每周升级通告-2022-11-08

宣布时间 2022-11-08
新增事务

 

事务名称：

HTTP_可疑行为_疑似会见恶意JNDI服务_JNDIExploit工具

清静类型：

清静误差

事务形貌：

检测到疑似会见JNDIExploit工具天生的恶意JNDI服务地点 ，可能正在遭受java反序列化攻击 。

更新时间：

20221108

 

事务名称：

TCP_提权攻击_Apache_Batik_代码执行[CVE-2022-40146]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用ApacheBatik全版本中保存的代码执行误差 ，从而获取目的主机的权限 。Batik是一个基于Java的工具包 ，适用于希望将可缩放矢量图形(SVG)名堂的图像用于种种目的（例如显示、天生或操作）的应用程序或小程序 。

更新时间：

20221108

 

事务名称：

HTTP_文件操作攻击_SiteServerCMS_文件下载[CVE-2022-36226]

清静类型：

清静误差

事务形貌：

SiteServerCMS5.0版本保存一个远程模板文件下载误差 。该误差是由于后台模板下载位置未对用户权限举行校验 ，且ajaxOtherService中的downloadUrl参数可控 ，攻击者可使用该误差 ，远程植入webshell 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_ScriptEngineManager_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用SnakeYAMLScriptEngineManager反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_JdbcRowSetImpl_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用SnakeYAML的JdbcRowSetImpl反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_XBean_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用XBean反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_JndiRefForwardingDataSource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用CP30JndiRefForwardingDataSource反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_WrapperConnectionPoolDataSource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用CP30WrapperConnectionPoolDataSource反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_Resource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Resource反序列化使用链举行攻击 ，从而获取目的系统权限 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库 ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具 。

更新时间：

20221108

 

事务名称：

HTTP_可疑行为_远程下令执行(通过参数传输)

清静类型：

清静误差

事务形貌：

检测到源IP主机正在通过HTTP请求的参数向目的IP发送疑似带有远程下令执行要害字的请求 。

更新时间：

20221108

 

事务名称：

HTTP_可疑行为_远程下令执行(通过参数传输)

清静类型：

清静误差

事务形貌：

检测到源IP主机正在通过HTTP请求的参数向目的IP发送疑似带有远程下令执行要害字的请求 。

更新时间：

20221108

 

修改事务

 

事务名称：

HTTP_提权攻击_Oracle_WebLogic_反序列化_代码执行[CVE-2019-2725/CVE-2019-2729]

清静类型：

清静误差

事务形貌：

此误差是由于应用在处置惩罚反序列化输入信息时保存缺陷 ，攻击者可以通过发送全心结构的恶意HTTP请求 ，用于获得目的服务器的权限 ，并在未授权的情形下执行远程下令 ，最终获取服务器的权限 。CVE-2019-2729是CVE-2019-2725的绕过 。受影响版本为：OracleWebLogicServer,versions10.3.6.0.0,12.1.3.0.0,12.2.1.3.0

更新时间：

20221108

 

事务名称：

TCP_提权攻击_Jackson_Databind_反序列化_代码执行[CVE-2019-14379]

清静类型：

清静误差

事务形貌：

Jackson是一个能够将java工具序列化为JSON字符串 ，也能够将JSON字符串反序列化为java工具的框架 。攻击者可能使用jackson的可疑反序列化类ehcache攻击目的IP主机 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_权限绕过[CVE-2020-17523][CNNVD-202102-238]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用ApacheShiro1.7.1之前版本保存的权限绕过误差 ，从而在未授权的情形下绕过shiro的权限校验会见到敏感内容 。ApacheShiro是一个强盛且易用的Java清静框架 ，它可以用来执行身份验证、授权、密码和会话治理 。现在常见集成于种种应用中举行身份验证 ，授权等

更新时间：

20221108

 

事务名称：

HTTP_清静审计_可疑UA

清静类型：

清静审计

事务形貌：

检测到源IP地点的主机正在使用WEB扫描工具(如：sqlmap、nessus等)对目的IP地点举行误差扫描 。WEB扫描器通常是攻击者用来做服务扫描、误差测试等 。通过误差扫描 ，可以自动快速探测一些常见误差情形 ，当保存误差时便于后续举行使用攻击 。

更新时间：

20221108

 

