1、攻击者通过虚假的游戏作弊器传播Redline窃密木马 https://www.mcafee.com/blogs/other-blogs/mcafee-labs/redline-stealer-a-novel-approach/ 研究人员称，新的Redline窃密木马利用Lua字节码来规避检测，将恶意软件注入合法进程，并利用即时（JIT）编译。攻击者通过虚假的“Cheat Lab”和“Cheater Pro”的游戏作弊工具传播Reline窃密木马。该恶意软件以ZIP文件的形式进行传播，其中包含一个MSI安装程序，该安装程序在启动时解压缩两个文件（compiler.exe和lua51.dll），并释放一个包含恶意Lua字节码的“readme.txt 2、研究人员披露一种名为“MadMxShell”的后门 https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell 从2024年3月开始，研究人员发现攻击者利用一组伪装成合法IP扫描软件的网站，传播一种未曾发现的后门。攻击者使用拼写错误的手段注册了多个相似的域名，并利用Google广告将这些恶意域名推送到针对特定搜索关键字的搜索引擎结果顶部，从而引诱受害者访问这些网站。此次新发现的后门使用了多种技术，例如DLL侧加载、滥用DNS协议与命令和控制（C2）服务器通信、以及规避内存取证。研究人员将此后门命名为“Ma 3、R00TK1T组织声称窃取了雀巢公司的机密数据 https://cybersecuritynews.com/r00tk1t-claims/ 名为R00TK1T的黑客组织称，他们成功进入雀巢公司的系统，并获得了机密数据，但该组织尚未公布有关该事件的更多细节。雀巢公司尚未就该事件发表正式声明。然而，公司内部消息人士表示，内部调查正在进行中。 4、美国医疗保健供应商Cherry Health遭受勒索软件攻击 https://cybernews.com/news/cherry-health-ransomware-attack/ 在2024年4月16日的数据泄露通知信中，Cherry Health表示，他们经历了一起涉及患者个人数据的数据泄露事件。Cherry Health遭受了勒索软件攻击，勒索组织渗透受害者的网络、窃取和加密数据，然后要求支付赎金以换取失窃数据。涉及的数据包括名字和姓氏以及以下一个或多个数据元素的组合：名字、地址、电话号码、出生日期、健康保险信息、健康保险身份证号码、患者 ID 号、提供程序名称、服务日期、诊断/治疗信息、处方信息、财务账户信息、社会安全号码。 5、Junos OS中存在多个安全漏洞 https://cybersecuritynews.com/juniper-networks-flaws/ Junos OS中存在多个与拒绝服务（DoS）、路径遍历和跨站点脚本（XSS） 相关的安全漏洞。这些漏洞分别是CVE-2024-30409、CVE-2020-1606 和 CVE-2020-1607。这些漏洞的严重性介于5.3（中）到 7.5（高）之间。瞻博网络已经对这些漏洞进行了修复，并发布了相关的安全更新来解决这些问题。建议使用Junos OS和Junos OS演进产品的用户升级到最新版本，以防止攻击者利用这些漏洞。 6、网络钓鱼即服务平台LabHost被执法部门关闭，37人被捕 https://cybernews.com/news/labhost-seized-by-law-enforcement/ 网络钓鱼即服务平台LabHost已被执法部门关闭，并有37名嫌疑人被逮捕。根据欧洲刑警组织的说法，LabHost曾经是全球网络犯罪分子的重要工具，因为网络犯罪即服务已成为犯罪世界中发展最快的商业模式之一。通过按月订阅，LabHost提供了网络钓鱼工具包、用于托管页面的基础设施、用于与受害者互动的交互式功能以及活动概述服务。在2024年4月14日至17日期间，37名嫌疑人被确认并被逮捕。 7、HelloKitty勒索组织更名为HelloGookie https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-rebrands-releases-cd-projekt-and-cisco-data HelloKitty勒索组织声称他们将名称更改为“HelloGookie”，并公开了以前窃取的CD Projekt源代码、思科网络信息和一些解密密钥。发布该公告的攻击者名为“Gookee/kapuchin0”，声称是现已解散的HelloKitty勒索组织的原创始人。攻击者同时发布了4个可用于解密旧攻击活动中加密文件的解密密钥、2022年从思科窃取的内部信息，以及2021 8、联合国开发计划署遭受网络攻击 https://www.bleepingcomputer.com/news/security/united-nations-agency-investigates-ransomware-attack-claimed-by-8Base-gang/ 联合国开发计划署（UNDP）正在调查一起网络攻击事件。该组织透露，攻击者于3月下旬入侵了哥本哈根的IT基础设施。3月27日，联合国开发计划署收到威胁情报，称有攻击者窃取了数据，其中包括某些人力资源和采购信息。虽然UNDP尚未将这次攻击事件与特定的攻击组织联系起来，但8Base勒索组织于3月27日在其暗网数据泄露网站上将UNDP列为受害者。UNDP目前 9、CrushFTP更新修复了一个被利用的零日漏洞 https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-exploited-zero-day-immediately/ CrushFTP在发布的新版本中修复了一个被积极利用的零日漏洞，并敦促使用该产品的用户立即更新。该零日漏洞能使未经身份验证的攻击者逃脱用户的虚拟文件系统（VFS）并下载系统文件。该公司警告服务器仍在运行CrushFTP v9的客户立即升级到v11或通过仪表板进行更新。安全研究团队已经看到CrushFTP零日漏洞被用于有针对性的攻击。攻击者的目标是多个美国组织的CrushFTP服 10、MITRE表示攻击者通过Ivanti零日漏洞入侵其网络 https://medium.com/mitre-engenuity/advanced-cyber-threats-impact-even-the-most-prepared-56444e980dc8 MITRE Corporation表示，一个攻击组织于2024年1月通过两个Ivanti VPN零日漏洞入侵了其系统。该事件是在MITRE的网络实验、研究和虚拟化环境（NERVE）上检测到可疑活动后发现的。攻击者还通过使用会话劫持来绕过多因素身份验证（MFA）防御，这允许他们使用被劫持的管理员帐户横向移动被破坏网络的VMware基础架构。在整个事件中，攻击者结合使用了复杂的Web Shell和 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、FIN7组织针对美国汽车行业进行网络钓鱼攻击活动 https://blogs.blackberry.com/en/2024/04/fin7-targets-the-united-states-automotive-industryfin7-targets-american-automakers-it-staff-in-phishing-attacks/ FIN7组织针对一家美国大型汽车制造商，向其IT部门的员工发送鱼叉式网络钓鱼电子邮件，以投递Anunak后门。电子邮件中的链接将指向“advanced-ip-sccanner[.]com”，该域名对合法域名“advanced-ip-scanner[.]com”进行了模仿。研究人员发现，该虚假 2、攻击者针对存在漏洞的Atlassian服务器部署Cerber勒索软件 https://www.cadosecurity.com/blog/cerber-ransomware-dissecting-the-three-heads 攻击者正在针对存在漏洞的Atlassian服务器部署Cerber（又名C3RB3R）勒索软件的Linux变种。这些攻击利用了CVE-2023-22518（CVSS 评分：9.1），这是一个影响Atlassian Confluence数据中心和服务器的严重安全漏洞，允许未经身份验证的攻击者重置Confluence并创建管理员帐户。研究人员称，已观察到出于经济动机的网络犯罪组织滥用新创建的管理员帐户来安装Effluence Web shel 3、研究人员披露名为SoumniBot的新型安卓恶意软件 https://securelist.com/soumnibot-android-banker-obfuscates-app-manifest/112334 研究人员近期发现一种名为“SoumniBot”的新安卓恶意软件，使用一种不太常见的混淆方法，该方法使SoumniBot能够规避安卓手机中的标准安全措施并执行信息窃取操作。清单文件（“AndroidManifest.xml”）位于每个应用的根目录中，包含有关组件（服务、广播接收器、内容提供商）、权限和应用数据的详细信息。恶意APK可以使用Zimperium的各种压缩技巧来欺骗安全工具并规避分析，但研究人员发现，SoumniBot使用了三种 4、僵尸网络利用TP-LINK AX21漏洞CVE-2023-1389进行大规模传播 https://www.fortinet.com/blog/threat-research/botnets-continue-exploiting-cve-2023-1389-for-wide-scale-spread 2023年，研究人员披露了一个命令注入漏洞CVE-2023-1389，并为TP-Link Archer AX21（AX1800）的 Web管理界面开发了修复程序。最近，研究人员观察到针对该漏洞的多次攻击活动，主要涉及Moobot、Miori、基于Golang的代理“AGoent”和Gafgyt Variant等僵尸网络。