每周升级通告-2023-05-30

宣布时间 2023-05-30

新增事务

 

事务名称：

HTTP_注入攻击_E-Cology_detail_LoginSSO_SQL注入[CNVD-2021-33202]

清静类型：

注入攻击

事务形貌：

检测到攻击正在使用泛微OAE-Cology_detail_LoginSSO前台sql注入执行误差,泛微detail."107" valign="center" style="padding: 0px 7px; border-left-width: 1px; border-left-color: windowtext; border-right-width: 1px; border-right-color: windowtext; border-top: none; border-bottom-width: 1px; border-bottom-color: windowtext; background: rgb(255, 255, 255);">

更新时间：

20230530

 

事务名称：

DNS_下令控制_远控后门_Patchwork.Badnews_域名剖析请求

清静类型：

木马后门

事务形貌：

检测到Patchwork(白象)木马后门BADNEWS域名剖析请求。源IP所在的主机可能被植入了BADNEWS木马。“白象”又名“Patchwork”，“摩诃草”，疑似来自南亚某国，自2012年以来一连针对中国、巴基斯坦等国举行网络攻击，恒久窃取目的国家的科研、军事资料。BADNEWS木马是一个功效很是强盛的后门，运行后，允许攻击者完全控制被植入机械。

更新时间：

20230530

 

事务名称：

HTTP_误差使用_文件上传_MetInfo

清静类型：

清静误差

事务形貌：

MetInfo企业建站系统接纳PHP+Mysql架构，是一款对SEO很是友好、功效周全、清静稳固、支持多终端展示并且使用起来极其简朴的企业建站软件。用户可以在不需要任何编程的基础上，通过简朴的设置和装置就能够在互联网搭建自力的企业网站，能够极大的降低企业建站本钱。Metinfo在低版本的PHP情形下保存恣意文件上传误差，攻击者可通过该误差控制使用此程序的服务器。

更新时间：

20230530

 

事务名称：

HTTP_误差使用_文件上传_� ？低觟VMS综合安防_文件上传

清静类型：

清静误差

事务形貌：

� ？低�iVMS某接口保存恣意文件上传误差 配合准确的token值可直接获取服务器权限

更新时间：

20230530

 

事务名称：

HTTP_误差使用_文件上传_� ？低幼酆习卜纁enter_文件上传

清静类型：

清静误差

事务形貌：

HIKVISION Center综合安防管理平台是一套“集成化”、“智能化”的平台。� ？低幼酆习卜纁enter某接口保存恣意文件上传误差，攻击者可通过该接口举行恣意文件上传，造成getshell。

更新时间：

20230530

 

事务名称：

HTTP_清静扫描_masscan扫描器

清静类型：

清静扫描

事务形貌：

检测到源IP装备正在使用masscan扫描器对目的IP装备举行扫描 ；masscan的扫描效果类似于nmap(一个很著名的端口扫描器)，在内部，它更像scanrand,unicornscan,andZMap，接纳了异步传输的方法。它和这些扫描器最主要的区别是，它比这些扫描器更快。并且，masscan越发无邪，它允许自界说恣意的地址范和端口规模。

更新时间：

20230530

 

事务名称：

TCP_Oracle_WebLogic_反序列化误差[CVE-2019-2725/CVE-2019-2729]

清静类型：

清静误差

事务形貌：

检测到源IP使用weblogic反序列化误差举行攻击的行为，WebLogic是一个基于JAVAEE架构的中心件，用于开发、集成、安排和管理大型漫衍式Web应用、网络应用和数据库应用的Java应用服务器。部分版本WebLogic中默认包括的wls9_async_response包，为WebLogic Server提供异步通讯服务。由于该WAR包在反序列化处置惩罚输入信息时保存缺陷，攻击者可以发送全心结构的恶意 HTTP 请求，获得目的服务器的权限，在未授权的情形下远程执行下令。

更新时间：

20230530

 

修改事务

 

