diff --git a/results/2025-04-28.md b/results/2025-04-28.md new file mode 100644 index 0000000..b5345af --- /dev/null +++ b/results/2025-04-28.md @@ -0,0 +1,498 @@ + +# 安全资讯日报 2025-04-28 + +> 本文由AI自动生成，基于对安全相关仓库、CVE和最新安全研究成果的自动化分析。 +> +> 更新时间：2025-04-28 01:34:06 + + + +## 今日资讯 + +### 🔍 漏洞分析 + +* [2025 年第一季度漏洞利用趋势](https://mp.weixin.qq.com/s?__biz=Mzg5MjkwODc4MA==&mid=2247486045&idx=1&sn=192941403d7761e2376a9abd54ec6e6f) +* [篡改计划任务](https://mp.weixin.qq.com/s?__biz=Mzk2NDg3Mzk2OQ==&mid=2247483950&idx=1&sn=f44c4eb12ab19c451a14e5437ff0a100) +* [如何利用隐藏功能点发现SQL注入漏洞和注入绕过技巧|挖洞技巧](https://mp.weixin.qq.com/s?__biz=Mzg3ODE2MjkxMQ==&mid=2247491165&idx=1&sn=0b2ef143b18654783c497a621e4b9f71) +* [Steam 客户端漏洞 &&从csgo角度看待网络安全](https://mp.weixin.qq.com/s?__biz=MzkwMTU2NzMwOQ==&mid=2247485060&idx=1&sn=bd3e6ce98f737ab0af86429d7da47278) + +### 🔬 安全研究 + +* [零日人生：孤岛情感系统日志](https://mp.weixin.qq.com/s?__biz=MzIyNDg2MDQ4Ng==&mid=2247486849&idx=1&sn=5a9a6b02e64cf5c06161b750f2eacf48) + +### 🎯 威胁情报 + +* [汽车租赁巨头赫兹遭勒索攻击，确认客户敏感信息数据泄露](https://mp.weixin.qq.com/s?__biz=Mzg3ODY0NTczMA==&mid=2247492762&idx=1&sn=71969c016f3b80703488c0fae6f65727) +* [网警提醒：“银狐”木马病毒再度来袭！](https://mp.weixin.qq.com/s?__biz=MzkwNDI0MjkzOA==&mid=2247486025&idx=1&sn=02a75b4d0a93ae44d4690f952855a419) + +### 🛠️ 安全工具 + +* [免杀 | 基于frp 过卡巴斯基、360核晶、defender、火绒的xlfrc v1.8发布！](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247494496&idx=1&sn=8964c53905fd54603406264d77e63133) +* [LSPatch和太极框架免Root及Magisk](https://mp.weixin.qq.com/s?__biz=Mzg2NzUzNzk1Mw==&mid=2247498008&idx=1&sn=36a2d761ac0708444c678d09e7853600) + +### 📚 最佳实践 + +* [一文看懂JWT如何重塑网络身份认证：从“身份证”到“数字令牌”](https://mp.weixin.qq.com/s?__biz=MzkyMTYyOTQ5NA==&mid=2247486883&idx=1&sn=982615faaea68699ba5ba2fd53b0a90c) +* [跨国企业中国区网络安全策略规划](https://mp.weixin.qq.com/s?__biz=Mzg3NTUzOTg3NA==&mid=2247515609&idx=1&sn=9f87983eb56e4c9f0f5030c8264cc722) +* [一文学习Spring依赖注入](https://mp.weixin.qq.com/s?__biz=MzU2NDY2OTU4Nw==&mid=2247520249&idx=1&sn=e9fe98152d35ad74464741b8e536cbc7) +* [AWS实现自动IP封禁](https://mp.weixin.qq.com/s?__biz=Mzg2MjU2MjY4Mw==&mid=2247484967&idx=1&sn=ec82cafc507b499026647a30c07cb2af) + +### 🍉 吃瓜新闻 + +* [网络安全行业，裁员潮下网安牛马们的渡劫策略](https://mp.weixin.qq.com/s?__biz=MzUzNjkxODE5MA==&mid=2247490094&idx=1&sn=39209f7d7afeca76fa986d8b605a96bc) +* [视频 | 百强战队福州“亮剑”，第二届“长城杯”铁人三项赛决赛即将启幕](https://mp.weixin.qq.com/s?