务在开放了添加路由功效的情形下，受到注入代码执行攻击 。Flask是一个使用Python编写的轻量级Web应用框架 。其WSGI工具箱接纳Werkzeug，模板引擎则使用Jinja2 。

更新时间：

20230502