事务名称：

HTTP_木马后门_webshell_china_chopper_customize控制下令

清静类型：

木马后门

事务形貌：

该事务批注源IP地址主机上的中国菜刀客户规则在向目的IP地址主机上的webshell服务器端发出控制下令。webshell是web入侵的剧本攻击工具。简朴说，webshell就是一个用asp或php等编写的木马后门，攻击者在入侵了一个网站后，经常将这些asp或php等木马后门文件安排在网站服务器的web目录中，与正常的网页文件混在一起。然后攻击者就可以用web的方法，通过该木马后门控制网站服务器，包括上传下载文件、审查数据库、执行恣意程序下令等。webshell可以穿越防火墙，由于与被控制的服务器或远程主机交流的数据都是通过80端口转达的，因此不会被防火墙阻挡。并且使用webshell一样平常不会在系统日志中留下纪录，只会在网站的web日志中留下一些数据提交纪录，管理员较难看收支侵痕迹。攻击者可远程控制被上传webshell主机执行恣意操作。

更新时间：

20230530

 

事务名称：

TCP_后门_ircBot_毗连(扫描)

清静类型：

清静扫描

事务形貌：

检测到源IP主机在对目的IP主机举行扫描。ircBot是基于irc协议的僵尸网络，主要功效是对指定目的主机提倡DDoS攻击。本事务报警不是真实攻击，仅仅意味着源IP主机在对目的IP主机举行扫描。源IP一样平常属于Shodan扫描主机，目的IP是客户主机。源IP主机模拟ircBot样本向目的IP主机发送上线报文，若是收到期望的返回数据，即以为目的IP主机上运行着ircBot控制端，是ircBot的C&C服务器。Shodan就是通过这种扫描来获取恶意软件的C&C服务器，除Shodan外，其它一些威胁情报公司的IP主机也在举行着这种扫描。源IP主机在对目的IP主机举行扫描。

更新时间：

20230530

 

事务名称：

TCP_可疑行为_SSF代理工具_TLS毗连

清静类型：

木马后门

事务形貌：

检测到SSF代理工具毗连服务器，目的地址主机正在使用SSF代理工具。SecureSocketFunneling（SSF）是一种网络代理工具。它提供简朴有用的方法，将多个sockets（TCP或UDP）的数据通过单个清静TLS链接转发到远程盘算机。

更新时间：

20230530

 

事务名称：

TCP_木马后门_CobaltStrike_HttpsBeacon_TLS毗连

清静类型：

木马后门

事务形貌：

检测到由黑客工具CobaltStrike天生的后门Beacon试图毗连远程服务器,源IP所在的主机可能被植入了CobaltStrike.Beacon。CobaltStrike.Beacon执行后攻击者可使用CobaltStrike完全控制受害机械，并举行横向移动。CobatStrike是一款基于java编写的全平台多方协同后渗透攻击框架。CobaltStrike集成了端口转发、端口扫描、socket代理、提权、垂纶、远控木马等功效。该工具险些笼罩了APT攻击链中所需要用到的各个手艺环节，深受黑客们的喜欢。

更新时间：

20230530

 

事务名称：

HTTP_误差使用_XXL_JOB_未授权会见远程下令执行

清静类型：

清静误差

事务形貌：

XXL-JOB是一个轻量级漫衍式使命调理平台。默认情形下XXL-JOB的RestfulAPI接口或RPC接口没有设置认证步伐，未授权的攻击者可结构恶意请求，造成远程执行下令，直接控制服务器。

更新时间：

20230530

 

事务名称：

HTTP_误差使用_文件上传_ActiveMQ[CVE-2016-3088][CNNVD-201605-596]

清静类型：

清静误差

事务形貌：

ActiveMQ 是 Apache 软件基金会下的一个开源新闻驱动中心件软件。Jetty 是一个开源的 servlet 容器，它为基于 Java 的 web 容器，例如 "107" valign="center" style="padding: 0px 7px; border-left-width: 1px; border-left-color: windowtext; border-right-width: 1px; border-right-color: windowtext; border-top: none; border-bottom-width: 1px; border-bottom-color: windowtext; background: rgb(255, 255, 255);">

