2020-07-07

宣布时间 2020-07-09

新增事务


事务名称：

HTTP_代码执行_Liferay_Portal_远程代码执行[CVE-2020-7961]

清静类型：

清静误差

事务形貌：

Liferay是一个开源的Portal(认证)产品,提供对多个自力系统的内容集成,为企业信息、流程等的整合提供了一套完整的解决计划,和其他商业产品相比,Liferay有着许多优良的特征,并且免费,在全球都有较多用户。在Liferay6.1.x-7.2.x版本中保存通过未授权会见的api结构json语句导致反序列化误差进而执行攻击者代码下令的误差。

更新时间：

20200707











事务名称：

HTTP_F5_BIG_IP_远程代码执行误差[CVE-2020-5902]

清静类型：

清静误差

事务形貌：

F5 BIG-IP是美国F5公司的一款集成网络流量管理，应用程序清静管理，负载平衡等功效的应用交付平台。

更新时间：

20200707








事务名称：

DNS_后门_Worm.Morto_毗连

清静类型：

蠕虫病毒

事务形貌：

检测到蠕虫Morto试图毗连远程服务器。源IP所在的主机可能被植入了Morto。

Morto是一种蠕虫，使用RDP即远程桌面协议来撒播。Morto里内嵌了常见弱口令，使用弱口令登录远程桌面乐成，即把自身撒播已往。阻止到现在，在海内仍然非� ；钤�。

Morto通过DNS协议与其C&C通讯，可以执行C&C发送来的种种下令，如下载、DDoS攻击等。

更新时间：

20200707












事务名称：

HTTP_清静误差_Apache_Shiro_身份验证绕过误差[CVE-2020-11989]

清静类型：

清静误差

事务形貌：

Apache Shiro是一个强盛且易用的Java清静框架，它可以用来执行身份验证、授权、密码和会话管理。现在常见集成于种种应用中举行身份验证，授权等。关于Apache Shiro 1.5.3之前的版本，当将Apache Shiro与Spring控制器一起使用时，攻击者特制请求可能会导致身份验证绕过。

更新时间：

20200707










事务名称：

HTTP_通达OA_前台恣意用户登录误差

清静类型：

清静误差

事务形貌：

检测到源IP主机正在使用HTTP_通达OA_前台恣意用户登录误差对目的IP主机举行攻击的行为。该误差可造成前台无需密码登录管理员账号，攻击者使用误差进入后台后可配合文件上传误差获取服务器控制权，危害严重。

更新时间：

20200707










修改事务


事务名称：

HTTP_类菜刀流量_响应

清静类型：

木马后门

事务形貌：

中国菜刀是中国黑客圈内使用很是普遍的一款Webshell管理工具。中国菜刀用途十分普遍,支持多种语言,小巧适用，具有文件管理（有足够的权限时间可以管理整个磁盘/文件系统），数据库管理，虚拟终端等功效。关于这类管理工具，若是没有大宗的修改服务端剧本代码，其返回流量都会有一些常见的特征，本条规则将常见的配合特征提取出来举行防御性报警。由于此事务为较为宽泛的通用特征，可能保存误报，请参考特征性子判断字段举行判断。

更新时间：

20200707












事务名称：

HTTP_认证请求

清静类型：

清静审计

事务形貌：

该事务批注有用户正在向HTTP服务器发送基本认证请求。

HTTP基本认证差别于SSL，SSL提供对敏感数据加密传输的机制，而HTTP基本认证提供了对受� ；ぷ试吹幕峒刂普铰�。

在HTTP协议举行通讯的历程中，HTTP协议界说了基本认证历程以允许HTTP服务器对WEB浏览器举行用户身份认证的要领。当一个客户端向HTTP服务器举行数据请求时，若是客户端未被认证，则HTTP服务器将通过基本认证历程对客户端的用户名及密码举行验证，以决议用户是否正当。

客户端在吸收到HTTP服务器的身份认证要求后，会提醒用户输入用户名及密码，客户端将用户名和密码用“：”合并，并将合并后的字符串用BASE64加密为密文，并于每次请求数据时，将密文附加于请求头（Request Header）中。HTTP服务器在每次收到请求包后，凭证协议取得客户端附加的用户信息（BASE64加密的用户名和密码），解开请求包，对用户名及密码举行验证，若是用户名及密码准确，则凭证客户端请求，返回客户端所需要的数据 ；不然，返回过失代码或重新要求客户端提供用户名及密码。

HTTP基本认证的目的是提供简朴的用户验证功效，其认证历程简朴明晰，适合于对清静性要求不高的系统或装备中。

更新时间：

20200707






















事务名称：

TCP_SSH实验登录

清静类型：

木马后门

事务形貌：

检测到源IP地址主机正在向目的IP地址主机举行SSH登录口令猜解的行为。

SSH 为 Secure Shell 的缩写，由 IETF 的网络事情小组（Network Working Group）所制订 ；SSH 为建设在应用层和传输层基础上的清静协议。SSH 是现在较可靠，专为远程登录会话和其他网络服务提供清静性的协议。使用 SSH 协议可以有用避免远程管理历程中的信息泄露问题。SSH最初是UNIX系统上的一个程序，厥后又迅速扩展到其他操作平台。SSH在准确使用时可填补网络中的误差。SSH客户端适用于多种平台。险些所有UNIX平台包括HP-UX、Linux、AIX、Solaris、Digital UNIX、Irix，以及其他平台，都可运行SSH。

攻击者经� ；崾褂靡恍┍┝ζ平夤ぞ呒由厦苈胱值涞姆椒ɡ雌平夥衿鞯�SSH登任命户及口令。

口令穷举探测类事务界说为：在源IP地址与目的IP地址相同的情形下，统计单位时间内登录失败的次数，默以为一分钟内登录失败的次数凌驾20次，就会触发口令穷举事务，该事务的默认行动是阻断源地址。需特殊说明的是，若IPS或WAF装备串行安排在启用NAT(Network Address Translation，网络地址转换)的网络情形中，多个真实的源IP可能被转换成一个源IP，极端情形下，多个用户的正常上岸失败实验也可能会触发口令穷举探测事务，此时可以思量将该事务的默认响应行动修改为通过，以免影响正常营业。

更新时间：

20200707























事务名称：

HTTP_后门_Bitter.Rat(蔓灵花)_毗连

清静类型：

木马后门

事务形貌：

检测到木马试图毗连远程服务器。源IP所在的主机可能被植入了Bitter。

更新时间：

20200707







事务名称：

HTTP_通用_目录穿越误差
[CVE-2019-11510/CVE-2020-5410/CVE-2019-19781/CVE-2020-5902]

清静类型：

清静误差

事务形貌：

检测到源IP主机正在实验对目的IP主机举行目录穿越误差攻击实验的行为。目录穿越误差能使攻击者绕过Web服务器的会见限制，对web根目录以外的文件夹，恣意地读取甚至写入文件数据。

更新时间：

20200707