每周升级通告-2022-11-08

宣布时间 2022-11-08
新增事务

 

事务名称：

HTTP_可疑行为_疑似会见恶意JNDI效劳_JNDIExploit工具

清静类型：

清静误差

事务形貌：

检测到疑似会见JNDIExploit工具天生的恶意JNDI效劳地点，，，，， ，可能正在遭受java反序列化攻击。。 。

更新时间：

20221108

 

事务名称：

TCP_提权攻击_Apache_Batik_代码执行[CVE-2022-40146]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用ApacheBatik全版本中保存的代码执行误差，，，，， ，从而获取目的主机的权限。。 。Batik是一个基于Java的工具包，，，，， ，适用于希望将可缩放矢量图形(SVG)名堂的图像用于种种目的（例如显示、天生或操作）的应用程序或小程序。。 。

更新时间：

20221108

 

事务名称：

HTTP_文件操作攻击_SiteServerCMS_文件下载[CVE-2022-36226]

清静类型：

清静误差

事务形貌：

SiteServerCMS5.0版本保存一个远程模板文件下载误差。。 。该误差是由于后台模板下载位置未对用户权限举行校验，，，，， ，且ajaxOtherService中的downloadUrl参数可控，，，，， ，攻击者可使用该误差，，，，， ，远程植入webshell。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_ScriptEngineManager_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用SnakeYAMLScriptEngineManager反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_JdbcRowSetImpl_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用SnakeYAML的JdbcRowSetImpl反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_XBean_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用XBean反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_JndiRefForwardingDataSource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用CP30JndiRefForwardingDataSource反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_WrapperConnectionPoolDataSource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用CP30WrapperConnectionPoolDataSource反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_Resource_SnakeYAML反序列化使用链_代码执行

清静类型：

清静误差

事务形貌：

检测到源ip正在使用Resource反序列化使用链举行攻击，，，，， ，从而获取目的系统权限。。 。SnakeYaml是Java用于剖析Yaml（YetAnotherMarkupLanguage）名堂数据的类库，，，，， ，它提供了dump要领可以将一个Java工具转为Yaml名堂字符串,其load要领也能够将Yaml字符串转为Java工具。。 。

更新时间：

20221108

 

事务名称：

HTTP_可疑行为_远程下令执行(通过参数传输)

清静类型：

清静误差

事务形貌：

检测到源IP主机正在通过HTTP请求的参数向目的IP发送疑似带有远程下令执行要害字的请求。。 。

更新时间：

20221108

 

事务名称：

HTTP_可疑行为_远程下令执行(通过参数传输)

清静类型：

清静误差

事务形貌：

检测到源IP主机正在通过HTTP请求的参数向目的IP发送疑似带有远程下令执行要害字的请求。。 。

更新时间：

20221108

 

修改事务

 

事务名称：

HTTP_提权攻击_Oracle_WebLogic_反序列化_代码执行[CVE-2019-2725/CVE-2019-2729]

清静类型：

清静误差

事务形貌：

此误差是由于应用在处置惩罚反序列化输入信息时保存缺陷，，，，， ，攻击者可以通过发送全心结构的恶意HTTP请求，，，，， ，用于获得目的效劳器的权限，，，，， ，并在未授权的情形下执行远程下令，，，，， ，最终获取效劳器的权限。。 。CVE-2019-2729是CVE-2019-2725的绕过。。 。受影响版本为：OracleWebLogicServer,versions10.3.6.0.0,12.1.3.0.0,12.2.1.3.0

更新时间：

20221108

 

事务名称：

TCP_提权攻击_Jackson_Databind_反序列化_代码执行[CVE-2019-14379]

清静类型：

清静误差

事务形貌：

Jackson是一个能够将java工具序列化为JSON字符串，，，，， ，也能够将JSON字符串反序列化为java工具的框架。。 。攻击者可能使用jackson的可疑反序列化类ehcache攻击目的IP主机。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_Apache_Shiro_v1.7.1以下_权限绕过[CVE-2020-17523][CNNVD-202102-238]

清静类型：

清静误差

事务形貌：

检测到源ip正在使用ApacheShiro1.7.1之前版本保存的权限绕过误差，，，，， ，从而在未授权的情形下绕过shiro的权限校验会见到敏感内容。。 。ApacheShiro是一个强盛且易用的Java清静框架，，，，， ，它可以用来执行身份验证、授权、密码和会话治理。。 。现在常见集成于种种应用中举行身份验证，，，，， ，授权等

更新时间：

20221108

 

事务名称：

HTTP_清静审计_可疑UA

清静类型：

清静审计

事务形貌：

检测到源IP地点的主机正在使用WEB扫描工具(如：sqlmap、nessus等)对目的IP地点举行误差扫描。。 。WEB扫描器通常是攻击者用来做效劳扫描、误差测试等。。 。通过误差扫描，，，，， ，可以自动快速探测一些常见误差情形，，，，， ，当保存误差时便于后续举行使用攻击。。 。

更新时间：

20221108

 