尽管漏洞CVE-2023-1389已在去年被披露，但许多 5、Oracle发布2024年4月安全更新解决了372个漏洞 https://cybersecuritynews.com/alert-oracle-releases-critical-patch-update-2024 Oracle发布了2024年4月的安全更新，解决了多个产品中的372个漏洞。关键补丁更新修复了Oracle产品中的安全漏洞，包括数据库服务器、融合中间件、企业管理器、电子商务套件、供应链产品套件、Siebel CRM、Oracle Sun产品、Java SE等。此次更新包括对几个关键安全漏洞的修复，这些漏洞可能允许攻击者远程执行代码、操作数据或未经授权访问系统。修复的漏洞跨越多个严重级别，其中34个被归类为“Critical”，这意味着 6、美国最大的医疗服务提供商因网络攻击损失 8.72 亿美元 https://www.freebuf.com/news/398310.html 联合健康集团（UnitedHealth Group）报告称，自 2 月份以来，勒索软件攻击扰乱了美国的医疗系统，并已经给其造成了 8.72 亿美元的损失。勒索软件攻击造成的影响包括 5.93 亿美元的直接网络攻击响应成本和 2.79 亿美元的业务中断成本。 7、研究表明，全球互联网流量竟有一半来自机器人 https://cybernews.com/news/most-internet-traffic-comes-from-bots/ 报告称，早期的恶意机器人规避技术依赖于伪装成合法人类用户常用的用户代理（浏览器），现在，伪装成移动用户的机器人将占到了所有机器人流量的 44%。 8、Chirp Systems软件控制的智能锁被发现严重的安全漏洞 https://www.securitylab.ru/news/547516.php 该漏洞是由于密码和私钥被硬编码在 Chirp Android 应用程序中。这些数据可用于访问智能锁供应商奥古斯特的 API，从而远程控制锁具。 9、Kimsuky 利用许可性 DMARC 政策伪造电子邮件 https://www.inforisktoday.com/kimsuky-uses-permissive-dmarc-policies-to-spoof-emails-a-24857 Kimsuky 黑客利用电子邮件诱使受害者下载携带恶意软件的文档，同时将其作为主要情报收集工具，通过冒充记者或智库工作人员向目标征求分析意见。 10、Meta虚假信息泛滥，俄罗斯被指借此干预欧盟选举 https://www.freebuf.com/news/398315.html 据非营利性分析机构 AI Forensics 的一份新报告称，一个已知网络一直在 Meta 平台（Facebook、Instagram、Messenger 和 Threads）上针对法国和德国的欧盟选举进行亲俄宣传。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

说在前面： 什么是pyc文件？ pyc是一种二进制文件，是由py文件经过编译后，生成的文件，是一种byte code，py文件变成pyc文件后，加载的速度有所提高，pyc 文件是 Python 编译过的字节码文件。它是 Python 程序在运行过程中由源代码（通常是 .py 文件）自动或手动编译产生的二进制文件。 而且pyc是一种跨平台的字节码，是由[Python]的虚拟机来执行的，这个是类似于[Java]或者.NET的虚拟机的概念。pyc的内容，是跟python的版本相关的，不同版本编译后的pyc文件是不同的，2.5编译的pyc文件，2.4版本的python是无法执行的。 为什么需要pyc文件？ 因为py文件是可以直接看到源码的，如果你是开发商业软件的话，不可能把源码也泄漏出去吧？所以就需要编译为pyc后，再发布出去。当然，pyc文件也是可以反编译的，不同版本编译后的pyc文件是不同的，根据python源码中提供的opcode，可以根据pyc文件反编译出py文件源码，网上可以找到一个反编译python2.3版本的pyc文件的工具，不过该工具从python2.4开始就要收费了，如果需要反编译出新版本的pyc文件的话，就需要自己动手了,不过你可以自己修改python的源代码中的opcode文件，重新编译python，从而防止不法分子的破解。 pyc文件 解法：uncompyle6直接反编译 eg. def check(): flag=1+1 if(flag==2): return "right" return "error" print(check()) 这是我们所写的一个简单的python例子 现在我们来生成pyc文件 这里用的是python3 pyhton -m test.py pyc文件也是可以运行的 我们在对应的文件夹的搜索框下输入powershell 然后输入 python .\test.pyc 可以看到即使是运行py文件也是可以运行的 但区别的是我们没法看到pyc文件里面是什么东西，即使拖进IDA里面也无济于事 所以这里我们需要下载一个工具 uncompyle6.exe 在终端打开并输入 pip install uncompyle 安装后包含uncompyle6 但是版本为3.8.0 会导致一些软件的反编译失败建议使用下面命令回到3.7.4版本 pip install uncompyle6==3.7.4 安装以后，我们回到我们的tmp目录并打开powershell输入 uncompyle6.exe .\test.py 这里我们就得到了源码 接下来的操作就跟windows逆向别无二致了 txt里面是pyc字节码 解法： 读py字节码 根据opcode文件查询意思 我们先来得到我们test.py例子的字节码 在powershell下先输入python 然后输入 import dis,marshal f=open("test.pyc", "rb").read() f dis和marshal库 一个是装载库 一个是反编译字节码的库 我们可以将我们的test.pyc导入010Editor中配合着一起看 python2的前八个字节是python2的魔术字 python3的前十六个字节是python3的魔术字 所以我们可以不用读前十六位 我们只需要读后十六位的东西 code=marshal.loads(f[16:]) code 现在我们读进来的是二进制数据，我们可以用dis来进行反编译 就会得到python的字节码 可以理解成python的汇编读出来了 dis.dis(code) 这就是python的汇编 我们这里是直接将pyc文件uncompyle6回去的，但是在CTF中一般都是把python的汇编直接复制粘贴出来丢给我们... 所以我们只能硬看...或者配合点东西 比如python的opcode一起看 补充一点：python2是3个字节为1个指令 python3是2个字节为1个指令 比如test.pyc中LOAD_CONST 指令就占用了0，1两个字节 所以下条指令就从3开始了 1           0 LOAD_CONST               0 (<code object keyinit at 0x0000028C1CC11D20, file "crackPYC.py", line 1>) 2 LOAD_CONST               1 ('keyinit') 4 MAKE_FUNCTION            0 6 STORE_NAME               0 (keyinit) 8           8 LOAD_NAME                1 (__name__) 10 LOAD_CONST               2 ('__main__') 12 COMPARE_OP               2 (==) 14 POP_JUMP_IF_FALSE      250 9          16 LOAD_NAME                2 (print) 18 LOAD_CONST               3 ('Can you crack pyc?') 20 CALL_FUNCTION            1 22 POP_TOP 10          24 LOAD_NAME                3 (input) 26 LOAD_CONST               4 ('Plz give me your flag:') 28 CALL_FUNCTION            1 30 STORE_NAME               4 (str)     #将输入的字符存入str内 11          32 LOAD_CONST               5 (108) 34 LOAD_CONST               6 (17) 36 LOAD_CONST               7 (42) 38 LOAD_CONST               8 (226) 40 LOAD_CONST               9 (158) 42 LOAD_CONST              10 (180) 44 LOAD_CONST              11 (96) 46 LOAD_CONST              12 (115) 48 LOAD_CONST              13 (64) 50 LOAD_CONST              14 (24) 52 LOAD_CONST              15 (38) 54 LOAD_CONST              16 (236) 56 LOAD_CONST              17 (179) 58 LOAD_CONST              18 (173) 60 LOAD_CONST              19 (34) 62 LOAD_CONST              20 (22) 64 LOAD_CONST              21 (81) 66 