更新时间：

20230530

 

事务名称：

HTTP_误差使用_下令执行_亿邮电子邮件系统

清静类型：

清静误差

事务形貌：

检测到源ip主机正在使用亿邮电子邮件系统通过修改cookie在目的ip主机执行远程代码执行操作，亿邮电子邮件系统是由北京亿中邮信息手艺有限公司（以下简称亿邮公司）开发的一款面向中大型集团企业、政府、高校用户的国产邮件系统。亿邮电子邮件系统接纳了自主研发MTA引擎、漫衍式文件系统存储方法、多对列机制、ECS存储子系统、Cache系统等多项焦点手艺，提供了富厚的邮件功效。

更新时间：

20230530

 

事务名称：

HTTP_文件操作攻击_Zimbra_文件上传[CVE-2022-27925][CVE-2022-37042][CNNVD-202204-3909]

清静类型：

清静误差

事务形貌：

ZimbraCollaborationSuite(ZCS)8.8.15和9.0具有mboximport功效，可吸收ZIP存档并从中提取文件。通过绕过身份验证（即没有身份验证令牌），攻击者可以将恣意文件上传到系统，从而导致目录遍历和远程代码执行。

更新时间：

20230530

 

事务名称：

HTTP_提权攻击_YouPHPTube_Encoder_下令执行[CVE-2019-5127]

清静类型：

清静误差

事务形貌：

YouPHPTubeEncoder是YouPHPTube的编码器插件，该插件可在YouPHPTube中提供编码器功效。使用者在自己的服务器上装置并使用YouPHPTubeEncoder以取代第三方公共编码器服务器，可以更快速便捷的编码自己的视频，并且还可以使用私有方法对自己的视频举行编码。在YouPHPTubeEncoder2.3中，保存无需身份验证的下令注入误差。攻击者可以发送包括特定参数的Web请求来触发这些误差。

更新时间：

20230530

 

事务名称：

HTTP_提权攻击_fuelCMS_1.4.1_代码执行[CVE-2018-16763]

清静类型：

清静误差

事务形貌：

FUELCMS是一款基于CodeIgniter的内容管理系统。其1.4.1版本保存误差，允许通过pages/select/执行php代码，这可能会导致远程代码执行。

更新时间：

20230530

 

事务名称：

DNS_木马_Kryptik远控木马_C2域名剖析请求

清静类型：

木马后门

事务形貌：

Kryptik远控木马也称为 Krypt、Cryptic、Crypt。Kryptik远控木马可以窃取种种应用程序和服务的电子邮件地址、剪贴板数据、用户名和密码等信息，别的，Kryptik 可以窃取数字证书和相关密码、会见网站的 URL、POP3 和 IMAP帐户信息、盘算机名称和用户名、操作系统版本以及 Outlook Express帐户数据，还可以捕获屏幕截图、纪录击键、关闭或重新启动受熏染的盘算机并在其上运行可执行文件。

该事务批注源IP主机熏染了Kryptik远控木马，正在请求剖析C&C域名然后举行毗连。

更新时间：

20230530

 

事务名称：

HTTP_清静危害_可疑.NET反序列化数据

清静类型：

可疑行为

事务形貌：

检测到源IP主机正在对可能保存.NET反序列化误差的页面发送可疑反序列化数据攻击者可提交全心结构的反序列化数据来使用此误差。乐成使用此误差的攻击者可执行恣意代码。攻击者可以完全控制目的主机

更新时间：

20230530

 

事务名称：

DNS_可疑行为_interact_带外盘问

清静类型：

CGI攻击

事务形貌：

interact.sh是interact.sh工具配套的DNSLog平台，能够对发送已往的DNS请求举行纪录。经常被攻击者用于传输执行下令效果的回显。

更新时间：

20230530