__biz=MzI1NzQ0NTMxMQ==&mid=2247490505&idx=1&sn=40de7137d1c8ee3bcfc55c47504cc028) + +## 安全分析 +(2025-04-28) + +本文档包含 AI 对安全相关内容的自动化分析结果。[概览](https://blog.897010.xyz/c/today) + + +### CVE-2025-24054 - Windows NTLM Hash Leak漏洞 + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2025-24054 | +| 风险等级 | `HIGH` | +| 利用状态 | `POC可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 17:02:57 | + +#### 📦 相关仓库 + +- [CVE-2025-24054-PoC](https://github.com/ClementNjeru/CVE-2025-24054-PoC) + +#### 💡 分析概述 + +该漏洞允许攻击者通过特制的.library-ms文件触发SMB认证请求，泄露NTLMv2哈希值，可能导致未授权访问和敏感信息泄露。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | 通过.library-ms文件泄露NTLMv2哈希 | +| 2 | 影响未打补丁的Windows系统 | +| 3 | 需要用户交互（预览或打开文件） | + +#### 🛠️ 技术细节 + +> 漏洞原理：特制的.library-ms文件包含UNC路径，当被Windows Explorer处理时，会触发SMB认证请求，泄露NTLMv2哈希。 + +> 利用方法：生成恶意.library-ms文件，诱使用户打开或预览，捕获NTLM哈希。 + +> 修复方案：应用微软2025年3月补丁，禁用NTLM，教育用户避免处理不可信来源的.library-ms文件。 + + +#### 🎯 受影响组件 + +``` +• Windows操作系统 +``` + +#### 💻 代码分析 + +**分析 1**: +> POC/EXP代码评估：提供了生成恶意.library-ms文件的Python脚本，代码简洁有效。 + +**分析 2**: +> 测试用例分析：包含详细的测试步骤和预期结果，便于验证漏洞。 + +**分析 3**: +> 代码质量评价：代码结构清晰，易于理解和修改，适合教育和研究目的。 + + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该漏洞影响广泛使用的Windows系统，有明确的利用方法和POC代码，可能导致敏感信息泄露。 +
+ +--- + +### CVE-2025-32433 - Erlang OTP存在认证绕过漏洞 + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2025-32433 | +| 风险等级 | `HIGH` | +| 利用状态 | `POC可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 16:57:31 | + +#### 📦 相关仓库 + +- [CVE-2025-32433](https://github.com/rizky412/CVE-2025-32433) + +#### 💡 分析概述 + +CVE-2025-32433是Erlang OTP中的一个安全漏洞，允许攻击者通过SSH协议绕过认证机制，实现未授权访问。该漏洞影响特定版本的Erlang/OTP，可能导致敏感信息泄露或系统被控制。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | 认证绕过导致未授权访问 | +| 2 | 影响Erlang/OTP特定版本 | +| 3 | 通过SSH协议利用 | + +#### 🛠️ 技术细节 + +> 漏洞原理：Erlang OTP的SSH服务在处理某些SSH消息时存在逻辑缺陷，允许攻击者在未认证的情况下执行命令。 + +> 利用方法：攻击者可以构造特定的SSH_MSG_CHANNEL_REQUEST消息，绕过认证直接执行命令。 + +> 修复方案：更新到不受影响的Erlang/OTP版本，或应用官方提供的补丁。 + + +#### 🎯 受影响组件 + +``` +• Erlang/OTP 26.2.5.10及之前版本 +``` + +#### 💻 代码分析 + +**分析 1**: +> POC/EXP代码评估：提供的Python脚本能够构造恶意SSH请求，绕过认证执行任意命令，代码完整且有效。 + +**分析 2**: +> 测试用例分析：代码中包含具体的测试用例，模拟攻击流程，验证漏洞存在。 + +**分析 3**: +> 代码质量评价：代码结构清晰，注释详细，易于理解和修改。 + + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该漏洞影响广泛使用的Erlang/OTP，存在明确的利用方法和POC代码，可能导致未授权访问和敏感信息泄露，符合价值判断标准。 +
