From 0703a8efd3e87c435f4e4e3872058bbe6a5679dc Mon Sep 17 00:00:00 2001 From: test Date: Thu, 20 Feb 2025 08:14:46 +0000 Subject: [PATCH] =?UTF-8?q?=E8=8D=90=E8=AF=BB=E4=B8=A8=E5=8D=B3=E5=B0=86?= =?UTF-8?q?=E8=BF=87=E6=B0=94=E7=9A=84=E4=BA=94=E5=A4=A7=E7=BD=91=E7=BB=9C?= =?UTF-8?q?=E5=AE=89=E5=85=A8=E6=8A=80=E6=9C=AF=E3=80=81APT-C-28=EF=BC=88S?= =?UTF-8?q?carCruft=EF=BC=89=E7=BB=84=E7=BB=87=E5=88=A9=E7=94=A8=E6=97=A0?= =?UTF-8?q?=E6=96=87=E4=BB=B6=E6=96=B9=E5=BC=8F=E6=8A=95=E9=80=92RokRat?= =?UTF-8?q?=E7=9A=84=E6=94=BB=E5=87=BB=E6=B4=BB=E5=8A=A8=E5=88=86=E6=9E=90?= =?UTF-8?q?=E3=80=81Juniper=20=E4=BF=AE=E5=A4=8DSession=20Smart=20?= =?UTF-8?q?=E8=B7=AF=E7=94=B1=E5=99=A8=E4=B8=AD=E4=B8=A5=E9=87=8D=E7=9A=84?= =?UTF-8?q?=E8=AE=A4=E8=AF=81=E7=BB=95=E8=BF=87=E6=BC=8F=E6=B4=9E=E3=80=81?= =?UTF-8?q?=E9=AB=98=E6=95=88=E6=A3=80=E6=B5=8B=20SQL=20=E6=B3=A8=E5=85=A5?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=EF=BC=8C=E8=87=AA=E5=8A=A8=E5=8C=96=E5=AE=9E?= =?UTF-8?q?=E6=88=98=E7=BB=8F=E9=AA=8C=E5=88=86=E4=BA=AB=E3=80=81=E8=AF=95?= =?UTF-8?q?=E7=94=A8=E5=AE=8C=C2=A0deepseek=EF=BC=8C=E6=84=9F=E8=A7=89?= =?UTF-8?q?=E5=88=B0=E4=BA=86=E6=81=90=E6=83=A7=EF=BC=8C=E8=B0=81=E6=9D=A5?= =?UTF-8?q?=E9=98=BB=E6=AD=A2=E6=88=91=E7=9A=84=E8=83=A1=E6=80=9D=E4=B9=B1?= =?UTF-8?q?=E6=83=B3=EF=BC=9F=E3=80=81=E3=80=90=E6=BC=8F=E6=B4=9E=E5=A4=84?= =?UTF-8?q?=E7=BD=AESOP=E3=80=91Python=E5=AE=89=E5=85=A8=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=EF=BC=88CVE-2019-9636=E3=80=81CVE-2023-24329=EF=BC=89=E3=80=81?= =?UTF-8?q?=E3=80=90=E6=BC=8F=E6=B4=9E=E9=80=9A=E5=91=8A=E3=80=91Apache=20?= =?UTF-8?q?Ignite=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E5=AE=89=E5=85=A8=E9=A3=8E=E9=99=A9=E9=80=9A?= =?UTF-8?q?=E5=91=8A=E3=80=81=E3=80=90=E6=BC=8F=E6=B4=9E=E9=80=9A=E5=91=8A?= =?UTF-8?q?=E3=80=91Google=20Chrome=E6=B5=8F=E8=A7=88=E5=99=A8=E7=BC=93?= =?UTF-8?q?=E5=86=B2=E5=8C=BA=E6=BA=A2=E5=87=BA=E6=BC=8F=E6=B4=9E(CVE-2025?= =?UTF-8?q?-0999)=E3=80=81BlueKeep=E8=BF=9C=E7=A8=8B=E6=A1=8C=E9=9D=A2?= =?UTF-8?q?=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C=E6=BC=8F=E6=B4=9E=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 11 +- ...方式投递RokRat的攻击活动分析.md | 252 +++++++++++++ doc/BlueKeep远程桌面代码执行漏洞.md | 107 ++++++ ...洞（CVE-2019-9636、CVE-2023-24329）.md | 343 ++++++++++++++++++ ...程代码执行漏洞安全风险通告.md | 91 +++++ ...即将过气的五大网络安全技术.md | 126 +++++++ ...惧，谁来阻止我的胡思乱想？.md | 94 +++++ ...入漏洞，自动化实战经验分享.md | 159 +++++++- 8 files changed, 1163 insertions(+), 20 deletions(-) create mode 100644 doc/APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析.md create mode 100644 doc/BlueKeep远程桌面代码执行漏洞.md create mode 100644 doc/【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329）.md create mode 100644 doc/【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告.md create mode 100644 doc/荐读丨即将过气的五大网络安全技术.md create mode 100644 doc/试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？.md diff --git a/data.json b/data.json index d081c0bf..db3aa2a5 100644 --- a/data.json +++ b/data.json @@ -4234,5 +4234,14 @@ "https://mp.weixin.qq.com/s?__biz=MzkzNDUxOTk2Mw==&mid=2247495915&idx=1&sn=c9215e3d5bcce9991783502f40eb59c1": "【论文速读】| EnStack：一种用于增强源代码漏洞检测的大语言模型集成堆叠框架", "https://mp.weixin.qq.com/s?__biz=MzA5ODA0NDE2MA==&mid=2649787902&idx=1&sn=71b8270b1a8d55b1d42e0de55fd7e386": "时空穿越攻击！新型LLM漏洞让ChatGPT秒变黑客助手", "https://mp.weixin.qq.com/s?__biz=MzA4MzMzOTQ4Mw==&mid=2453672588&idx=1&sn=e738d8f6ccdd8f084839e810caabd3f8": "速看！OpenSSH 新漏洞来袭，不更新补丁后果很严重", - "https://mp.weixin.qq.com/s?__biz=Mzg5MDk4MzkyMA==&mid=2247484544&idx=1&sn=beaee29c49361713503a737687bbe35d": "什么？你还不会代码审计？点进来！" + "https://mp.weixin.qq.com/s?__biz=Mzg5MDk4MzkyMA==&mid=2247484544&idx=1&sn=beaee29c49361713503a737687bbe35d": "什么？你还不会代码审计？点进来！", + "https://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247531754&idx=2&sn=5b9bd6832a1f4db809f9cff35c5cd16e": "荐读丨即将过气的五大网络安全技术", + "https://mp.weixin.qq.com/s?__biz=MzUyMjk4NzExMA==&mid=2247505583&idx=1&sn=8ed8a00690db7f06260546c6a5142380": "APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析", + "https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247522278&idx=2&sn=076acb12a1297f5e59b788217253c1ac": "Juniper 修复Session Smart 路由器中严重的认证绕过漏洞", + "https://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247550593&idx=2&sn=0e9833637df9ed5e657cd330c9fc3409": "高效检测 SQL 注入漏洞，自动化实战经验分享", + "https://mp.weixin.qq.com/s?