LOAD_CONST              22 (113) 68 LOAD_CONST              15 (38) 70 LOAD_CONST              23 (215) 72 LOAD_CONST              24 (165) 74 LOAD_CONST              25 (135) 76 LOAD_CONST              26 (68) 78 LOAD_CONST              27 (7) 12          80 LOAD_CONST              28 (119) 82 LOAD_CONST              29 (97) 84 LOAD_CONST              30 (45) 86 LOAD_CONST              31 (254) 88 LOAD_CONST              32 (250) 90 LOAD_CONST              33 (172) 92 LOAD_CONST              34 (43) 94 LOAD_CONST              35 (62) 96 BUILD_LIST              32           #建立容量为32的列表 98 STORE_NAME               5 (text)    #以上32个数据为text数组的数值 13         100 LOAD_NAME                6 (len)     102 LOAD_NAME                4 (str)     104 CALL_FUNCTION            1 106 LOAD_CONST              36 (32) 108 COMPARE_OP               3 (!=) 110 POP_JUMP_IF_TRUE       140           #判断str即输入字符串的长度是否为32，不是则跳转到140 112 LOAD_NAME                4 (str)     114 LOAD_CONST              37 (0) 116 LOAD_CONST              27 (7) 118 BUILD_SLICE              2 120 BINARY_SUBSCR 122 LOAD_CONST              38 ('DASCTF{') 124 COMPARE_OP               3 (!=) 126 POP_JUMP_IF_TRUE       140           #判断str字符串的前七位是否为'DASCTF{',不是则跳转到140 128 LOAD_NAME                4 (str) 130 LOAD_CONST              39 (31) 132 BINARY_SUBSCR 134 LOAD_CONST              40 ('}') 136 COMPARE_OP               3 (!=) 138 POP_JUMP_IF_FALSE      154           #判断str字符串的最后一位也就是31位是否为'}',不是则跳转到154 #因为如果不跳转继续执行的话就会执行到输入字符串符合的一段代码使程序   #退出 14     >>  140 LOAD_NAME                2 (print)     142 LOAD_CONST              41 ('Bye bye~~') 144 CALL_FUNCTION            1 146 POP_TOP 15         148 LOAD_NAME                7 (exit) 150 CALL_FUNCTION            0 152 POP_TOP                              #退出程序 16     >>  154 LOAD_NAME                8 (list)     156 LOAD_NAME                4 (str) 158 CALL_FUNCTION            1 160 STORE_NAME               9 (st)      #创建列表st 17         162 BUILD_LIST               0 164 STORE_NAME              10 (key) 18         166 LOAD_NAME                0 (keyinit) 168 LOAD_NAME               10 (key) 170 CALL_FUNCTION            1 172 POP_TOP 19         174 SETUP_LOOP              48 (to 224) 176 LOAD_NAME               11 (range) 178 LOAD_CONST              36 (32) 180 CALL_FUNCTION            1 182 GET_ITER >>  184 FOR_ITER                36 (to 222) 186 STORE_NAME              12 (i)         #相当于for i in range(0,32) 20         188 LOAD_NAME               13 (ord) 190 LOAD_NAME                4 (str) 192 LOAD_NAME               12 (i) 194 BINARY_SUBSCR 196 CALL_FUNCTION            1 198 LOAD_NAME               10 (key)         200 LOAD_NAME               12 (i) 202 LOAD_NAME                6 (len) 204 LOAD_NAME               10 (key) 206 CALL_FUNCTION            1             208 BINARY_MODULO                          #key元素少于str元素，所以要把i和key的长度取余避免越界 210 BINARY_SUBSCR 212 BINARY_XOR 214 LOAD_NAME                9 (st) 216 LOAD_NAME               12 (i) 218 STORE_SUBSCR                           #此处代码将str和key中的元素进行异或处理后存入st 220 JUMP_ABSOLUTE          184             #相当于st[i] = ord(str[i]) ^ key[i % len(key)] >>  222 POP_BLOCK                             21     >>  224 LOAD_NAME                9 (st)         226 LOAD_NAME                5 (text) 228 COMPARE_OP               2 (==) 230 POP_JUMP_IF_FALSE      242             #对比st数组和text数组，不相等则跳转到地址242处 22         232 LOAD_NAME                2 (print) 234 LOAD_CONST              42 ('Congratulations and you are good at PYC!') 236 CALL_FUNCTION            1 238 POP_TOP 240 JUMP_FORWARD             8 (to 250) 24     >>  242 LOAD_NAME                2 (print) 244 LOAD_CONST              43 ('Sorry,plz learn more about pyc.') 246 CALL_FUNCTION            1 248 POP_TOP >>  250 LOAD_CONST              44 (None) 252 RETURN_VALUE Disassembly of <code object keyinit at 0x0000028C1CC11D20, file "crackPYC.py", line 1>: 2           0 LOAD_CONST               1 (0) 2 STORE_FAST               1 (num) 3           4 SETUP_LOOP              42 (to 48) 6 LOAD_GLOBAL              0 (range) 8 LOAD_CONST               2 (8)   10 CALL_FUNCTION            1 12 GET_ITER >>   14 FOR_ITER                30 (to 46) 16 STORE_FAST               2 (i)         #相当于for i in range(0,8) #从这里我们可以知道key的长度为8 4          18 LOAD_FAST                1 (num) 20 