事务名称：

HTTP_木马后门_Win32.Zebrocy.Downloader(APT28)_毗连

清静类型：

木马后门

事务形貌：

检测到Zebrocy试图毗连远程服务器 。源IP所在的主机可能被植入了Zebrocy 。Zebrocy是APT28组织使用的工具 ，包括3个组件 。其中两个基于Delphi、AutoIT的下载者木马 ，另一个是基于Delphi的后门 ，本事务是针对下载者木马的检测 。APT28是具有俄罗斯配景的APT组织 ，也被称为Sofacy、FancyBear、Sednit、TsarTeam等 。

更新时间：

20221108

 

事务名称：

HTTP_文件操作攻击_Coppermine_Photo_Gallery_目录遍历

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用CopperminePhotoGallery中保存的目录遍历误差举行攻击的行为 。CopperminePhotoGallery（CPG）是Coppermine团队开发的一套基于Web的相册治理系统 。该系统提供用户治理、相册密码会见限制和自动天生缩略图等功效 。CopperminePhotoGallery的1.5.44及之前版本的pic_editor.php保存目录遍历误差 。该误差源于程序没有准确检查用户的输入 。远程攻击者可借助目录遍历字符‘../'、‘..%2f..%2f’使用该误差读取恣意文件 。允许远程攻击者读取恣意文件

更新时间：

20221108

 

事务名称：

TCP_提权攻击_WebLogic_Blind_XXE注入[CVE-2020-14820][CNNVD-202010-994]

清静类型：

注入攻击

事务形貌：

检测到源IP主机正在使用WebLogicBlindXXE注入误差对目的主机举行攻击的行为 ，该误差主要影响Weblogic10.3.6.0.0Weblogic12.1.3.0.0Weblogic12.2.1.3.0Weblogic12.2.1.4.0Weblogic14.1.1.0.0版本 ，通过该误差 ，攻击者可以在未授权的情形下将payload封装在T3或IIOP协议中 ，通过对协议中的payload举行反序列化 ，从而实现对保存误差的WebLogic组件举行远程BlindXXE攻击 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_ThinkCMF_代码执行

清静类型：

清静误差

事务形貌：

ThinkCMF是一款基于ThinkPHP+MySQL开发的开源中文内容治理框架 。远程攻击者在无需任何权限情形下 ，可使用此误差结构恶意的url ，向服务器写入恣意内容的文件 ，抵达远程代码执行的目的 。影响版本ThinkCMFX1.6.0 ，ThinkCMFX2.1.0 ，ThinkCMFX2.2.0 ，ThinkCMFX2.2.1 ，ThinkCMFX2.2.2 ，ThinkCMFX2.2.3 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_WebSVN_远程下令执行[CVE-2021-32305]

清静类型：

清静误差

事务形貌：

检测到源ip正在通过WebSVN的search.php页面结构恣意下令举行攻击 ，从而下载恶意文件或执行恶意下令 。WebSVN是一个基于Web的SubversionRepository浏览器 ，可以审查文件或文件夹的日志 ，审查文件的转变列表等 。

更新时间：

20221108

 

事务名称：

TCP_木马后门_Win32/Linux_ircBot_毗连

清静类型：

其他事务

事务形貌：

检测到ircBot试图毗连远程服务器 。源IP所在的主机可能被植入了ircBot 。ircBot是基于irc协议的僵尸网络 ，主要功效是对指定目的主机提倡DDoS攻击 � ；箍梢韵略仄渌《镜奖恢踩牖� 。对指定目的主机提倡DDoS攻击 。

更新时间：

20221108

 

事务名称：

HTTP_清静误差_ToTolink_N600R路由器_Exportovpn_未授权下令注入

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过ToTolinkN600R路由器Exportovpn下令注入误差攻击目的IP主机 。在ToTolinkN600R路由器的cstecgi.cgi文件中 ，exportovpn接口保存下令注入 ，攻击者可借此未验证远程执行恶意下令 。

更新时间：

20221108

 

事务名称：

HTTP_清静误差_若依CMS_远程下令执行误差

清静类型：

清静误差

事务形貌：

若依后台治理系统使用了snakeyaml的jar包 ，snakeyaml是用来剖析yaml的名堂 ，可用于Java工具的序列化、反序列化 。由于若依后台妄想使命处 ，关于传入的"挪用目的字符串"没有任何校验 ，导致攻击者可以结构payload远程挪用jar包 ，从而执行恣意下令 。

更新时间：

20221108