事务名称：

HTTP_木马后门_Win32.Zebrocy.Downloader(APT28)_毗连

清静类型：

木马后门

事务形貌：

检测到Zebrocy试图毗连远程效劳器。。 。源IP所在的主机可能被植入了Zebrocy。。 。Zebrocy是APT28组织使用的工具，，，，， ，包括3个组件。。 。其中两个基于Delphi、AutoIT的下载者木马，，，，， ，另一个是基于Delphi的后门，，，，， ，本事务是针对下载者木马的检测。。 。APT28是具有俄罗斯配景的APT组织，，，，， ，也被称为Sofacy、FancyBear、Sednit、TsarTeam等。。 。

更新时间：

20221108

 

事务名称：

HTTP_文件操作攻击_Coppermine_Photo_Gallery_目录遍历

清静类型：

CGI攻击

事务形貌：

检测到源IP主机正在使用CopperminePhotoGallery中保存的目录遍历误差举行攻击的行为。。 。CopperminePhotoGallery（CPG）是Coppermine团队开发的一套基于Web的相册治理系统。。 。该系统提供用户治理、相册密码会见限制和自动天生缩略图等功效。。 。CopperminePhotoGallery的1.5.44及之前版本的pic_editor.php保存目录遍历误差。。 。该误差源于程序没有准确检查用户的输入。。 。远程攻击者可借助目录遍历字符‘../'、‘..%2f..%2f’使用该误差读取恣意文件。。 。允许远程攻击者读取恣意文件

更新时间：

20221108

 

事务名称：

TCP_提权攻击_WebLogic_Blind_XXE注入[CVE-2020-14820][CNNVD-202010-994]

清静类型：

注入攻击

事务形貌：

检测到源IP主机正在使用WebLogicBlindXXE注入误差对目的主机举行攻击的行为，，，，， ，该误差主要影响Weblogic10.3.6.0.0Weblogic12.1.3.0.0Weblogic12.2.1.3.0Weblogic12.2.1.4.0Weblogic14.1.1.0.0版本，，，，， ，通过该误差，，，，， ，攻击者可以在未授权的情形下将payload封装在T3或IIOP协议中，，，，， ，通过对协议中的payload举行反序列化，，，，， ，从而实现对保存误差的WebLogic组件举行远程BlindXXE攻击。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_ThinkCMF_代码执行

清静类型：

清静误差

事务形貌：

ThinkCMF是一款基于ThinkPHP+MySQL开发的开源中文内容治理框架。。 。远程攻击者在无需任何权限情形下，，，，， ，可使用此误差结构恶意的url，，，，， ，向效劳器写入恣意内容的文件，，，，， ，抵达远程代码执行的目的。。 。影响版本ThinkCMFX1.6.0，，，，， ，ThinkCMFX2.1.0，，，，， ，ThinkCMFX2.2.0，，，，， ，ThinkCMFX2.2.1，，，，， ，ThinkCMFX2.2.2，，，，， ，ThinkCMFX2.2.3。。 。

更新时间：

20221108

 

事务名称：

HTTP_提权攻击_WebSVN_远程下令执行[CVE-2021-32305]

清静类型：

清静误差

事务形貌：

检测到源ip正在通过WebSVN的search.php页面结构恣意下令举行攻击，，，，， ，从而下载恶意文件或执行恶意下令。。 。WebSVN是一个基于Web的SubversionRepository浏览器，，，，， ，可以审查文件或文件夹的日志，，，，， ，审查文件的转变列表等。。 。

更新时间：

20221108

 

事务名称：

TCP_木马后门_Win32/Linux_ircBot_毗连

清静类型：

其他事务

事务形貌：

检测到ircBot试图毗连远程效劳器。。 。源IP所在的主机可能被植入了ircBot。。 。ircBot是基于irc协议的僵尸网络，，，，， ，主要功效是对指定目的主机提倡DDoS攻击。。 �；；；箍梢韵略仄渌《镜奖恢踩牖怠�。 。对指定目的主机提倡DDoS攻击。。 。

更新时间：

20221108

 

事务名称：

HTTP_清静误差_ToTolink_N600R路由器_Exportovpn_未授权下令注入

清静类型：

清静误差

事务形貌：

检测到源IP主机正试图通过ToTolinkN600R路由器Exportovpn下令注入误差攻击目的IP主机。。 。在ToTolinkN600R路由器的cstecgi.cgi文件中，，，，， ，exportovpn接口保存下令注入，，，，， ，攻击者可借此未验证远程执行恶意下令。。 。

更新时间：

20221108

 

事务名称：

HTTP_清静误差_若依CMS_远程下令执行误差

清静类型：

清静误差

事务形貌：

若依后台治理系统使用了snakeyaml的jar包，，，，， ，snakeyaml是用来剖析yaml的名堂，，，，， ，可用于Java工具的序列化、反序列化。。 。由于若依后台妄想使命处，，，，， ，关于传入的"挪用目的字符串"没有任何校验，，，，， ，导致攻击者可以结构payload远程挪用jar包，，，，， ，从而执行恣意下令。。 。

更新时间：

20221108