LOAD_CONST               3 (7508399208111569251) 22 BINARY_SUBTRACT 24 LOAD_CONST               4 (4294967295) 26 BINARY_MODULO 28 STORE_FAST               1 (num) 5          30 LOAD_FAST                0 (key) 32 LOAD_METHOD              1 (append) 34 LOAD_FAST                1 (num) 36 LOAD_CONST               5 (24) 38 BINARY_RSHIFT                         #不理解这一句的意思 40 CALL_METHOD              1            #但这一段代码就是给key赋值 42 POP_TOP 44 JUMP_ABSOLUTE           14 >>   46 POP_BLOCK >>   48 LOAD_CONST               0 (None) 50 RETURN_VALUE 这段代码的总体意思就是将输入的str字符串与key数组进行异或加密后存入st数组并于text数组进行对比我们可以从代码中得之text数组的元素值也可以知道str的前七位必为’DASCTF{’，最后一位必为’}’，而key数组只有8位，所以对str的加密是8位8位的进行的又因为异或具有自反性，所以可以据’DASCTF{‘字符串与text前7个元素做异或处理得出前7位，再将’}'与text最后一位进行异或 处理得出第8位，就可以得到key的整个数组 这段汇编最关键的部分如下 Disassembly of <code object keyinit at 0x0000028C1CC11D20, file "crackPYC.py", line 1>: 2           0 LOAD_CONST               1 (0) 2 STORE_FAST               1 (num) 3           4 SETUP_LOOP              42 (to 48) 6 LOAD_GLOBAL              0 (range) 8 LOAD_CONST               2 (8)   10 CALL_FUNCTION            1 12 GET_ITER >>   14 FOR_ITER                30 (to 46) 16 STORE_FAST               2 (i)         #相当于for i in range(0,8) #从这里我们可以知道key的长度为8 4          18 LOAD_FAST                1 (num) 20 LOAD_CONST               3 (7508399208111569251) 22 BINARY_SUBTRACT 24 LOAD_CONST               4 (4294967295) 26 BINARY_MODULO 28 STORE_FAST               1 (num) 5          30 LOAD_FAST                0 (key) 32 LOAD_METHOD              1 (append) 34 LOAD_FAST                1 (num) 36 LOAD_CONST               5 (24) 38 BINARY_RSHIFT                         #不理解这一句的意思 40 CALL_METHOD              1            #但这一段代码就是给key赋值 42 POP_TOP 44 JUMP_ABSOLUTE           14 >>   46 POP_BLOCK >>   48 LOAD_CONST               0 (None) 50 RETURN_VALUE 首先就是一个num的初始化 因为LOAD_CONST推送到堆栈 然后STORE_FAST将TOS（python的栈）存储到本地中 这两条结合起来 其实意思就是 num=0 接下来 SETUP_LOOP(delta) 将一个循环的块推送到块堆栈。该块跨越当前指令，大小为delta字节。 LOAD_GLOBAL 定义一个全局变量 range LOAD_CONST定义一个常量 8 配合着utools里面程序员手册里面的Python库硬看 for i in range(8): 然后关键的这一步 首先LOAD_FAST 将num压入栈堆，然后又把一个常量（7508399208111569251）推送到堆栈中 然后又执行BINARY_SUBTRACT 也就是减操作 即栈的后一位减去栈顶，对应到代码中也就是num减去这个常量 然后又推了个值4294967295 然后进行BINARY_MODULO操作 这是栈顶后一位取余栈顶的值 最后STORE_FAST 存储到num这个变量 所以这关键的一步python代码应该是 num=(num-7508399208111569251)%4294967295 后面干的操作大体就是 LOAD_FAST num 然后LOAD_CONST 24 然后BINARY_RSHIFT 主要是就是栈顶后一位右移栈顶数据的值 然后存储到key里面 大概就是这么个意思 print(num>>24) 结合起来就是这样的 num=0 for i in range(8):    num=(num-7508399208111569251)%4294967295    print(num>>24) 这样我们就得到这道题的密钥 40 80 121 161 202 242 27 67 然后采用每八个字节都去异或一下这个密钥，flag就出来了 s=[108,17,42,226,158,180,96,115,64,24,38,236,179,173,34,22,81,113,38,215,165,135,68,7,119,97, 45,254,250,172,43,62] key=[] flag='' num=0 for i in range(8):    num=(num-7508399208111569251)%4294967295    key.append(num>>24) for i in range(32):    flag += chr(key[i%len(key)] ^ s[i]) print(flag) 打包成exe的pyc文件 解法： 通过脚本变成结构体和一个文件 重点：再把时间属性和版本的魔术字放回去保存 uncompyle6即可 下载完题目发现这是个exe文件 但是图标又是很明显的pyc文件 所以这是个打包成exe的py文件 这里我们需要用到一个工具pyinstxtractor.py 把这个py文件复制到我们的题目文件夹里面 在搜索框中输入powershell 在打开的终端中输入 python .\pyinstxtractor.py .\attachment.exe 运行后生成attachment.exe_extracted文件夹，进入之后看到一些源文件，由于我电脑上的python是3.8版本，解包要3.6版本，所以生成了不正常的入口文件login而不是login.pyc，想要变成正常的可反编译的pyc文件就要对生成文件进行修改。（如果不嫌麻烦可以换一下python3.6的环境） 现在开始修改login入口文件，这里用的是winhex。 修改之前需要了解一点，在将python文件打包成exe文件的过程中，会抹去pyc文件前面的部分信息，所以在反编译之前需要检查并添加上这部分信息，这部分信息可以通过struct文件获取。 windex中打开struct文件后，把struct文件前几个字节插入login开头。（具体要插入几个字节还是要看解包后的文件，我的文件是E3字节码前面的丢失，那么就只需要看struct中E3之前的字节码有哪些，ctrl + c复制，然后在login开头ctrl + v 粘贴即可。） 修改后如下 保存后 将login后缀名修改为.pyc即可 将login.pyc复制粘贴到题目的文件夹后打开powershell终端 并且调用uncompyle6.exe uncompyle6.exe .\login.pyc 就可以看到源码了 import sys input1 = input('input something:') if len(input1) != 14:    print('Wrong length!')    sys.exit() else:    code = []    for i in range(13):        code.append(ord(input1[i]) ^ ord(input1[(i + 1)]))    code.append(ord(input1[13]))    a1 = code[2]    a2 = code[1]    a3 = code[0]    a4 = code[3]    a5 = code[4]    a6 = code[5]    a7 = code[6]    a8 = code[7]    a9 = code[9]    a10 = code[8]    a11 = code[10]    a12 = code[11]    a13 = code[12]    a14 = code[13]    if (a1 * 88 + a2 * 67 + a3 * 65 - a4 * 5 + a5 * 43 + a6 * 89 + a7 * 25 + a8 * 13 - a9 * 36 + a10 * 15 + a11 * 11 + a12 * 47 - a13 * 60 + a14 * 29 == 22748) & (a1 * 89 + a2 * 7 + a3 * 12 - a4 * 25 + a5 * 41 + a6 * 23 + a7 * 20 - a8 * 66 + a9 * 31 + a10 * 8 + a11 * 2 - a12 * 41 - a13 * 39 + a14 *        print('flag is GWHT{md5(your_input)}')        print('Congratulations and have fun!')    else:        print('Sorry,plz try again...') 