+ +--- + +### CVE-2024-27808 - PS4 DataView Underflow PoC + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2024-27808 | +| 风险等级 | `HIGH` | +| 利用状态 | `漏洞利用可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 16:51:09 | + +#### 📦 相关仓库 + +- [CVE-2024-27808.github.io](https://github.com/Leandrobts/CVE-2024-27808.github.io) + +#### 💡 分析概述 + +该仓库是针对PS4平台进行的漏洞测试套件，主要目标是利用DataView的Underflow漏洞进行PoC演示。 + +仓库整体情况： +- 仓库包含多个HTML文件，用于测试和演示各种CVE漏洞。 +- `index.html` 是主入口，提供了运行所有测试步骤的按钮。 +- `primitive_context.js` (新增) 初始化了用于内存操作的原始上下文，包含`arb_malloc`, `arb_write8`, `arb_write_string`, `arb_leak_symbol`, `arb_call`这些函数。这些函数是实现漏洞利用的关键。 +- 更新后的 `index.html` 增加了对`CVE-2024-27808`的测试，以及Primitive的初始化和测试，并且增加了针对ASLR和Sandbox的绕过， 以及Privilege Escalation的模拟。 + +更新内容分析： +- 在 `index.html` 中增加了测试`CVE-2024-27808`的代码，这表明该PoC旨在利用DataView的Underflow漏洞。 +- 增加了对原始上下文(Primitives)的初始化和测试，这对于PS4环境下的漏洞利用至关重要， 因为需要通过原始操作来实现内存的读写和函数调用。 +- `simulateROP` 模拟了ROP Chain 的执行，这表明攻击者尝试利用该漏洞进行代码执行。 +- 增加了ASLR Bypass, Sandbox Escape 和 Privilege Escalation 的模拟，这说明作者试图构造完整的漏洞利用链。 + +漏洞利用方式： +1. 通过DataView的 Underflow 漏洞触发内存破坏。 +2. 利用原始上下文(Primitives) 实现对内存的读写，进而泄漏信息和修改内存。 +3. 模拟 ROP chain，实现代码执行，甚至提升权限。 + + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | 利用DataView Underflow漏洞 | +| 2 | 利用Primitives实现内存操作和代码执行 | +| 3 | POC包含RCE模拟 | +| 4 | 测试中包含了ASLR,Sandbox的绕过以及提权模拟 | + +#### 🛠️ 技术细节 + +> 通过 DataView 的 `getUint32()` 方法，利用负的偏移量触发Underflow。 + +> 通过原始上下文(Primitives)实现内存读写和函数调用，包括内存分配、写8字节数据、写字符串、泄漏函数地址、调用函数。 + +> 通过模拟ROP链实现代码执行，包括设置ROP链，并执行相应的操作。 + +> 模拟实现ASLR Bypass 和 Sandbox Escape + + +#### 🎯 受影响组件 + +``` +• PS4 WebKit +• DataView +``` + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该PoC针对PS4平台，结合了DataView Underflow漏洞利用，原始上下文(Primitives)的使用， ROP Chain的模拟，并且模拟了绕过ASLR和Sandbox以及提权， 完整的展现了漏洞利用链。 具有较高的技术参考价值和潜在的实际利用价值。 +
+ +--- + +### CVE-2025-30567 - WordPress WP01 路径穿越漏洞 + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2025-30567 | +| 风险等级 | `HIGH` | +| 利用状态 | `POC可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 16:47:36 | + +#### 📦 相关仓库 + +- [CVE-2025-30567-PoC](https://github.com/KaxuFF/CVE-2025-30567-PoC) + +#### 💡 分析概述 + +该仓库提供了针对WordPress WP01插件的路径穿越漏洞的PoC。仓库包含一个README.md文件，详细介绍了漏洞的背景、影响、利用方法以及贡献指南。核心是提供了利用该漏洞的exploit文件。从提交记录来看，realcodeb0ss提交了主要的PoC代码和初始的README.md文件，随后Kaxu补充了README.md文档，对PoC的使用方法进行了补充说明。更新内容包括修改了README.md文件，新增了对CVE的详细描述，安装和使用说明。同时移除了CVE-2025-30567_W0rdpress-pathtraversal.zip文件。代码分析表明，该漏洞允许攻击者通过构造特定的请求来读取服务器上的任意文件，可能导致敏感信息泄露。 根据README.md的描述，安装PoC需要clone仓库，并根据README的指示执行exploit文件。