__biz=MzIxNTM3NDE2Nw==&mid=2247490346&idx=1&sn=f560ce4ed2559190090871179945ef2d": "试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？", + "https://mp.weixin.qq.com/s?__biz=Mzk0OTQzMDI4Mg==&mid=2247484540&idx=2&sn=08af3b7e078ae95b11a9cf488cace84a": "【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329）", + "https://mp.weixin.qq.com/s?__biz=MzU4NjY4MDAyNQ==&mid=2247497180&idx=1&sn=8de7c7676f3325422ce674661d8c437d": "【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告", + "https://mp.weixin.qq.com/s?__biz=Mzg2NjgzNjA5NQ==&mid=2247524012&idx=1&sn=c5a57f9f670e64b0338dd911fc145b72": "【漏洞通告】Google Chrome浏览器缓冲区溢出漏洞(CVE-2025-0999)", + "https://mp.weixin.qq.com/s?__biz=MzkyNTUyOTk0NA==&mid=2247488541&idx=1&sn=24d7360957cc7f39ac03a08a4e813833": "BlueKeep远程桌面代码执行漏洞" } \ No newline at end of file diff --git a/doc/APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析.md b/doc/APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析.md new file mode 100644 index 00000000..a9b4c8a1 --- /dev/null +++ b/doc/APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析.md @@ -0,0 +1,252 @@ +# APT-C-28（ScarCruft）组织利用无文件方式投递RokRat的攻击活动分析 +原创 高级威胁研究院 360威胁情报中心 2025-02-19 10:10 + +**APT-C-28** + +  +**ScreCruft** + +APT-C-28（ScarCruft）组织，也被称为APT37（Reaper）和Group123，是一个源自东北亚地区的APT组织。该组织的相关攻击活动最早可追溯到2012年，并且一直保持到现在仍然十分活跃。APT-C-28主要聚焦于对韩国和其他亚洲国家进行网络攻击行动，其目标涵盖了化学、电子、制造、航空航天、汽车以及医疗保健等多个关键行业。该组织的主要目的在于窃取与战略军事、政治和经济相关的重要情报及敏感数据。此外，RokRat是一种基于云的远程访问工具，自2016年以来就一直是APT-C-28在其众多攻击活动中频繁使用的工具。RokRat的持续使用表明该工具在帮助APT-C-28实现其复杂的信息窃取活动方面扮演了关键角色。通过这种高级的远程访问工具，APT-C-28能够有效地渗透目标网络，窃取关键信息，并对受害者进行长期的监控。 + +360 +高级威胁研究院持续监控 +APT-C-28 +组织，成功捕获了该组织针对韩国政府及企业人员 +的多次威胁活动。 +攻击者通过分发 +LNK +恶意文件，采用无文件技术，向目标系统植入 +RokRat +恶意软件。 +## 1.攻击流程分析 + +攻击者首先从一些合法的官方网站收集目标用户感兴趣的信息，以此制作高度定制化的钓鱼邮件，并将其发送给目标。这些钓鱼邮件的附件压缩包内嵌入了恶意LNK文件。一旦目标用户点击并激活该恶意LNK文件，它会释放多个文件，其中包括加密的RokRat Shellcode。随后，攻击者利用XOR算法对加密载荷进行解密，接着，这个Shellcode在一个新创建的线程中被加载，内部进一步解密硬编码的数据，最终获取并执行RokRat恶意软件。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbScJqUK11dlEibX8WbRGIuaanEPZvC5UvRDZg0ThENFE7o4AV6h1nQTvg/640?wx_fmt=png&from=appmsg "") + +图1 攻击流程图 +## 2.载荷投递分析 + +恶意的LNK文件通过调用PowerShell，从自身嵌入的数据中提取多个文件。这些文件包括诱饵文档、恶意的BAT脚本、恶意的PowerShell脚本以及加密的RokRat Shellcode。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbS5hmokiaPcAaA1VoXJDn0PGuMYjVNs7YeVJsOyzJg9Dmz78PTCA7dvLA/640?wx_fmt=png&from=appmsg "") + +图2 恶意LNK文件代码示例 + +我们监测到了不同种类的引诱文件, 其目标涵盖了多个与朝鲜有关的组织和个人。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbSibrmXbDHZ81vbK1bU3hzwVic9lc2md2KkOCJcp9WejMEVZVMD2UF20Xg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbS5SZ7DZ2SxghQhMflmibQJ4KkMviclzJC8UwOOiapLqg0TXpVpd3UmicaNw/640?wx_fmt=png&from=appmsg "") + +图3 诱饵文档示例 + +随后，恶意的BAT脚本调用另一个PowerShell脚本，以解密RokRat Shellcode并在内存中加载执行。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbS3LSgsVQpJoKia8U3XVuVc0IGqXJ2ibiaofDJY8tFXicQ8NGPMicw2W2SWMg/640?wx_fmt=png&from=appmsg "") + +图4 加载执行RokRat Shellcode + +为了协助安全研究人员迅速了解RokRat的相关组成部分, 我们提供了解析代码片段, 用于解析恶意LNK文件并提取出RokRat的不同阶段的模块组件，详见附录。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbSbovsichM3hjibMgXbaW2QbMUHPFYRInrmrUicnvQpV6OJ2IvuwW8j35dg/640?wx_fmt=png&from=appmsg "") + +图5 代码提取的文件示例 +## 3.攻击组件分析 + +解密的shellcode从硬编码的加密数据处解密出PE文件，解密的PE文件是2024年10月编译的RokRat木马。最后将RokRat加载到内存后跳转到入口点执行。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbS01ibhG69uvRkcV0wyYYpJlpO6pUuSfnA2BpuiaKzNdRDFwHvwUST759Q/640?wx_fmt=png&from=appmsg "") + +图6 跳转到PE入口点执行 + +在过去几年中，我们持续披露了RokRat的各种功能及其演变{ REF _Ref186564610 \r \h |[1]}{ REF _Ref186564611 \r \h |[2]}{ REF _Ref155107399 \r \h |[3]}。此次样本的出现，为我们提供了深入分析和对比2024年RokRat版本的机会，从而进一步了解其发展路径。 + +整体分析显示，2024版本的RokRat在核心功能上与之前的版本保持一致，主要的变化体现在攻击路径和策略上。 + +![](https://mmbiz.qpic.cn/mmbiz_png/6CNEHNicic4Pq2OzVs5UPZU9MS3T4fQNbSXOowmk5juBJUH7X1X1ic7wHGJiaUTM2a0G2OM6iczrxPlyrTGfj0ibF2Yg/640?wx_fmt=png&from=appmsg "") + +图7 ScarCruft组织历年来投递RokRat攻击流程 + +在此，我们仍需强调一些关键功能，供安全专家参考或制定针对性的安全规则。 + +例如，RokRat在请求头中伪装其User-Agent为Googlebot，具体表现为：User-Agent: Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)，以及通信使用的典型字符串值“--wwjaughalvncjwiajs--”。 + +接下来，我们总结RokRat恶意软件中的各种控制指令及其对应的功能，以便更好地理解和防范其威胁。 + +表1 命令字符与功能 +