看到一堆数字 就明白这是要解方程 用z3库来写方便点 from z3 import * #初始化变量 a1, a2, a3, a4, a5, a6, a7, a8, a9, a10, a11, a12, a13, a14 = Ints("a1 a2 a3 a4 a5 a6 a7 a8 a9 a10 a11 a12 a13 a14") x = Solver() #根据题目来添加限制 x.add(a1 * 88 + a2 * 67 + a3 * 65 - a4 * 5 + a5 * 43 + a6 * 89 + a7 * 25 + a8 * 13 - a9 * 36 + a10 * 15 + a11 * 11 + a12 * 47 - a13 * 60 + a14 * 29 == 22748) x.add(a1 * 89 + a2 * 7 + a3 * 12 - a4 * 25 + a5 * 41 + a6 * 23 + a7 * 20 - a8 * 66 + a9 * 31 + a10 * 8 + a11 * 2 - a12 * 41 - a13 * 39 + a14 * 17 == 7258) x.add(a1 * 28 + a2 * 35 + a3 * 16 - a4 * 65 + a5 * 53 + a6 * 39 + a7 * 27 + a8 * 15 - a9 * 33 + a10 * 13 + a11 * 101 + a12 * 90 - a13 * 34 + a14 * 23 == 26190) x.add(a1 * 23 + a2 * 34 + a3 * 35 - a4 * 59 + a5 * 49 + a6 * 81 + a7 * 25 + a8 * 128 - a9 * 32 + a10 * 75 + a11 * 81 + a12 * 47 - a13 * 60 + a14 * 29 == 37136) x.add(a1 * 38 + a2 * 97 + a3 * 35 - a4 * 52 + a5 * 42 + a6 * 79 + a7 * 90 + a8 * 23 - a9 * 36 + a10 * 57 + a11 * 81 + a12 * 42 - a13 * 62 - a14 * 11 == 27915) x.add(a1 * 22 + a2 * 27 + a3 * 35 - a4 * 45 + a5 * 47 + a6 * 49 + a7 * 29 + a8 * 18 - a9 * 26 + a10 * 35 + a11 * 41 + a12 * 40 - a13 * 61 + a14 * 28 == 17298) x.add(a1 * 12 + a2 * 45 + a3 * 35 - a4 * 9 - a5 * 42 + a6 * 86 + a7 * 23 + a8 * 85 - a9 * 47 + a10 * 34 + a11 * 76 + a12 * 43 - a13 * 44 + a14 * 65 == 19875) x.add(a1 * 79 + a2 * 62 + a3 * 35 - a4 * 85 + a5 * 33 + a6 * 79 + a7 * 86 + a8 * 14 - a9 * 30 + a10 * 25 + a11 * 11 + a12 * 57 - a13 * 50 - a14 * 9 == 22784) x.add(a1 * 8 + a2 * 6 + a3 * 64 - a4 * 85 + a5 * 73 + a6 * 29 + a7 * 2 + a8 * 23 - a9 * 36 + a10 * 5 + a11 * 2 + a12 * 47 - a13 * 64 + a14 * 27 == 9710) x.add(a1 * 67 - a2 * 68 + a3 * 68 - a4 * 51 - a5 * 43 + a6 * 81 + a7 * 22 - a8 * 12 - a9 * 38 + a10 * 75 + a11 * 41 + a12 * 27 - a13 * 52 + a14 * 31 == 13376) x.add(a1 * 85 + a2 * 63 + a3 * 5 - a4 * 51 + a5 * 44 + a6 * 36 + a7 * 28 + a8 * 15 - a9 * 6 + a10 * 45 + a11 * 31 + a12 * 7 - a13 * 67 + a14 * 78 == 24065) x.add(a1 * 47 + a2 * 64 + a3 * 66 - a4 * 5 + a5 * 43 + a6 * 112 + a7 * 25 + a8 * 13 - a9 * 35 + a10 * 95 + a11 * 21 + a12 * 43 - a13 * 61 + a14 * 20 == 27687) x.add(a1 * 89 + a2 * 67 + a3 * 85 - a4 * 25 + a5 * 49 + a6 * 89 + a7 * 23 + a8 * 56 - a9 * 92 + a10 * 14 + a11 * 89 + a12 * 47 - a13 * 61 - a14 * 29 == 29250) x.add(a1 * 95 + a2 * 34 + a3 * 62 - a4 * 9 - a5 * 43 + a6 * 83 + a7 * 25 + a8 * 12 - a9 * 36 + a10 * 16 + a11 * 51 + a12 * 47 - a13 * 60 - a14 * 24 == 15317) print(x.check()) print(x.model()) 得到下面这些玩意 [a13 = 88, a3 = 10, a4 = 7, a10 = 108, a12 = 74, a1 = 119, a7 = 28, a6 = 43, a9 = 52, a14 = 33, a5 = 104, a8 = 91, a2 = 24, a11 = 88] 也就是[119, 24, 10, 7, 104, 43, 28, 91, 52, 108, 88, 74, 88, 33] 按照ord(input1[i]) ^ ord(input1[i + 1])进行异或, 反推回input 然后反推一个异或:注意这里源代码中code和a不是一一对应的....就是源码中a1=code[2]这些的 aim = [119, 24, 10, 7, 104, 43, 28, 91, 52, 108, 88, 74, 88, 33] #a1,a2,a3,a4,a5,a6,a7,a8,a9,a10,a11,a12,a13,a14 aim = [10, 24, 119, 7, 104, 43, 28, 91, 108, 52, 88, 74, 88, 33] #code[0]=a3,code[1]=a2.....源码中的.... print(len(aim)) flag = [0 for i in range(14)] flag[13] = aim[13] for i in range(12, -1, -1):#从12开始 到-1终止，每一步是-1 flag[i] = aim[i] ^ flag[i+1] print(flag) [85, 95, 71, 48, 55, 95, 116, 104, 51, 95, 107, 51, 121, 33], 转换为字符串 c = [85, 95, 71, 48, 55, 95, 116, 104, 51, 95, 107, 51, 121, 33] for i in c:    print(chr(i), end="") print("\n") 最后得到U_G07_th3_k3y! 交上去是不对的，还需要将其转换为md5才可以 加花指令的pyc 解法： 根据uncompyle6和字节码判断花 读取co_code的长度 去掉花 并修改co_code长度 保存uncompyle6即可 不加花指令的代码 def check(): flag=5+5 if(flag==10): return "right" return "Wrong" #input=raw_input("Input something") print(check()) 我们先分别运行一下加了花指令和没有加花指令的pyc文件，看看加了花指令的pyc文件是否能输出right 我们可以看到 加了花指令的pyc文件 即Pz_error.pyc也是可以输出right的 因为会把加了花指令的指令直接跳过去，就导致执行是没什么问题的 但是如果调用uncompyle6来反编译出源代码的话，加了花指令的pyc文件就会报错 最下面报错的信息给我们的是 tuple index out of range 数组下标越界 我们先来得到Pz_error.pyc的字节码，然后用code.marshal,loads(f[8:])读取魔术字8位后的东西，并将其反编译，看看花指令是加在哪条指令上了 我们可以看到 JUMP_ABSOLUTE将字节码计数器设置为目标 强制跳转到18 18也就是正常指令之后 LOAD_CONST 255 我们没有加花指令的py文件 就那么点代码 哪来的255，所以明显花指令就是在这里了。 所以我们现在定位到了花指令的地方，我们要做的就是把花指令去掉 并且修改co_code长度 也就是整个pyc文件的长度 那么我们来进行第二步 读取co_code的长度 len(code.co_code) 我们可以看到是27个字节 我们把Pz_error.pyc丢进Winhex里面 那么我们该怎么在Winhex里面定位到我们所要找的花指令呢？ 我们要借助python2程序里面的opcode.h工具 已知花指令是JUMP_ABSOLUTE 在opcode.h里面搜索JUMP_ABSOLUTE 113转换为16进制就是71 在Winhex里面找的71那条 因为python2是3个字节码为1个指令 接下来 我们找LOAD_CONST这条指令在opcode.h对应的数字 100对应的16进制数字就是64 255对应的16进制数就是FF 所以基本可以确定 71 12 00 64 FF 00 这六个就是我们要找的花指令 然后delete键删掉 现在我们到了第三步 修改co_code的长度 我们刚读出来Pz_error.pyc字节码长度是27 27-6=21 27对应的16进制数是1B 21对应的16进制数是15 我们在winhex里面将找的1B修改为15，然后保存，这样我们的Pz_error.pyc就修好了 现在我们来试试看uncompyle6能否反编译出来 大功告成！