PoC利用方式是执行exploit文件，并通过--target参数指定WordPress站点的URL。 Pyarmor相关的初始化和加密代码，以及 pytransform 相关的动态库文件。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | WordPress WP01插件存在路径穿越漏洞 | +| 2 | 攻击者可以读取服务器上的任意文件 | +| 3 | PoC代码已经提供，利用难度较低 | +| 4 | 影响敏感信息泄露，危害较大 | + +#### 🛠️ 技术细节 + +> 漏洞原理：WordPress WP01插件未对用户输入进行充分的验证，导致路径穿越漏洞。攻击者可以通过构造恶意URL，访问服务器上的任意文件。 + +> 利用方法：clone仓库，执行PoC文件，通过--target参数指定WordPress站点URL。 + +> 修复方案：更新WordPress WP01插件至最新版本，加强输入验证，避免路径穿越漏洞。 + + +#### 🎯 受影响组件 + +``` +• WordPress WP01插件 +``` + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该漏洞影响广泛使用的WordPress插件，存在可用的PoC，利用条件明确，可能导致敏感信息泄露，危害较大。 +
+ +--- + +### CVE-2024-25600 - WordPress Bricks Builder RCE + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2024-25600 | +| 风险等级 | `CRITICAL` | +| 利用状态 | `漏洞利用可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 16:44:43 | + +#### 📦 相关仓库 + +- [CVE-2024-25600](https://github.com/cboss43/CVE-2024-25600) + +#### 💡 分析概述 + +该仓库提供了针对WordPress Bricks Builder插件（版本<=1.9.6）的未经身份验证的远程代码执行（RCE）漏洞的利用代码。仓库主要包含一个Python脚本（exploit.py）用于检测目标网站是否易受攻击，提取nonce，并提供交互式shell。 + +代码更新分析： +- 初始版本（更新于2025-03-31）: 脚本初步实现，包含了nonce提取、漏洞检测和基本的交互shell功能。README.md文件详细介绍了漏洞利用方式、依赖、使用方法和免责声明。 +- README.md 文件改进(2025-03-31): 修改了README.md文件，更新了利用方法和描述信息，优化了用户体验。 +- 修复bug(2025-03-31): 修改exploit.py文件，修复了脚本中的bug。 +- README.md文件更新(2025-04-27): 更新了README.md文件的整体描述，增加了下载exploit的链接，以及更多关于漏洞的说明和使用说明，并修改了代码和README文件中的部分描述信息。 + +漏洞利用方式： +1. 脚本通过向`/wp-json/bricks/v1/render_element`端点发送构造的JSON请求。 +2. 该请求利用Bricks Builder插件中对用户输入处理不当的漏洞。 +3. 攻击者可以构造恶意payload, 注入任意PHP代码。 +4. 执行PHP代码可以导致网站完全控制、数据窃取或恶意软件分发等后果。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | WordPress Bricks Builder插件的未授权RCE漏洞。 | +| 2 | 影响Bricks Builder插件1.9.6及以下版本。 | +| 3 | 提供交互式shell，方便执行任意命令。 | +| 4 | 存在完整的POC，可直接用于漏洞利用。 | + +#### 🛠️ 技术细节 + +> 漏洞位于Bricks Builder插件的`/wp-json/bricks/v1/render_element`端点。 + +> 攻击者构造恶意JSON请求，通过`queryEditor`参数注入PHP代码。 + +> 该漏洞允许未经身份验证的攻击者执行任意代码。 + +> 修复方案：升级至最新版本，或者检查输入参数的安全性 + + +#### 🎯 受影响组件 + +``` +• Bricks Builder WordPress插件 +• WordPress 网站 +``` + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该漏洞允许未经身份验证的远程代码执行（RCE），具有完整的POC，可直接用于漏洞利用，且影响广泛使用的WordPress插件，风险极高。 +
