每周升级通告-2021-05-04

宣布时间 2021-05-06

新增事务


事务名称：

HTTP_Seowon-SlC-130-Router_远程代码执行[CVE-2020-17456]

清静类型：

清静误差

事务形貌：

主机正在遭受Seowon-SlC-130-Router_远程代码执行攻击误差编号:CVE-2020-17456影响装备:SlC-130、SLR-120S误差危害水平:可以获取到装备的shell ，并且是以root权限。误差爆发的位置:爆发的位置在测试网络联通的地方 ，也就是ping的地点 ，这个地方可以被绕过经由以前对路由器误差的研究 ，不少的路由器误差爆发点都在这个部分�？⒅霸倍允淙氲牟问挥芯傩杏杏玫难橹ず筒环ㄗ址�。

更新时间：

20210504


事务名称：

HTTP_清静误差_F5-BIG-IP_/mgmt/tm/access/bundle-install-tasks处_远程代码误差[CVE-2021-22986][CNNVD-202103-770]

清静类型：

清静误差

事务形貌：

目今主机正在遭受F5-BIG-IP_远程代码误差攻击。BIG-IP保存代码执行误差 ，该误差允许界说身份验证的攻击者通过BIG-IP治理界面和自身IP地点对iControlREST接口举行网络会见 ，以执行恣意系统下令 ，建设或删除文件以及替换服务。该误差只能通过控制界面使用 ，而不可通过数据界面使用。

更新时间：

20210504


修改事务


事务名称：

HTTP_IIS剖析误差

清静类型：

清静误差

事务形貌：

检测到使用IIS文件名后缀剖析过失的上传行为当试图实验或使用WEB应用或服务器平台的MIME检测误差时势件被触发,攻击者可以实验通过上传种种恶意文件来攻击目的主机。攻击乐成 ，可远程执行恣意代码。

更新时间：

20210504


image.png

事务名称：

HTTP_Nginx剖析误差

清静类型：

清静误差

事务形貌：

检测到使用Nginx文件名后缀剖析过失的上传行为。nginx是俄罗斯软件开发者IgorSysoev所研发的一款HTTP和反向署理服务器 ，也可以作为邮件署理服务器。该误差源于程序没有准确验证包括未转义空格字符的请求URI。远程攻击者可使用该误差绕过既定的限制。攻击乐成 ，可远程执行恣意代码。

更新时间：

20210504


事务名称：

HTTP_Adobe_ColdFusion反序列化误差[CVE-2018-15958/15959][CNNVD-201809-488]

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过AdobeColdFusion误差攻击目的IP主机。AdobeColdFusion的FlashGateway服务保存反序列化误差 ，未经身份验证的攻击者向目的AdobeColdFusion的FlashGateway服务发送全心结构的恶意数据 ，可远程执行恣意代码。误差保存的版本：AdobeColdFusion2016.0Update6AdobeColdFusion2016.0Update5AdobeColdFusion2016.0Update4AdobeColdFusion2016.0Update3AdobeColdFusion2016.0Update2AdobeColdFusion2016.0Update1AdobeColdFusion2018.0.0.310739AdobeColdFusion11Update9AdobeColdFusion11Update8AdobeColdFusion11Update7AdobeColdFusion11Update6AdobeColdFusion11Update5AdobeColdFusion11Update4AdobeColdFusion11Update3AdobeColdFusion11Update2AdobeColdFusion11Update14AdobeColdFusion11Update13AdobeColdFusion11Update12AdobeColdFusion11Update11AdobeColdFusion11Update10AdobeColdFusion11Update1实验使用CVE-2018-15958AdobeColdFusion反序列化误差攻击。

更新时间：

20210504


事务名称：

HTTP_ThinkPHP5远程代码执行误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用ThinkPHP框架远程代码执行误差攻击目的IP主机的行为 ，试图远程注入PHP代码 ，在目的服务器上执行恣意代码或下令。ThinkPHP是一个盛行的轻量级国产PHP开发框架。当Web网站是基于ThinkPHP框架开发时 ，可能保存该误差时。攻击者发送全心结构的PHP代码在目的主机上执行 ，妄想进一步控制服务器。攻击乐成 ，可远程执行恣意代码。

更新时间：

20210504


image.png

事务名称：

HTTP_Apache_Solr_Velocity_远程代码执行误差_Config_API

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用Apache_Solr_Velocity远程代码执行误差_Config_API攻击目的IP主机的行为攻击乐成 ，可远程执行恣意代码。

更新时间：

20210504


事务名称：

TCP_Java静态挪用_java.lang.Runtime_远程代码执行

清静类型：

清静误差

事务形貌：

检测到源目的IP正在使用Java静态挪用java.lang.Runtime方法举行远程代码执行攻击的行为。在Java中 ，程序开发职员通�；嵬ü蔡灿胘ava.lang.Runtime方法执行外部的Shell下令。Runtime类是Java程序的运行时情形 ，开发者可以通过getRuntime()要领获取目今Runtime运行时工具的引用。通常在Java相关的应用系统中 ，若是处置惩罚外手下令执行时 ，没有对用户的输入做合理有用的过滤 ，攻击者可以使用这个误差远程注入下令或代码并执行。诸如Struts2、Spring这些应用一经被披露出保存Java远程代码执行误差 ，例如Ognl表达式和SpEL表达式的恣意代码执行误差。攻击者通过静态挪用java.lang.Runtime方法在有缺陷应用中执行恣意代码或下令 ，进一步完全控制目的服务器。实验远程执行恣意代码。

更新时间：

20210504


事务名称：

HTTP_类菜刀流量_响应

清静类型：

木马后门

事务形貌：

中国菜刀是中国黑客圈内使用很是普遍的一款Webshell治理工具。中国菜刀用途十分普遍,支持多种语言,小巧适用 ，具有文件治理（有足够的权限时间可以治理整个磁盘/文件系统） ，数据库治理 ，虚拟终端等功效。关于这类治理工具 ，若是没有大宗的修改服务端剧本代码 ，其返回流量都会有一些常见的特征 ，本条规则将常见的配合特征提取出来举行防御性报警。由于此事务为较为宽泛的通用特征 ，可能保存误报 ，请参考特征性子判断字段举行判断。允许攻击者完全控制被植入机械。

更新时间：

20210504


事务名称：

HTTP_清静误差_WordPress_Easy_WP_SMTP日志文件探测

清静类型：

清静误差

事务形貌：

检测检测到源IP主机正在使用WordPress的Easy_WP_SMTP插件日志袒露在外举行未授权会见及密码恶意修改；EasyWPSMTP允许您设置和通过SMTP服务器发送所有外发电子邮件。这样可以避免您的电子邮件进入收件人的垃圾邮件文件夹。

更新时间：

20210504


事务名称：

HTTP_可疑行为_wget_curl下载可疑文件并执行

清静类型：

可疑行为

事务形貌：

检测到源IP主机正在向目的IP主机发送可疑下令 ，实验控制目的IP主机下载可疑文件并执行。

更新时间：

20210504


删除事务


1. HTTP_木马后门_webshell_AntSword_php控制下令

2. TCP_冰蝎_php_webshell_上传

3. TCP_RealVNC_RFB协议远程认证绕过误差[CVE-2006-2369]

4. HTTP_Citrix_ADC_远程代码执行误差[CVE-2020-8193][CNNVD-202007-367]

5. HTTP_清静误差_泛微OA8_前台SQL执行