1、VPN软件Libreswan存在安全漏洞，影响数百万用户 https://cybersecuritynews.com/popular-vpn-software-flaw/ 流行的虚拟专用网络（VPN）软件Libreswan中存在一个严重漏洞，使数百万用户处于危险之中。该漏洞被标记为CVE-2024-3652，可能允许攻击者使受影响的系统崩溃，从而可能中断关键服务并泄露敏感数据。该漏洞影响Libreswan的3.22至4.14版本，该问题已在该软件的高版本中得到解决，Libreswan 3.0 – 3.21、4.15及更高版本以及5.0及更高版本不受该漏洞的影响。 2、Ivanti警告其Avalanche MDM中存在安全缺陷 https://www.bleepingcomputer.com/news/security/ivanti-warns-of-critical-flaws-in-its-avalanche-mdm-solution/ Ivanti近期发布了安全更新，以修复其Avalanche移动设备管理（MDM）解决方案中的27个漏洞，其中2个安全漏洞可被用于进行远程命令执行。这两个关键的安全漏洞分别是CVE-2024-24996和CVE-2024-29204。它们都是由基于堆的缓冲区溢出引起的，这些漏洞可让未经身份验证的远程攻击者在不需要用户交互的低复杂度攻击中对易受攻击的系统执行任意命令。Ivanti还 3、思科披露针对VPN及SSH服务的大规模暴力破解攻击活动 https://blog.talosintelligence.com/large-scale-brute-force-activity-targeting-vpns-ssh-services-with-commonly-used-login-credentials/ 思科警告说，攻击者正在针对全球思科、CheckPoint、Fortinet、SonicWall和Ubiquiti设备上的VPN和 SSH服务进行大规模的凭据暴力破解活动。该攻击活动中的暴力破解尝试组合使用通用用户名和特定组织的有效用户名。这些攻击的目标似乎不是针对特定地区或行业的。用于进行攻击的一些服务包括且不限于TOR、VPN 4、Chrome 124、Firefox 125 修补高严重性漏洞 https://www.securityweek.com/chrome-124-firefox-125-patch-high-severity-vulnerabilities/ Chrome 和 Firefox 安全更新解决了超过 35 个漏洞，其中包括十几个高严重性错误。 5、Cerber 勒索软件的 Linux 变体针对 Atlassian 服务器 https://securityaffairs.com/161962/cyber-crime/cerber-ransomware-cve-2023-22518-atlassian.html 威胁参与者正在利用 Atlassian 服务器中的 CVE-2023-22518 缺陷来部署 Cerber（又名 C3RB3R）勒索软件的 Linux 变体 6、研究表明，全球互联网流量竟有一半来自机器人 https://www.freebuf.com/news/398215.html 据Cyber News消息，Thales Imperva Bad Bot近期做了一份报告，显示在2023年有49.6%的互联网流量竟来自机器人，比上一年增长 2%，达到自2013年以来观察到的最高水平。 7、乌克兰黑客声称已入侵俄罗斯无人机开发商 Albatross https://therecord.media/russia-albatross-drones-alleged-data-leak-ukraine-cyber-resistance 乌克兰黑客声称入侵了俄罗斯无人机开发商 Albatross，泄露了 100 千兆字节的数据，包括内部文档、技术数据和各种无人机的图纸。 8、Muddled Libra将勒索攻击的重点转向SaaS和云计算 https://thehackernews.com/2024/04/muddled-libra-shifts-focus-to-saas-and.html 该威胁行为者战术演变的关键方面是利用侦察技术识别管理用户，伪装成技术支持人员通过电话获取其密码时进行定位。 9、Debian 修复了多个 GTKWave 漏洞 https://tuxcare.com/blog/several-gtkwave-vulnerabilities-fixed-in-debian/ 最近，Debian 安全团队修复了 GTKWave（VCD 文件的开源波形查看器）中的几个问题。这些漏洞如果被利用，可能会导致执行任意代码，给用户带来重大风险。 10、《网络安全运维实施指南》等3项国家标准公开征求意见 https://www.secrss.com/articles/65260 全国网络安全标准化技术委员会归口的《网络安全技术 网络安全运维实施指南》等3项国家标准现已形成标准征求意见稿。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、开源流处理平台Apache Kafka存在安全漏洞 https://cybersecuritynews.com/apache-kafka-security-flaw Apache Kafka是一个开源流处理平台，提供高性能的流式处理分析、数据集成和其他用途。研究人员在Apache Kafka中发现了一个新的不正确的访问控制漏洞，该漏洞可能允许攻击者破坏受影响资源上的CIA（机密性、完整性和可用性）。该漏洞被标记为CVE-2024-27309。受此漏洞影响的产品包括Apache Kafka版本3.5.0、3.5.1、3.5.2、3.6.0和3.6.1。建议使用Apache Kafka的用户升级到最新版本，以防止攻击者利用此漏洞。 2、美国环境保护署正对数据泄露事件进行调查 https://cybernews.com/news/epa-data-leak-investigation-already-public-info/ 美国环境保护署（EPA）证实，他们正在调查上周末由攻击者在黑客论坛上发布的涉嫌数据泄露的内容。该攻击者的用户名为“USDoD”，声称拥有三个EPA数据库文件，其中包含从世界各地的关键基础设施收集的联系信息。在进行初步分析后，美国环保署表示，这些数据似乎是已经向公众公开的业务联系信息。美国环保署没有提供进一步的信息，并表示他们仍在对此事进行调查。 3、沃尔玛证实其数据遭到泄露 https://cybernews.com/news/walmart-employee-data-breach/ 沃尔玛表示，一名员工在2023年9月至2024年3月期间访问了同事的就业管理账户。通过访问这些账户，该员工可能已经查看了某些工资单记录，并更改了一些员工的工资单信息，以进行工资欺诈活动。沃尔玛声称，一些敏感的员工数据可能遭到泄露，如名字、、电话号码、电子邮件地址、邮寄地址、社会安全号码、出生日期、银行帐号和路由号码。 4、LastPass公司称有攻击者对其进行Deepfake攻击 https://cybernews.com/news/password-manager-lastpass-deepfake-scam/ LastPass称他们经历了一次未遂的深度伪造攻击。该公司的一名员工收到了一系列电话、短信和至少一封语音邮件，其中包含攻击者在WhatsApp上冒充公司首席执行官卡里姆·图巴（Karim Toubba）的音频深度伪造。由于WhatsApp不是该公司常用的沟通渠道，因此此次事件引起了该员工的怀疑，并向安全团队报告了这一事件。该公司的安全团队表示，此次事件未对公司的整体安全造成影响。 5、Daixin勒索组织声称攻击Omni Hotels https://www.bleepingcomputer.com/news/security/daixin-ransomware-gang-claims-attack-on-omni-hotels Daixin Team勒索组织声称最近对Omni Hotels & Resorts进行了网络攻击，并威胁受害者支付赎金。尽管Daixin Team现在已将这家连锁酒店添加到他们的数据泄漏站点，但攻击者尚未发布能够证实他们说法数据样本，只是称他们将很快泄露据从Omni Hotels服务器中窃取的信息。该团伙还声称窃取的数据中包括敏感数据，包括从2017年至今所有访客的记录。 6、严重的 PuTTY 漏洞允许密钥恢复 https://www.securityweek.com/critical-putty-vulnerability-allows-secret-key-recovery/ PuTTY 的开发人员发布了一个更新来修补一个可用于恢复密钥的严重漏洞。 PuTTY 是一个适用于 SSH、Telnet 和其他网络协议的开源客户端程序，支持与远程服务器的连接和文件传输。 德国波鸿鲁尔大学的两名研究人员发现，客户端和相关组件“在NIST P-521的情况下生成严重偏差的 ECDSA 随机数”，从而实现完全密钥恢复。