命令与控制字符

功能描述

0，g

监听或等待状态

i,

获取屏幕截图，定期获取系统进程信息

j，b

快速终止

d

执行删除特定文件的命令，如删除启动项、批处理文件等，然后退出

f

执行删除特定文件的命令，随后退出

h

遍历系统上的所有逻辑驱动器，获取驱动器所有文件信息并上传

e

命令执行

c

指定文件上传

1，2，5，6

从命令中包含的URL获取下一阶段载荷

3，4，7，8，9

文件下载

1，2，3，4

在成功获取载荷的情况下，创建线程执行载荷并收集系统信息

5，6，7，8，9

在成功获取载荷的情况下，获取载荷解密并写入到KB400928_doc.exe文件中并执行

+表2 不同版本样本清理痕迹方式对比 +

RokRat(2024/2023/2020/2019)

RokRat(2022)

del "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\*.VBS" "%appdata%\*.CMD" "%appdata%\*.BAT" "%appdata%\*01" "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\*.lnk" "%allusersprofile%\Microsoft\Windows\Start Menu\Programs\Startup\*.lnk" /F /Q

reg delete  HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run /v OfficeBootPower /f & reg delete  HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Run /v OfficeBootPower /f & del c:\\programdata\\30

#  二、归属研判   + +在此次攻击中，攻击者改变了以往的攻击流程，不再通过云服务下发加密载荷，而是直接将其嵌入到LNK恶意文件中。这一变化可能与各大安全厂商及服务提供商迅速禁用恶意云服务链接有关。这种形式的转变表明攻击者正在不断调整策略，以应对安全措施的升级。同时，这也展示了网络安全研究厂商及安全研究人员在有效阻拦RokRat方面的努力。未来，360高级威胁研究院将继续密切监控RokRat及其相关组件，以维护数字安全。 +#  三、防范排查建议  + +    为了防范和排除此类攻击，我们建议采取以下措施： + +1.提高警惕： +对于收到的任何不明来源的电子邮件附件或链接，务必保持警惕。 +不要轻易点击或下载这些附件或链接。 + +2.安全意识培训： +加强员工的安全意识培训，教育他们如何识别钓鱼邮件和恶意文件，以及如何正确处理可疑邮件。 + +3.邮件过滤和扫描： +使用强大的邮件过滤系统来阻止钓鱼邮件和恶意附件进入您的邮箱。 +此外，定期扫描邮件系统以检测潜在的威胁。 + +4.文件扫描和防病毒软件：安装并及时更新可靠的防病毒软件，确保其能够自动扫描所有下载的文件，并检测和阻止恶意软件。 +     + +5.系统和应用程序补丁： +保持操作系统、应用程序和网络设备的最新补丁更新，以修复已知漏洞，减少被利用的风险。 + +6.权限控制： +限制用户执行某些类型的文件，如LNK文件，以防止恶意文件被执行。 +实施严格的访问权限管理，以减少攻击者的操作空间。 + +7.数据备份和恢复： +定期备份重要数据，并确保能够快速恢复数据以应对潜在的安全事件。 + +# + +**附录 IOC及代码** + +# + +936888d84b33f152d39ec539f5ce71aa + +5adfa76b72236bf017f7968fd012e968 + +3323777ca4ac2dc2c39f5c55c0c54e3c + +f3c087a0be0687afd78829cab2d3bc2b + +ee7e3e39dd951f352c669f64bd8ec1b5 + +144928fc87e1d50f5ed162bb1651ab24 + +0253b33cfb3deb6a1d4bb197895c4530 + +89c0d2cc1e71b17449eec454161d60da + +表3 分析RokRat LNK文件的代码 +``` +def parse_rokrat_lnk_file(lnk_path, out_path): + # 尝试解析 LNK 文件，获取 lnk_command + try: + with open(lnk_path, 'rb') as lnk_file_handle: + lnk = LnkParse3.lnk_file(lnk_file_handle) + lnk_command = lnk.lnk_command + except Exception as e: + print(f"无法读取 LNK 文件：{e}") + return + # 匹配特定的命令模式 + pattern = re.compile( + r'\$lnkFile\.Seek\((0x[0-9A-F]+),\s*\[System\.IO\.SeekOrigin\]::Begin\);' + r'.*?New-Object byte\[\] (0x[0-9A-F]+);' + r'.*?\$(\w+)Path', + re.DOTALL | re.IGNORECASE + ) + matches = pattern.findall(lnk_command) + + # 读取 LNK 文件内容 + try: + with open(lnk_path, 'rb') as lnk_handle: + lnk_content = bytearray(lnk_handle.read()) + except Exception as e: + print(f"无法读取 LNK 文件内容：{e}") + return + + exe_content = None + key_match = [] + + # 处理匹配结果，提取文件内容 + for match in matches: + seek = int(match[0], 16) + length = int(match[1], 16) + filename = match[2] + file_content = lnk_content[seek:seek + length] + # 判断是否为可执行文件内容 + if len(str(len(file_content))) == 6: + exe_content = file_content + # 检查文件内容中是否包含 "bxor" + if b"bxor" in file_content: + try: + key_pattern = re.compile( + r"\$\w+\s*=\s*['\"]([^'\"]+)['\"];\s*for\s*\([^)]*\)\s*\{[^=]+=[^-]+-bxor", + re.DOTALL | re.IGNORECASE + ) + decoded_content = file_content.decode('utf-8', errors='ignore') + key_match = key_pattern.findall(decoded_content) + except Exception as e: + print(f"处理文件内容时发生错误：{e}") + # 保存提取的文件 + try: + os.makedirs(out_path, exist_ok=True) + with open(os.path.join(out_path, filename), 'wb') as f: + f.write(file_content) + print(f"已提取文件：{filename}") + except Exception as e: + print(f"写入文件时发生错误：{e}") + # 如果找到可执行内容和密钥，则进行解密 + if exe_content and key_match: + decrypted_data = bytearray() + key_char = key_match[0] + try: + for byte in exe_content: + decrypted_data.append(byte ^ ord(key_char)) + with open(os.path.join(out_path, "rokrat_shellcode"), 'wb') as f: + f.write(decrypted_data) + print("已解密并保存 RokRat Shellcode") + try: + offset = 0x58b + if len(decrypted_data) >= offset + 5: # 确保有足够的数据 + # 提取 XOR 密钥 + xor_key = decrypted_data[offset] + # 提取加密数据的长度（4 个字节，假设为小端序） + encrypted_length_bytes = decrypted_data[offset + 1:offset + 5] + encrypted_length = int.from_bytes(encrypted_length_bytes, byteorder='little') + # 提取加密数据 + encrypted_data = decrypted_data[offset + 5:offset + 5 + encrypted_length] + if len(encrypted_data) == encrypted_length: + # 使用提取的 XOR 密钥解密数据 + final_decrypted_data = bytearray() + for byte in encrypted_data: + final_decrypted_data.append(byte ^ xor_key) + # 将解密后的数据写入指定文件 + with open(os.path.join(out_path, "rokrat"), 'wb') as f: + f.write(final_decrypted_data) + print("已解密并保存 RokRat") + else: + print("加密数据的实际长度与提取的长度不匹配。") + else: + print("解密数据长度不足，无法提取密钥和长度信息。") + except Exception as e: + print(f"在偏移 0x58b 处解密数据时发生错误：{e}") + except Exception as e: + print(f"解密数据时发生错误：{e}") +else: +  print("未找到可执行内容或密钥，解密步骤被跳过。") +``` + + + +**参考** + +[1]https://mp.weixin.qq.com/s/BOTyH6YTmVzhVInhTlzXww + +[2]https://mp.weixin.qq.com/s/RjvwKH6UBETzUVtXje_bIA + +[3]https://mp.weixin.qq.com/s?