+ +--- + +### CVE-2025-0411 - 7-Zip MotW Bypass漏洞POC + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2025-0411 | +| 风险等级 | `HIGH` | +| 利用状态 | `POC可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 16:31:28 | + +#### 📦 相关仓库 + +- [7-Zip-CVE-2025-0411-POC](https://github.com/dpextreme/7-Zip-CVE-2025-0411-POC) + +#### 💡 分析概述 + +该仓库提供CVE-2025-0411漏洞的POC，该漏洞允许绕过7-Zip的Mark-of-the-Web (MotW) 保护机制，可能导致任意代码执行。 仓库主要包含POC场景，演示如何通过精心构造的压缩文件绕过MotW，进而执行恶意代码。 + +代码更新分析： +- 2025-04-27更新：更新了README.md中的链接，更新了图片链接，以及增加了一些关于Repository的描述。 +- 2025-03-14更新： 增加了POC的详细说明，添加了漏洞细节，利用方法和缓解措施，以及POC实现。 +- 2025-03-06/04更新： 修复了CVE链接的错误。 +- 2025-01-22更新： 初始提交，包含了漏洞的总体描述和相关信息。 + +漏洞利用： +漏洞利用在于通过构造恶意压缩包，绕过MotW保护。当用户解压该恶意压缩包时，其中的可执行文件不会被MotW标记，从而可以直接执行恶意代码。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | 7-Zip Mark-of-the-Web Bypass | +| 2 | 影响版本: 所有24.09之前的版本 | +| 3 | 利用方法：构造恶意压缩包绕过MotW | +| 4 | 可能导致远程代码执行 | + +#### 🛠️ 技术细节 + +> 漏洞原理：7-Zip在处理压缩文件时，未能正确传递Mark-of-the-Web信息给解压后的文件，导致绕过安全机制。 + +> 利用方法：构造包含恶意可执行文件的压缩包，用户解压后，可执行文件直接运行。 + +> 修复方案：升级到7-Zip 24.09或更高版本。 + + +#### 🎯 受影响组件 + +``` +• 7-Zip +``` + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +漏洞影响广泛使用的7-Zip软件，存在明确的利用方法（构造恶意压缩包），可以绕过安全机制并执行任意代码，属于RCE，且有POC。 +
+ +--- + +### CVE-2024-36587 - dnscrypt-proxy本地提权漏洞 + +#### 📌 漏洞信息 + +| 属性 | 详情 | +|------|------| +| CVE编号 | CVE-2024-36587 | +| 风险等级 | `HIGH` | +| 利用状态 | `POC可用` | +| 发布时间 | 2025-04-27 00:00:00 | +| 最后更新 | 2025-04-27 15:26:44 | + +#### 📦 相关仓库 + +- [CVE-2024-36587](https://github.com/meeeeing/CVE-2024-36587) + +#### 💡 分析概述 + +该仓库提供了CVE-2024-36587的PoC，该漏洞是由于dnscrypt-proxy服务在安装时信任当前目录下的可执行文件，导致攻击者可以通过植入恶意二进制文件来实现本地提权。仓库包含Dockerfile和docker-compose.yaml文件，用于构建和运行PoC环境。PoC通过在/tmp目录下植入名为id的恶意文件，并在/usr/local/bin目录下创建id的软链接来实现提权。通过docker run命令进入容器，执行/tmp/id，即可触发PoC。漏洞利用方式为：通过构建恶意文件，并将其放置在dnscrypt-proxy服务安装时可以访问的目录下，然后触发服务的安装过程，从而执行恶意文件，实现权限提升。更新内容包括添加PoC报告PDF，修复Dockerfile和docker-compose.yaml，以及readme文件的更新。 + +#### 🔍 关键发现 + +| 序号 | 发现内容 | +|------|----------| +| 1 | dnscrypt-proxy服务安装时信任当前目录下的可执行文件 | +| 2 | 通过二进制文件植入实现本地提权 | +| 3 | 影响版本：dnscrypt-proxy v2.0.0-alpha9 ~ v2.1.5 | +| 4 | PoC利用方式明确，环境搭建清晰 | + +#### 🛠️ 技术细节 + +> 漏洞原理：dnscrypt-proxy服务在安装时，会执行当前目录下的文件，攻击者可以构造恶意的可执行文件替换原有的文件。 + +> 利用方法：构建恶意二进制文件，将其命名为服务安装时需要执行的文件名，并放置在服务可访问的目录下。当服务安装时，恶意文件会被执行，实现权限提升。 + +> 修复方案：在安装dnscrypt-proxy服务时，避免执行不可信目录下的文件，或者对执行的文件进行签名校验。 + + +#### 🎯 受影响组件 + +``` +• dnscrypt-proxy +``` + +#### ⚡ 价值评估 + +
+展开查看详细评估 + +该漏洞影响广泛使用的dnscrypt-proxy，且有明确的PoC和利用方法，可以实现本地提权，危害较高。 +
+ +--- + + +## 免责声明 +本文内容由 AI 自动生成，仅供参考和学习交流。文章中的观点和建议不代表作者立场，使用本文信息需自行承担风险和责任。