该漏洞被追踪为CVE-2024-31497。 7、多个云平台命令行工具存在数据泄露风险 https://www.securityweek.com/cloud-users-warned-of-data-exposure-risk-from-command-line-tools/ 云安全专家发现与 Azure、AWS 和 Google Cloud 命令行工具相关的数据暴露风险。 8、iOS 间谍软件LightSpy 再次针对南亚开展间谍活动 https://securityaffairs.com/161908/intelligence/ios-spyware-lightspy-asia.html 研究人员警告称，苹果 iOS 间谍软件 LightSpy 将再次针对南亚用户发起网络间谍活动。这种复杂的移动间谍软件在沉寂几个月后重新出现，新版本的 LightSpy 被称为“F_Warehouse”，支持具有广泛间谍功能的模块化框架。 9、微软将限制Exchange Online批量电子邮件以打击垃圾邮件 https://www.bleepingcomputer.com/news/microsoft/microsoft-will-limit-exchange-online-bulk-emails-to-fight-spam/ Exchange Online 强制执行 10,000 个收件人的收件人速率限制。2,000 个 ERR 限制将成为这 10,000 个收件人速率限制内的子限制。 10、新的 SteganoAmor 攻击利用隐写术攻击全球 320 个组织 https://www.bleepingcomputer.com/news/security/new-steganoamor-attacks-use-steganography-to-target-320-orgs-globally TA558 黑客组织开展的一项新活动正在使用隐写术将恶意代码隐藏在图像内，从而将各种恶意软件工具传递到目标系统上。这些攻击从包含看似无害的文档附件（Excel 和 Word 文件）的恶意电子邮件开始，这些附件利用了 CVE-2017-11882 缺陷，这是 2017 年修复的一个常见目标 Microsoft Office 公式编辑器漏洞。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前话： 对登录方法的轻视造成一系列的漏洞出现，对接口确实鉴权造成大量的信息泄露。从小程序到web端网址的奇妙的测试就此开始。（文章厚码，请见谅） 1. 寻找到目标站点的小程序 进入登录发现只需要姓名加学工号就能成功登录，通过googlehack的语法成功找到学生姓名和学号，想直接找老师的工号发现无果，信息收集到此为止 2. 通过学生的信息成功登录进去，进入熟悉的测试环节，成功找到sql注入 使用sqlmap成功跑出 3. 本以为测试到此位置了，突然在某个功能点有了意外之喜，发现了老师的工号，果断深度利用一手 竟然找到了老师的工号和身份证 既然教师的接口泄露的老师的工号，那领导的接口不也会泄露，果断放弃老师的工号，前去寻找领导的工号，果不其然 肯定挑官大的搞， 4. 成功通过领导的工号登录 权限有点大，找找还有利用的地方吗 5. 敏感信息泄露 成功找到一处接口，存在信息泄露，通过遍历得到大量身份证 几万条信息泄露还是有的 6. 转战web端的学工系统，发现是扫码登录，结合上面的领导账号尝试登录 通过微信绑定的手机号获取验证码，尝试能否登录 成功登录 7. 目录遍历 通过对该站点的测试发现该站点还存在目录遍历 篇幅有限，点到为止 总结： 建议学校对用户登录时多做校验，防止任意用户登录，对接口增加鉴权，对特殊字符进行过滤，加强网址的安全防护。在任何情况下，未经授权的渗透测试行为都是违法的，可能导致严重的法律后果。因此，在进行任何安全测试之前，请务必与目标单位达成明确的协议和授权。

2024年4月12日，安全牛第十一版《中国网络安全行业全景图》正式发布。本次发布的全景图，细分领域共收录2413项，收录国内网络安全厂商454家。 蚁景科技作为可靠的网络安全人才培养服务提供商，成功入选安全牛第十一版《中国网络安全行业全景图》的【安全靶场】、【安全意识与培训】细分领域。 本次入选《中国网络安全行业全景图》（第十一版），是网安行业权威研究机构对蚁景科技企业实力和品牌影响力的高度认可。 未来，蚁景科技将继续坚持优化人才培养、技术创新和产业发展的良性生态，致力于培养更多的网络安全专业优秀人才，推动网安技术教学的创新和应用，为网安人才实战能力的全面提升贡献力量。 关于蚁景科技 湖南蚁景科技有限公司作为专业的“网络安全人才培养服务提供商”，为配合国家网络安全人才培养战略，以市场需求为导向，以能力提升为目标，从高校科研、教学实训及企事业单位实际需求出发，基于对“互联网+教育”的深刻理解，通过自主研发的网络安全人才实训靶场——蚁景网安实验室，为高校、政企单位、科研院所等行业客户提供满足在线实验教学的虚拟实验环境与各种课件资源，同时为高校网络信息安全相关专业学生及广大网安爱好者提供网络安全认知实习、实习实训、技能培训、人才推荐等服务。

1、研究人员披露名为DarkBeatC2的攻击框架 https://www.deepinstinct.com/blog/darkbeatc2-the-latest-muddywater-attack-framework 研究人员称发现了一个以前未报告的C2框架，并认为APT组织MuddyWater使用了该攻击框架。与MuddyWater以前使用的C2框架相似，它是管理所有受感染计算机的中心点。攻击者通常通过以下几种方式建立与C2服务器的连接：1、手动执行PowerShell代码，以便在通过其他方法获得初始访问权限后与C2建立连接；2、以鱼叉式网络钓鱼邮件的形式传播恶意载荷；3、通过伪装合法应用程序来侧加载恶意DLL以执行代码，从而建立C2连接 2、比特梵德修复其GravityZone安全平台中的安全漏洞 https://cybersecuritynews.com/bitdefender-vulnerabilities-attack-control 比特梵德的GravityZone安全平台存在一个安全漏洞，CVSS评分为8.1，该漏洞可能允许攻击者远程访问并以低权限攻击服务器。该漏洞可使攻击者完全控制服务器的机密性、完整性和可用性。另一个漏洞与不正确的正则表达式相关，攻击者可以伪造服务器端请求并操纵更新中继配置。比特梵德发布了安全更新，以修复GravityZone中的这两个漏洞，即CVE-2024-2223和 CVE-2024-2224。 3、攻击者利用FatalRAT针对加密货币用户进行攻击 https://cyble.com/blog/fatalrats-new-prey-cryptocurrency-users-in-the-crosshairs 研究人员近期发现了一种针对加密货币用户的网络钓鱼活动。该活动传播了FatalRAT以及其他恶意功能模块，例如Clipper和Keylogger，并使用DLL侧加载技术来加载这些恶意软件及恶意功能模块。FatalRAT是一种远控木马，此次攻击活动攻击者传播的远控木马中包含一个Clipper模块，表示攻击者更加侧重于针对加密货币用户进行攻击。 4、美国资讯公司GMA披露数据泄露事件 https://cybernews.com/news/social-security-numbers-data-breach-gma 由于某种原因在花了九个月的时间后，美国咨询公司Greylock McKinnon Associates（GMA）披露了数据泄露事件，并表示该事件影响340000个社会安全号码。据该公司称，受影响的信息可能包括姓名、出生日期、地址、医疗保险索赔号码（包含与成员相关的社会安全号码）以及其他医疗或健康保险数据。有关此次事件的更多细节尚未公布。 5、美国富国银行向其客户通报数据泄露事件 https://cybernews.com/news/wells-fargo-suffers-data-breach 美国跨国银行富国银行（Wells Fargo）已向其客户通报了数据泄露事件。涉及的信息包括客户姓名和抵押贷款帐号。富国银行发言人表示，一名员工违反公司政策，将信息发送到他的个人帐户。此人已不再受雇于富国银行，并且有两名客户收到了有关数据泄露的通知。目前尚不清楚攻击何时发生，以及未经授权的个人可能访问了这些敏感信息多长时间。 6、Node.js中的高危漏洞，影响Windows平台中的多个版本 https://cybersecuritynews.com/node-js-flaw-malicious-code Node.js项目披露了一个高危安全漏洞，该漏洞影响了其在Windows平台中的多个发布版本。该漏洞被标识为CVE-2024-27980，攻击者能够利用该漏洞在受影响的系统上执行任意命令，对基于Node.js构建的应用程序和服务构成严重风险。鉴于该漏洞较为严重，建议Node.js用户立即更新至最新版本。 7、勒索软件组织声称从芯片制造商Nexperia窃取了大量数据 https://www.securityweek.com/ransomware-group-claims-theft-of-data-from-chipmaker-nexperia/ Dark Angels (Dunghill) 勒索软件组织声称从 Nexperia 窃取了 1 Tb 数据，目前 Nexperia 正在调查该事件。芯片制造商 Nexperia 已确认成为黑客的目标，此前一个已知的勒索软件组织声称从该公司的系统中窃取了大量数据。 8、乌克兰使用破坏性ICS恶意软件“Fuxnet”攻击俄基础设施 https://www.securityweek.com/destructive-ics-malware-fuxnet-used-by-ukraine-against-russian-infrastructure/ 工业和企业物联网网络安全公司 Claroty 对 Fuxnet 进行了分析，Fuxnet 是乌克兰黑客最近在针对俄罗斯地下基础设施公司的攻击中使用的一款工业控制系统 (ICS) 恶意软件。 9、Juniper发布数十个安全公告修补多个产品漏洞 https://www.securityweek.com/juniper-networks-publishes-dozens-of-new-security-advisories/ 瞻博网络上周发布了数十份公告，详细介绍了 Junos OS、Junos OS Evolved 和其他产品中的一百多个漏洞。 10、英特尔和联想 BMC 存在未修补的 Lighttpd 漏洞 https://thehackernews.com/2024/04/intel-and-lenovo-bmcs-contain-unpatched.html Binarly 的新发现显示，英特尔和联想等设备供应商仍未修补影响底板管理控制器 ( BMC )中使用的 Lighttpd Web 服务器的安全漏洞。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