__biz=MzUyMjk4NzExMA%3D%3D&mid=2247492864&idx=1&sn=0af3b744c9d5deeb1697ce2a3565624b + + +**团队介绍** + + +TEAM INTRODUCTION + +**360****高级威胁研究院** + +360高级威胁研究院是360数字安全集团的核心能力支持部门，由360资深安全专家组成，专注于高级威胁的发现、防御、处置和研究，曾在全球范围内率先捕获双杀、双星、噩梦公式等多起业界知名的0day在野攻击，独家披露多个国家级APT组织的高级行动，赢得业内外的广泛认可，为360保障国家网络安全提供有力支撑。 + diff --git a/doc/BlueKeep远程桌面代码执行漏洞.md b/doc/BlueKeep远程桌面代码执行漏洞.md new file mode 100644 index 00000000..6decc70c --- /dev/null +++ b/doc/BlueKeep远程桌面代码执行漏洞.md @@ -0,0 +1,107 @@ +# BlueKeep远程桌面代码执行漏洞 +原创 小智 智检安全 2025-02-19 08:31 + +CVE-2019-0708(BlueKeep) + +远程桌面代码执行漏洞与靶机复现 +## 1.漏洞介绍 + +2019年5月14日微软官方发布安全补丁，修复了Windows远程桌面服务的远程代码执行漏洞，该漏洞影响了某些旧版本的Windows系统。此漏洞是预身份验证，无需用户交互，这就意味着这个漏洞可以通过网络蠕虫的方式被利用，与2017年WannaCry勒索病毒的传播方式类似。 +## 2.漏洞原理     + +存在漏洞的远程桌面服务器，在接收到特殊数据包时会释放一个内部信道MS_T120的控制结构体，但并未将指向该结构体的指针删除，而且在远程桌面连接结束之后还会调用 MS_T120结构体内的一个函数指针，若攻击者可通过远程发送数据重新占据被释放的MS_T120，并为结构体内的函数指针赋恰当的值，即可实现远程命令执行。 +## 3.影响版本 + +目前已知受影响的 Windows 版本包括但不限于： + +Windows 7 + +Windows Server 2008 + +Windows Server 2008 R2 + +Windows Server 2003 + +Windows XP + +Windows 8和windows 10以及之后的版本不受此漏洞影响 +## 4.靶机环境搭建     + +本次复现的靶机环境为Windows 7 SP1的旗舰版 + +靶机下载链接: + +https://pan.baidu.com/s/14aSIZgOebdLmeI2l9lGx_w + +提取码:bw7m +## 5.靶机配置     + +导入ISO文件光盘镜像文件 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIic9uUIgASoKyBeQPSIy1JR7tt3N9ia5KbhUfTn7xE7A2ia75fhqXMUtia9Q/640?wx_fmt=png "") + +升级一下系统版本 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIic2MOofcuS1aEpal4dePABYCGMzTuUGOd3ibxr0pbRSQe9icQ08jkR0icvw/640?wx_fmt=png "") + +输入序列号： + +6K2KY-BFH24-PJW6W-9GK29-TMPWP + +开启远程桌面服务 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicA0t2aFfSXb54M531e9UO3VvpAfKe9cOYRT1WO6bExEk2qdjUJA1uSw/640?wx_fmt=png "") + +     + +查看靶机IP。 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicyg63Nk2BcICupiaQWTKicegd49RUvW8ZRNTXvibWt7oUPkPTRVMicOu0dg/640?wx_fmt=png "") + +## 6.攻击机Kali漏洞利用 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicpD3BJLrrVic9HthGXNsN77hg3lLadibNQ7riaVlVLLbklsLJFQG24icMQQ/640?wx_fmt=png "") + +启动msf，使用reload_all重新加载0708的利用模块。 +     + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicKVMl729GHvQ39jUldVib97ibQT4DkY1hYe18tpicIfxVROgsYaVxVF45Q/640?wx_fmt=png "") + +搜寻bluekeep利用模块 + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicIq2TPkLwCbkjkMKSibNb7Nuiarj0No0Zf1GibJXG2K9M70zKVv5EI7uug/640?wx_fmt=png "") + +查看options + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicPypfJ5zClqxAz6MFZ99ticNia3TibOaQBxFZvJict6z2chtVK7NSSwqFicQ/640?wx_fmt=png "") + +配置靶机IP： + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicALfu2sI1KCVaf4OVBnd6IJiaexjngMy4C2WyHpD2kdia55gT5sA1HNqw/640?wx_fmt=png "") + +查看target，设置target为我们的靶机所对应的版本： + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIic4jrYXWH1gXDibzliaJAcVebZbKpB1PWZ559vxMmL5DFGP49ibRo1gvSQw/640?wx_fmt=png "") + +     + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicjasoh0BkEUt1awX6bqFeZXDJJjm7hKgKdXj0MBVmPNkhCKxn6oYrHg/640?wx_fmt=png "") + +开始攻击： + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicG9DLAr93SDfGyxbOFtpJdhfXa0yoyfed2uiapDpBCPKiby9ibkxOemseA/640?wx_fmt=png "") + +拿到shell： + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicQrw6xSI0o4FetSiaPYSfTnfg7ibonUJ8GTtBZsUVEopggcglbn65ibn0A/640?wx_fmt=png "") + + +在复现过程中可能会出现导致靶机蓝屏重启： + +![](https://mmbiz.qpic.cn/mmbiz_png/UHKCrPQZGh7pVe6lObZoJdSOgpl4RLIicXVrGgyXwUQRY0jGzhB4D1FyO2iaSw6go60lXvp8rIW8769IiagkTw2qQ/640?wx_fmt=png "") + +     + +此时需要退出msf，重复之前的步骤即可成功复现。 +     + diff --git a/doc/【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329）.md b/doc/【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329）.md new file mode 100644 index 00000000..9c349924 --- /dev/null +++ b/doc/【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329）.md @@ -0,0 +1,343 @@ +# 【漏洞处置SOP】Python安全漏洞（CVE-2019-9636、CVE-2023-24329） +原创 SSS 方桥安全漏洞防治中心 2025-02-19 09:01 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnLibYy3aQHI8mu4BuMqxxM1mYNV8ChcP65ey1cp1E55xNDTSKExcibCRg/640?wx_fmt=png&from=appmsg "") + +**0****1** + +**SOP基本信息** + + +- SOP名称：Python安全漏洞（CVE-2019-9636、CVE-2023-24329）处置标准作业程序（SOP） + +- 版本：1.0 + +- 发布日期：2024-12-20 + +- 作者：just4fun + +- 审核人：T小组 + +- 修订记录： + +- 初始版本：创建SOP + +**0****2** + +**SOP的用途** + + + +本SOP旨在指导系统管理员安全、高效地处置Python安全漏洞（CVE-2019-9636、CVE-2023-24329），确保在规定时间内完成漏洞修复并提交给安全部门验证，保障系统安全。 + +**** + +**0****3** + +**SOP的目标用户技能要求** + + +- 熟悉Python编程语言和环境 + +- 了解基本的系统管理和更新操作 + +- 具备基本的网络安全知识 + +**0****4** + +**漏洞详细信息** + +### 1.CVE-2019-9636：Python 信任管理问题漏洞 +- **漏洞描述：**Python 2.7.x版本至2.7.16版本和3.x版本至3.7.2版本中存在信任管理问题漏洞。攻击者可借助特制的URL利用该漏洞泄露信息（如cookies或身份验证数据）。 + +- **漏洞影响：**主要影响上述指定版本的Python环境。 + +- **修复措施：**升级到不受影响的Python版本。 + +- **注意：**某些操作系统或软件发行版可能已经通过打补丁的方式修复了此漏洞，而无需用户升级到最新的Python版本。 + +- **参考信息：**该漏洞信息来源于麒麟软件有限公司的官方网站，该公司专注于国产操作系统的研发。 + +CVE官网介绍：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9636 + +**2.CVE-2023-24329：Python urllib.parse 安全特性绕过漏洞** +- **漏洞描述：**在Python的urllib.parse组件中，当整个URL以空白字符开头时，会出现解析问题，影响主机名和方案的解析。攻击者可以通过提供以空白字符开头的URL来绕过使用阻止列表实现的任何域或协议过滤方法，可能导致任意文件读取、命令执行或SSRF等。 + +- **漏洞影响：**影响Python < 3.12以及特定版本的Python 3.x（如3.11.x < 3.11.4、3.10.x < 3.10.12等）。 + +- **修复措施：**升级到不受影响的Python版本，如Python >= 3.12或特定版本的Python 3.x的更新版本。 + +- **参考信息：**CVE官网介绍：https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-24329 + +# + +**0****5** + +**漏洞处置方案** + + +- ## 修复版本： + +1. **CVE-2019-9636：**建议升级到3.12.5版本。 + +1. **CVE-2023-24329：**建议升级到3.12.5版本。 + +- ## 补充说明： + +根据经验，推荐升级到3.12.5版本，该版本于2024年8月6日发布，兼容性和性能方面表现良好，具有以下特性： +- 更灵活的f字符串解析，允许许多以前不允许的事情。 + +- 支持Python代码中的缓冲区协议。 + +- 一种新的调试/评测API。 + +- 支持具有单独全局解释器锁的隔离子解释器。 + +- 更改进的错误消息。现在，更多可能由拼写错误引起的异常会向用户提出建议。 + +- 支持Linux性能分析器在跟踪中报告Python函数名。 + +- 许多大大小小的性能改进（如PEP 709和对BOLT二进制优化器的支持），估计总体性能提高了5%。 + +- ## 修复方法： + +卸载现有python版本，重新安装新的安全的python版本。 + +从官网https://www.python.org/downloads/下载适合自己操作系统的安全版本安装包，升级python版本。 +# 注意事项 +- 在进行任何修复操作之前，务必备份所有重要数据和配置文件。 + +- 升级或补丁应用过程中应尽量减少对业务的影响，尽量在维护窗口内完成所有操作。 + +- 遵循官方提供的安装和配置指南进行操作。 + +- 在生产环境中升级前，最好在测试环境中先进行测试。 + +- 修复漏洞前进行充分测试，以确保系统稳定性和安全性。 + +# + +**0****6** + +**漏洞修补详细步骤** + + + +以下是具体可操作的详细修复步骤参考： +1. ## 识别漏洞：确认当前版本存在漏洞（可使用POC验证剔除误报） + +### CVE-2019-9636：Python 信任管理问题漏洞 + +以Windows Server 2016为例。 + +假设用户已经安装了Python 3.7.1（漏洞版本），在桌面按着Shift + 鼠标右键，选择在此处打开命令行窗口，在弹出的窗口中输入python，显示当前已安装的漏洞的版本。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnBUic3ZQhO9oZKtz2p5D5ViaPh8YibHsQF8MH71RK9klibxgotdC2Aqq6BA/640?wx_fmt=png&from=appmsg "") + +接下来验证漏洞是否存在，使用以下文件CVE-2019-9636.poc.py + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRn53ibJetiaDgxicZekJvErkcjpmxpSbjh3XkprQjicUzriajTy5rKricUZYRg/640?wx_fmt=png&from=appmsg "") + +POC原理是Unicode Character “℆” (U+2106) +这个字符经过urlparse等一系列处理之后会转为c/a，若漏洞存在则会打印输出漏洞存在。 + +文件内容如下： +``` +from urllib.parse import urlunsplit, urlsplitfrom urllib import parse def run(): x = 8454 uni = chr(x) url = "http://suctf.c{}".format(uni) try: if getUrl(url): print("str: " + uni + ' unicode: \\u' + str(hex(x))[2:]) print("漏洞存在") else: print("漏洞不存在") except Exception as e: print(e) def getUrl(url): url = url host = parse.urlparse(url).hostname if host == 'suctf.cc': return False parts = list(urlsplit(url)) host = parts[1] if host == 'suctf.cc': return False newhost = [] for h in host.split('.'): newhost.append(h.encode('idna').decode('utf-8')) parts[1] = '.'.join(newhost) finalUrl = urlunsplit(parts).split(' ')[0] host = parse.urlparse(finalUrl).hostname if host == 'suctf.cc': return True else: return False if name == '__main__': run() +from urllib.parse import urlunsplit, urlsplit +from urllib import parse + +def run(): + x = 8454 + uni = chr(x) + url = "http://suctf.c{}".format(uni) + try: + if getUrl(url): + print("str: " + uni + ' unicode: \\u' + str(hex(x))[2:]) + print("漏洞存在") + else: + print("漏洞不存在") + except Exception as e: + print(e) + +def getUrl(url): + url = url + host = parse.urlparse(url).hostname + if host == 'suctf.cc': + return False + parts = list(urlsplit(url)) + host = parts[1] + if host == 'suctf.cc': + return False + newhost = [] + for h in host.split('.'): + newhost.append(h.encode('idna').decode('utf-8')) + parts[1] = '.'.join(newhost) + finalUrl = urlunsplit(parts).split(' ')[0] + host = parse.urlparse(finalUrl).hostname + if host == 'suctf.cc': + return True + else: + return False + + +if name == '__main__': + run() +``` + +在命令行中执行  python CVE-2019-9636.poc.py , 根据回显结果可知当前漏洞存在 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnynYp9hp0sGicibcQEBspibibbkBRAX8Zic5UPqyBaNoJNr38gUdGDSu7v3Q/640?wx_fmt=png&from=appmsg "") +### CVE-2023-24329：Python urllib.parse 安全特性绕过漏洞 + +以Windows Server 2016为例。 + +假设用户已经安装了Python 3.11.3（漏洞版本），在桌面按着Shift + 鼠标右键，选择在此处打开命令行窗口，在弹出的窗口中输入python，显示当前已安装的漏洞的版本。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRn3Rhm4NH1UHicsDVnLtLLvLHPIibepcE8wTpQNic0MWKNykn7CqH7uzBqg/640?wx_fmt=png&from=appmsg "") + +接下来验证漏洞是否存在，使用以下文件CVE-2023-24329.poc.py。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnLfzoMMh4TBSIaUib3N8hnEaCWuWIvHZV30db6XqJgETsaphfsJpibFiaQ/640?wx_fmt=png&from=appmsg "") + +POC原理是malicious_url是以空白字符为开头的URL，通过urlparse处理，观察解析的结果是否符合预期。 + +文件内容如下： +``` +from urllib.parse import urlparse # 构造以空白字符开头的 URLmalicious_url = " \thttps://example.com/some/path" # 使用 urlparse 解析 URLparsed_url = urlparse(malicious_url) # 打印解析结果print(f"Scheme: {parsed_url.scheme}")print(f"Network location: {parsed_url.netloc}")print(f"Path: {parsed_url.path}") +from urllib.parse import urlparse + +# 构造以空白字符开头的 URL +malicious_url = " \thttps://example.com/some/path" + +# 使用 urlparse 解析 URL +parsed_url = urlparse(malicious_url) + +# 打印解析结果 +print(f"Scheme: {parsed_url.scheme}") +print(f"Network location: {parsed_url.netloc}") +print(f"Path: {parsed_url.path}") +``` + +在命令行中执行  python CVE-2023-24329.poc.py , 根据回显结果Scheme为空、Network location为空、Path不符合预期值可知当前漏洞存在。