挖掘目标的部署在微信的资产(减少信息的收集，毕竟一般web站点没有账号密码不好进入后台，挖掘功能点少) 1.寻找目标的微信小程序(非原图) 2.招生小程序打不开，只能挖掘管理系统 进入后发现存在上报安全隐患功能，可以上传图片 3.准备上传shell 发现控制上传名字参数为name，不是filename 修改后成功上传php脚本 4.放在浏览器发现不解析，直接下载，只能尝试上传xss 存储型xss加1 5.弱口令尝试失败，但是发现为Nginx搭建的(使用Wappalyer扩展) 6.因为之前有文件上传的漏洞，又是Nginx搭建的，通过Nginx的目录穿越漏洞去尝试任意文件覆盖(为了防止这个平台崩溃，只覆盖自己进行目录穿越后的文件) 覆盖前： (看上传文件路径，为uploads下，原为日期20240312下) 覆盖后： 任意文件覆盖加1，扩大危害(可以覆盖网站配置文件导致网站崩溃，也可以覆盖登录页面的js文件来进行钓鱼) 7.微信小程序测试完了(没有授权，不敢扩大危害获取账号密码)，就去试试公众号上的服务 没有账号密码可以进入的只有这个预约系统，直接bp启动(公众号图片不是原图，原图特征太明显了) 8.进入后没有什么功能点，成功fuzz出信息 尝试userid遍历，没有反应 直接寻找get请求放在Intruder模块进行接口fuzz(/api/user/下) 成果: creatorId对应值为身份证，敏感信息泄露加1 9.对fuzz出来的role接口进行拼接尝试 简单尝试下发现g了(没有权限) 10.峰回路转，之前测试这个没有写报告，重新测试时，接口fuzz的接口记错了，结果在上一级目录下又进行了一次fuzz(/api/下)，发现 微信ak-sk加access_token 身份证等敏感信息 主要这个接口的值还是实时刷新的，信息会变(看前后idCard匹配对比) 总结： 文件上传漏洞不能解析(低危漏洞)，但是碰见合适的框架漏洞(Nginx的目录穿越)，就变成的高危的任意文件覆盖，测试功能点找不到接口，试试接口fuzz，一下信息全部出来，立马高危，修复建议：修复历史漏洞，加强接口鉴权。

1、攻击者通过WSF脚本文件传播Raspberry Robin恶意软件 https://threatresearch.ext.hp.com/raspberry-robin-now-spreading-through-windows-script-files Raspberry Robin于2021年底首次被发现，是一种Windows蠕虫。研究人员发现攻击者传播Raspberry Robin的方式发生了变化。该恶意软件现在通过Windows脚本文件（WSF）进行传播。这些脚本经过高度混淆处理，并使用了一系列反分析技术，使恶意软件能够逃避检测。感染后，该恶意软件通过Tor与其命令和控制（C2）服务器进行通信。Raspberry Robin能够下载和执行额外的载荷文件 2、TA547使用Rhadamanthys窃密木马针对德国企业进行攻击 https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta547-targets-german-organizations-rhadamanthys-stealer 研究人员发现TA547针对德国组织开展了钓鱼邮件攻击活动，以传播Rhadamanthys窃密木马。这是研究人员首次观察到TA547使用Rhadamanthys，这是一种被多个攻击者所使用的窃密木马。 此外，TA547使用了恶意的PowerShell脚本，研究人员认为该脚本是由 ChatGPT、Gemini、CoPilot等大型语言模型（LLM）生成的。 3、法国足球俱乐部巴黎圣日耳曼遭受网络攻击 https://cybersecuritynews.com/french-football-club-cyber-attack/ 4月3日，法国足球俱乐部巴黎圣日耳曼（PSG）的信息系统部门检测到了对其俱乐部票务系统的“异常访问”。该俱乐部表示，目前没有证据表明任何数据被攻击者提取或利用。然而，此次事件确实暴露了某些类型的身份数据，包括姓名、电子邮件和邮政地址、手机号码、出生日期、账户状态以及部分模糊的IBAN。俱乐部向支持者保证，他们已采取一切必要措施来解决这种情况并防止此类事件再次发生。 4、思科NX-OS网络管理平台存在安全漏洞 https://cybersecuritynews.com/cisco-nexus-dashboard-vulnerability/ Cisco Nexus Dashboard Fabric Controller是适用于所有支持NX-OS的网络管理平台。研究人员在Cisco Nexus Dashboard交换矩阵控制器中发现一个新漏洞，该漏洞与带外（OOB）即插即用（PnP）功能相关。该漏洞允许未经身份验证的远程攻击者读取受影响设备上的任意文件。思科已经对该漏洞进行了修复，并发布了相关安全公告。该漏洞的CVE编号为CVE-2024-20348，评分为7.5。 5、Fortinet修复了其产品中的安全漏洞 https://securityaffairs.com/161674/security/forticlientlinux-rce.html Fortinet解决了FortiOS和其他产品中的多个漏洞，包括FortiClientLinux中的一个关键远程代码执行漏洞。该漏洞被标记为CVE-2023-45590，CVSS评分为9.4。该漏洞是FortiClientLinux中存在的代码生成控制不当（“代码注入”）问题。未经身份验证的攻击者可诱导FortiClientLinux用户访问特制网站，从而触发该漏洞以执行任意代码。 6、Palo Alto 称其防火墙中的漏洞被恶意利用 https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-firewall-zero-day-used-in-attacks/ Palo Alto Networks警告称，其PAN-OS防火墙中未修补的关键命令注入漏洞正在被攻击者恶意利用。该漏洞被标记为CVE-2024-3400，是一个命令注入漏洞，其CVSS评分为10.0，因为它不需要特殊权限或用户交互即可利用。研究人员称，目前有82000台暴露的在线设备可能容易受到CVE-2024-34000的攻击。 7、Roku警告576000个账号遭受撞库攻击的影响 https://www.bleepingcomputer.com/news/security/roku-warns-576-000-accounts-hacked-in-new-credential-stuffing-attacks Roku警告称，在3月初披露了一起入侵15000个账号的事件后，有576000个账号在新的撞库攻击中被黑客入侵。该公司表示，攻击者使用从其他在线平台窃取的登录信息，在撞库攻击中入侵尽可能多的活跃Roku账号。在发现第二波撞库攻击后，Roku已经重置了所有受影响账号的密码，并直接将该事件通知受影响的客户。 8、微软修复了两个被积极利用的安全漏洞 https://securityaffairs.com/161692/security/two-zero-day-malware-attacks.html 微软修复了两个零日漏洞，分别被标记为CVE-2024-29988和CVE-2024-26234，攻击者正在利用这些漏洞来传播恶意软件。CVE-2024-29988是SmartScreen安全提示功能绕过漏洞，该漏洞在野外被积极利用，但微软尚未在公告中证实。CVE-2024-26234是一种代理驱动程序欺骗漏洞，恶意的驱动程序将会使用有效的微软硬件发布者证书签名，以部署后门程序。 9、德国数据库公司Genios确认遭受勒索软件攻击 https://therecord.media/genios-germany-ransomware-attack GBI Genios是一家被德国众多媒体机构使用的数据库公司，该公司称其服务器遭受黑客攻击，并证实该事件是勒索软件攻击。这家总部位于慕尼黑的公司是“法兰克福汇报”和德国商报媒体集团的子公司。除媒体实体外，该公司的数据库还被大学和图书馆广泛使用。“法兰克福汇报”的一位发言人表示，其系统及其子公司没有受到影响。目前受害公司尚未针对此事透露更多细节。 10、研究人员称LockBit勒索组织可能更名为DarkVault https://cybernews.com/news/lockbit-dark-vault-rebrand 研究人员称，LockBit勒索组织似乎正计划更名为DarkVault。研究人员在查看DarkVault最近推出的网站时，发现其网站的一些部分存在与LockBit网站相似的元素，这可能是由于攻击者的失误而导致。在某一时刻，LockBit一定意识到了这个错误，现在DarkVault网站中与Lockbit相似的元素都已经消失了。目前DarkVault网站中尚未列出受害者列表。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。