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnIdB6GNgoOjsyalAYMWJickpWhuqtT0IyAKcGiby9icZVNauUicmfgto4rA/640?wx_fmt=png&from=appmsg "") +## 2. 实施修复：升级版本至3.12.5 +## ①卸载旧版本 +#### Windows操作系统上删除Python +- **方式1：使用Windows设置：** + +从开始菜单打开“设置”应用程序或按Win+I。 + +导航到“应用”，然后到“应用和功能”。 + +滚动浏览列表或使用搜索栏查找Python。 + +单击Python，然后选择“卸载”。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnzyyWemAYXcjMrFvH3XMpfOTL8UXiarEMe2WeBdZpnQicUxBuZ3B5WeAg/640?wx_fmt=png&from=appmsg "") + +- **方式2：使用控制面板：** + +打开控制面板。 + +单击“程序和功能”。如果控制面板处于类别视图中，需要先单击“程序”。 + +在已安装程序列表中找到Python。 + +右键单击Python，然后选择“卸载”。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnBq0z697AUTk6qiaLFzSPKBdIS9CXl7PAJxh003Nx55OJtAiaZZDKgqfg/640?wx_fmt=png&from=appmsg "") +#### +#### Linux操作系统上删除Python +- **方式1：使用****包管理器****卸载：** + +对于基于Debian的系统（如Ubuntu），可以使用sudo apt-get remove python3.x命令来卸载Python（其中3.x是要卸载的Python版本号）。 + +对于基于RPM的系统（如CentOS、Fedora），可以使用sudo yum remove python3.x或sudo dnf remove python3.x命令来卸载Python（其中3.x是要卸载的Python版本号）。 +- **方式2：手动卸载：** + +如果Python是从源码编译安装的，那么需要手动删除安装过程中创建的文件和目录。这通常包括可执行文件的目录（如/usr/local/bin）、库文件的目录（如/usr/local/lib/python3.x）以及其他相关目录。 + +在删除文件和目录之前，建议先使用whereis python或which python命令来查找Python的安装位置，以确保能够找到并删除所有相关的文件和目录。 + +验证卸载： + +卸载完成后，可以通过运行python --version或python3 --version命令来验证Python是否已经从系统中移除。如果这些命令返回“命令未找到”或类似的消息，则表明Python已被成功卸载。 +### ②安装新版本 3.12.5 +#### Windows操作系统上安装Python + +**安装Python** + +确认Windows版本：确认Windows系统是32位还是64位，可以在“我的电脑”或“此电脑”的属性中查看。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRn4IIjWY2dgPllIhgARXL9v9j6Vz42b2VjSRmmVWWeFRdMHNZNUohYMw/640?wx_fmt=png&from=appmsg "") + +访问Python官网：打开浏览器，访问Python官网（ +https://www.python.org/downloads +），选择适合自己系统架构的Python稳定版本3.12.5，点击“Download”按钮。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRn5ecz0MgtaFcr0Xq30KyBkvwedH0pTNOcjhqDa4wvPaNnZYVPxGicTNQ/640?wx_fmt=png&from=appmsg "") + +选择“Windows”操作系统对应的链接下载安装包：点击下载按钮，选择“Windows installer（32-bit）”（对于32位系统）或“Windows  installer （64-bit）”（对于64位系统）来下载Python的安装包。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRn2Iib7SkBbGB19NFxdTWoibVjajiczcB3TTHYQmtlSlVStYYCWgxgicXISg/640?wx_fmt=png&from=appmsg "") + +运行安装包：下载完成后，右键以管理员身份运行下载的.exe文件开始安装过程。 + +自定义安装（可选）：在安装向导中，可以选择“自定义安装”来配置安装选项，如添加Python到PATH环境变量中、安装pip（Python的包管理工具）以及选择是否安装IDLE（Python的集成开发环境）等。 + +安装：完成上述配置后，点击“Install”或“Next”按钮开始安装过程。安装程序会自动完成安装，并在安装过程中显示进度条。 + +完成安装：安装完成后，点击“Finish”按钮退出安装向导。 + +验证安装：按下Win+R键，输入cmd并回车，打开命令提示符窗口。输入python，然后回车。如果安装成功，将看到Python的版本号输出到命令行窗口中。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRna7cTnVBq2EJ2tfHlUicjG8CPoFB91v1xTBxCfwPNG9m899dIMTfQsXA/640?wx_fmt=png&from=appmsg "") + +#### Linux操作系统上安装Python + +安装3.12.5版本的Python，可以按照以下步骤进行： + +下载Python源码：从Python官网（https://www.python.org/downloads/）下载3.12.5版本的源码压缩包（如tgz格式）。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnGmDErw8tSibUhAQzlaSOh4670eaonaoBaFQQ75qgibxicaLvMK5bTTbkA/640?wx_fmt=png&from=appmsg "") + +解压源码压缩包：将下载的源码压缩包解压到指定目录。 + +tar -zxvf Python-3.12.5.tgz + +准备编译环境：安装编译Python所需的依赖包。这可以通过包管理器（如yum、apt等）来完成。例如，对于基于Debian的系统，可以使用sudo apt-get install build-essential zlib1g-dev libncurses5-dev libgdbm-dev libnss3-dev libssl-dev libreadline-dev libsqlite3-dev tk-dev libffi-dev liblzma-dev +命令来安装依赖包。 + +编译安装Python：进入解压后的Python源码目录，依次执行./configure、make +和sudo make install +命令来编译和安装Python。 + +建立软连接：为了方便使用，可以为安装的Python版本建立软连接。例如，可以使用sudo ln -s /usr/local/bin/python3.12 /usr/bin/python3 +命令来建立Python3的软连接。 + +打开命令提示符窗口。输入python3，然后回车。如果安装成功，将看到Python的版本号输出到命令行窗口中 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnAWhFF891dUYj6MHv6EXl5jv9Bc9jJHUVI6MhNm4ZX7ojV8diaDrHialQ/640?wx_fmt=png&from=appmsg "") +1. ## 验证修复：POC验证漏洞已修复 + +### CVE-2019-9636：Python 信任管理问题漏洞 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnfAadjFFW46lsuO7HbTvbGcUANahHvIybXiaMzZTURuicric3QicMsibRgeA/640?wx_fmt=png&from=appmsg "") + +假设成功安装了新版本3.12.5后，在命令行中再次执行  python CVE-2019-9636.poc.py , 根据回显结果可知爆出了错误netloc 'suctf.c℆' contains invalid characters under NFKC normalization， 符合预期，证明当前版本到漏洞已经修复。 +### CVE-2023-24329：Python urllib.parse 安全特性绕过漏洞 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/2JVOUiaJORTu6YV7yx0iaM4aEzq5VsEZRnicYIjF6qFMX6t7qLictkzbYNH6UPuOqb3PLX6W0Z2wzdAGhb7iatRbXwg/640?wx_fmt=png&from=appmsg "") + +假设成功安装了新版本3.12.5后，在命令行中再次执行 python CVE-2023-24329.poc.py , 根据回显结果可知正确处理了带有空格的字符串，解析出来正确的Scheme、Network location、Path， 符合预期，证明当前版本到漏洞已经修复。 + + +关注回复“ +9636 +”添加运营助手领取PDF版 + +↓ + + diff --git a/doc/【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告.md b/doc/【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告.md new file mode 100644 index 00000000..9f65543a --- /dev/null +++ b/doc/【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告.md @@ -0,0 +1,91 @@ +# 【漏洞通告】Apache Ignite远程代码执行漏洞安全风险通告 + 嘉诚安全 2025-02-19 08:43 + +**漏洞背景** + + + + + + + + +近日，嘉诚安全监测到Apache Ignite远程代码执行漏洞，漏洞编号为： +CVE-2024-52577。 + + +Apache Ignite是一个高性能、分布式数据库和计算平台，专为大规模数据处理和实时分析设计。它支持内存计算、SQL查询、键值存储、数据流处理等功能，广泛应用于大数据、物联网、金融服务等领域。Ignite提供高可用性、扩展性和低延迟，支持与其他大数据框架（如Hadoop、Spark）集成。 + + +鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。 + +**漏洞详情** + + + + + + + + +经研判，该漏洞为 +**高危** +漏洞 +。 +攻击者可通过发送恶意消息至易受攻击的Ignite服务器，从而绕过类序列化过滤机制并执行任意代码。 + +**危害影响** + + + + + + + + +影响版本： + +2.6.0 <= Apache Ignite < 2.17.0 + +**处置建议** + + + + + + + + +1.升级版本 + +Apache Ignite团队已在版本2.17.0中修复了此漏洞。建议受影响版本的用户尽快升级到2.17.0或更高版本，以解决该问题。 + +下载链接： + +https://github.com/apache/ignite/releases/tag/2.17.0/ + +2.通用建议 + +定期更新系统补丁，减少系统漏洞，提升服务器的安全性。 + +加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。 + +使用企业级安全产品，提升企业的网络安全性能。 + +加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。 + +启用强密码策略并设置为定期修改。 + +3.参考链接 + +http://www.openwall.com/lists/oss-security/2025/02/14/2 + +https://lists.apache.org/thread/1bst0n27m9kb3b6f6hvlghn182vqb2hh + + +![](https://mmbiz.qpic.cn/mmbiz_png/1t8LLTibEW5NtxqlBL1HLib8jMO0PWtibWTWTFPOa3ND1lyaEQyBgp2fodg9A1XxvPjY7L6ILtK26MBGhofWE0ORw/640?wx_fmt=png&wx_ "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_gif/sDiaO8GNKJrJnzIYoQAv2nF3pgKm4SgdFkzuniaicBHQxgSdu0U0xyYbNDOcNkDMWCjwJNwKnic9ASAhhxEpkFL6lg/640?wx_fmt=gif&wx_ "") + + + diff --git a/doc/荐读丨即将过气的五大网络安全技术.md b/doc/荐读丨即将过气的五大网络安全技术.md new file mode 100644 index 00000000..3c4c0810 --- /dev/null +++ b/doc/荐读丨即将过气的五大网络安全技术.md @@ -0,0 +1,126 @@ +# 荐读丨即将过气的五大网络安全技术 + 工业安全产业联盟平台 2025-02-19 10:32 + +随着人工智能等新兴技术的快速发展，网络安全市场正迎来一次重大技术变革并重新回到高速发展的轨道上。根据Gartner的预测，2025年全球网络安全支出将增长15%，达到2120亿美元。但是，一些传统网络安全技术和实践正逐渐退出历史舞台。以下是网络安全专家们认为需要被重新审视或淘汰的五大技术： + + +**1** + + +**基于密码的安全控制** + + +密码作为传统身份验证方式，其安全性已受到广泛质疑。根据Ponemon Institute的2023年数据泄露成本报告，50%的数据泄露事件与被盗或弱密码有关。许多企业正在逐步淘汰静态密码，转而采用动态身份验证技术。例如，软件制造商AuditBoard的CISO Richard Marcus表示，公司正在向无密码或动态认证的模式转型。 + + +**2** + + +**定期渗透测试** + + +传统的定期渗透测试（如每年一次或两次）被认为是一种过时的策略。GoTo的CISO Attila Torok指出，这种测试仅能捕捉到某一时刻的安全状态，无法反映动态变化的环境。相比之下，持续的漏洞扫描和动态渗透测试，以及漏洞赏金计划，被认为更有效。漏洞赏金计划要求发现真正的漏洞才能获得报酬，这使得测试者更有动力深入挖掘潜在风险。 + + +**3** + + +**传统VPN** + + +尽管VPN在某些场景下仍有价值，但其作为主要安全工具的时代已经过去。研究表明，VPN漏洞是网络攻击的常见入口，接受调查的647名IT和安全专家中有91%表示担心VPN会危及企业安全。专家建议，企业应采用多因素认证、基于证书的身份验证和零信任策略，以替代或补充传统VPN。 + + +**4** + + +**本地部署的SIEM系统** + + +本地部署的安全信息与事件管理（SIEM）系统因警报疲劳和缺乏云感知能力而受到批评。IANS Research的George Gerchow指出，本地SIEM系统无法有效处理云环境中的大量数据，导致企业在数据存储和分析方面面临高昂成本。随着企业向云环境迁移，本地SIEM系统的局限性愈发明显。 + + +**5** + + +**传统防火墙** + + +防火墙是网络安全领域最基础的技术之一，但其传统形式已难以应对现代复杂环境。CDW副总裁Stephanie Hagopian表示，企业正逐渐从传统的硬件防火墙转向更现代化的数字防火墙。这一转变不仅是为了适应云计算和新兴技术，还因为传统防火墙在处理复杂的网络攻击时显得力不从心。 + + +**总 结** + + + + +随着网络安全技术的不断演进，企业需要重新评估其现有安全架构，淘汰那些已无法满足现代需求的技术。同时，AI驱动的安全工具和动态防御策略正逐渐成为主流，不仅为企业提供更强大的防护能力，也推动了整个网络安全行业的技术革命。 + + + +**· end ·** + + +来源 | 黑白之道 + +责任编辑 | 赫敏 + + +声明：本文由工业安全产业联盟平台微信公众号（微信号：ICSISIA）转发，如有版权问题，请联系删除。 + + +![](https://mmbiz.qpic.cn/mmbiz_png/4FpQm8QaW5kiaicHTUwSf9sId0er1ytR3D1Sc1RPfDpmk8FiciciadlBic9jSUbt1ciaE3G3aKiaicickE5ficq81KuYplgow/640?wx_fmt=png "") + + + +**如需合作或咨询，请联系工业安全产业联盟平台小秘书微信号：ICSISIA20140417** + + + +**往期荐读** + +[荐读 | 工业嵌入式控制系统可信计算技术应用研究](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519333&idx=2&sn=bf43af3fddbb39488cd710e74a1032ed&chksm=ea6367dadd14eeccb05e00991d2102691823321dc5ab0cec7cdbf0b7fdbababcf3072ef9bab5&scene=21#wechat_redirect) + + +[重磅 | 《自动化博览》2024年第一期暨《工业控制系统信息安全专刊（第十辑）》上线](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247526449&idx=1&sn=8833fa51b2d2d561b92a903afe7d3940&chksm=ea63838edd140a987d94f7154fd7e61808299215c930bec12eb4d1349dc8f642e21ddd055ea5&scene=21#wechat_redirect) + + +[解决方案 | 长输供热工程工控安全防护解决方案](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519250&idx=1&sn=ef38b08e844bd87ea31f7c255749a2d2&chksm=ea6367addd14eebbad577732f522bae728f9b27f4f5f8924ce494af774ce7bd0637578052a47&scene=21#wechat_redirect) + + +[关注 | 两会话安全：网络安全提案速览](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519102&idx=1&sn=82cc167aa7b73ea80a8306b1a0628cfc&chksm=ea6360c1dd14e9d7bb308b186182d17336c154fe084eee541ceb75b39edae090bc4fa7d6a936&scene=21#wechat_redirect) + + +[荐读 | 工业互联网渗透测试技术研究](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519019&idx=1&sn=77752855e976481fa468f1771f943d9f&chksm=ea636094dd14e98212426441e59d8b26bf4739a9099ae2f0e95dc5849889fe5de2420115afe3&scene=21#wechat_redirect) + + +[解决方案 | 精细化工产业互联网安全体系建设方案](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519524&idx=1&sn=9cfea10f776336d016f54b398bd49d13&chksm=ea63669bdd14ef8d331333ae32ca7470321b566adb26c8559d4614c694e85553477318fa88b1&scene=21#wechat_redirect) + + +[荐读 | 智能制造装备安全方案](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519506&idx=1&sn=56c9d0355d2c8b769ad8eb3c046d64fc&chksm=ea6366addd14efbb0741053e462cb5c029b4cccc3dc886ffa1cfdf630aa400248315c44cb0d8&scene=21#wechat_redirect) + + +[观点 | CCF计算机安全专委会发布2023年网络安全十大发展趋势](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247518554&idx=1&sn=e2a24ea69c914133583f0b2361417af1&chksm=ea6362e5dd14ebf33f035330815cba14b344f2100799e1c8e4d46ee74fc7afd0f39d9e520641&scene=21#wechat_redirect) + + +[荐读 | 智能制造背景下我国工业网络安全的新挑战](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519439&idx=1&sn=51637c6f276e86baa666b5812ef3bb03&chksm=ea636770dd14ee66da717009491d91283c666a7f755ff45bd49c6d1eff4b41ec29210ef0de66&scene=21#wechat_redirect) + + +[报告 | 《中国网络安全产业研究报告》发布：多方利好驱动网络安全产业高质量发展](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247518760&idx=1&sn=ded3f64e6fd6418f61be5a9287c20264&chksm=ea636197dd14e881a65fa9de6fb17a5490933c41879be32d043bb1c0aba9a2a6f310e16a83b0&scene=21#wechat_redirect) + + +[荐读 | 基于改进预处理PCA算法的代码混淆分析](http://mp.weixin.qq.com/s?__biz=MzI2MDk2NDA0OA==&mid=2247519239&idx=1&sn=e91df29cbcf48862f57011ba38a10a3f&chksm=ea6367b8dd14eeaedd9ce58fe699e16f3dbba2aea71bf63c34df5a1ce15dd8513075bfb80fcb&scene=21#wechat_redirect) + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/4FpQm8QaW5kl2a8G7lfZTXQ65jPLzCdpyKsyPqcbQnzEqbmYSDib90bZicWWGDc7kFPbaRiaVzC16MXUp4T0FY8cA/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/4FpQm8QaW5kl2a8G7lfZTXQ65jPLzCdpMs8tAvMDjxib9jwveZic6lrGG8K5iaoRIibBzbMEOZ1iay9MmF0aJtvicHmQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/4FpQm8QaW5kl2a8G7lfZTXQ65jPLzCdpQrnsLdgPsjvdBHkvnibporOYKicPv4aBgHkEw0tLgNnDuOTOOAia2tPug/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/4FpQm8QaW5kl2a8G7lfZTXQ65jPLzCdpgJgfShwDlZNGBxX5EkH8XMYawAfotAVmiaoD9icCOE7l306nqjCsuibCw/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/4FpQm8QaW5kl2a8G7lfZTXQ65jPLzCdp1IQNNBb9Hm4vRAiaKFBY2gMMDZB2IBvpkaCEetNoQvPFnwv2Tb13PuA/640?wx_fmt=jpeg&from=appmsg "") + + diff --git a/doc/试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？.md b/doc/试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？.md new file mode 100644 index 00000000..7c2e93b0 --- /dev/null +++ b/doc/试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？.md @@ -0,0 +1,94 @@ +# 试用完 deepseek，感觉到了恐惧，谁来阻止我的胡思乱想？ +原创 车小胖谈网络 车小胖谈网络 2025-02-19 09:56 + +我的感想是，我们可能正处于又一次工业革命之中，这个东西，甚至会对未来 +100 +年的社会形态造成巨大的影响。文学，音乐，绘画等等一切创造性的技能都会被取代，我们看着 +ai +生成的文学，听着 +ai +音乐，欣赏 +ai +美景，喝着 +ai +机器人做的咖啡，怀念着依靠人脑低效率创作的旧时代，想象着生活在没有 +ai +的年代里，是种什么感觉呢？ + +人类引以为傲的思考和想象能力会变得异常廉价。意识并非想象中高贵。我们个人所做的一切努力、学习、训练，在 +Ai +面前就是徒劳，像一个笑话。最终，世界上只会演化出两个阶级，普通人和掌权者，这两者之间是鸿沟。普通人再难以通过个人努力完成跨越。 +99.9% +的人完全平等混吃等死， +0.1% +的人掌握绝对权力为所欲为。因为 +ai +抹平了所有的个人特征，剩下的一小部分人，掌握绝对的资源和 +ai +大权。 + + +问题来自知乎。 + +在 +AI +到来之前，世界也是由 +0.1% +的群体主宰， +AI +只是一个提高生产效率的工具而已，世界的格局并不会因此而改变。第一次工业革命，发明了蒸汽机，英国做老大。第二次工业革命，发明了电，美国做了老大。 +AI +的渐进的升级与迭代，又一次工业革命。。。 + +对 +AI +的专业能力一直持怀疑态度。令人震惊的是，他们的 +深度思考能力非常吓人 +。 + +一些面试难题在他们面前真的是小菜一碟，比如，连接一些公共场所的Wi-Fi网络，为何有时无法弹出认证页面？但有时又可以弹出认证页面？ + +经过 +R1 +的深度思考，他们的回答里包含了正确的答案，挺意外的。 + +但是，他们的答案也有一个问题。太想做一个完人，太不想犯错了。所以将很多很多种可能性都堆砌了进来，以至于正确的答案淹没在几千上万字的回答中。这需要使用者一个一个去排除，会耗费大量的时间。 + +如果他能按照概率大小从高到低排列，那对使用者来说，效果肯定比现在好。 + +如果他们的答案是这样的：由于无线网络的认证页面技术通常使用的是http劫持技术。一旦无法弹出认证页面，说明没有明文的http页面供网关劫持。为了触发他们的劫持，需要手动输入http请求页面即可完成劫持（认证） +。 + +对使用者来说，无疑才是更好的工具。作为专业工具， +AI +无疑是优秀的，也许在不久的将来，地球上的大多数职业都能由他们替代。 + +但是，他们有情绪价值吗？他们没有经历多年酸甜苦辣咸的生活体验，他们没有个性化的情绪价值，充其量是人类智慧的结晶。 + +最喜欢看的知乎的帖子，“为什么老顾客吃着吃着就不再来照顾生意了呢？ +” + +这是一篇接地气的热烈讨论，不仅回答好看，热评精彩纷呈，看完哈哈一乐，很有情绪价值。 + +让几个AI上去讨论试试呢？ + +引经据典有意义吗？照顾与否有对错吗？分析来分析真的很重要吗？ + +但是，群众的眼睛是雪亮的，把顾客当亲人来爱的，生意一般不会差！ + +随着互联网、智能手机的普及，人类的生活节奏越来越快，点点鼠标按按键外卖就到家了，好像很幸福的样子。但是这样的生活真的枯燥乏味，食物越来越雷同，越来越像一个流水线上的工业品。 + +近年来吃过最好吃的饭菜，不是在北上广深，而是在云南的梅里雪山边上的一个小山峰上。海拔 +3380 +米山坳里自由欢快跑动的藏香猪烧制的红烧肉，令人终生难忘。这些体验 +AI +也无法提供，需要置身其中才能得到。 + +保持松弛感 +才能真正地享受生活，这也是多年生活经历分享给读者的一个关键词。尝试让自己保持松弛，干什么效果都不会差！ + +保持松弛感，做自己最感兴趣的事，体验原始食材的美食，用眼睛去发现美，心中充满爱，做一个有趣的灵魂，岂不快哉？ + +AI，一个高级工具而已 +！ + diff --git a/doc/高效检测 SQL 注入漏洞，自动化实战经验分享.md b/doc/高效检测 SQL 注入漏洞，自动化实战经验分享.md index 626e10a2..fb3fd377 100644 --- a/doc/高效检测 SQL 注入漏洞，自动化实战经验分享.md +++ b/doc/高效检测 SQL 注入漏洞，自动化实战经验分享.md @@ -1,14 +1,21 @@ # 高效检测 SQL 注入漏洞，自动化实战经验分享 -原创 xazlsec 信安之路 2025-02-18 03:06 + 谈思实验室 2025-02-19 10:03 -在渗透测试项目中，经常会收集大量的接口信息，为了提高效率，通常会使用工具来完成自动化测试，针对大量接口的漏洞探测，xray 这方面做的非常不错， -但对于 POST 请求，探测方式只能采用被动请求或逐个接口测试的方式。 +点击上方蓝字 +谈思实验室 + +获取更多汽车网络安全资讯 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeMAO4Gw2MtLSZxnGIPkv87Cs9hZEhMXKxyb6m3d8icLUGIhRqHhHNhLw/640?wx_fmt=jpeg&from=appmsg "") + +在渗透测试项目中，经常会收集大量的接口信息，为了提高效率，通常会使用工具来完成自动化测试，针对大量接口的漏洞探测，xray 这方面做的非常不错，但对于 POST 请求，探测方式只能采用被动请求或逐个接口测试的方式。 但是我在实际的工作中，需要针对大量 GET、POST 接口和参数做漏洞探测，而目前比较关注的是 SQL 注入漏洞的检测，所以基于 Xray 关于 SQL 注入检测的 payload，自己完成了一个自动检测 SQL 注入的工具。 -今天就来分享一下整个工具的检测逻辑， -有兴趣的朋友可以加入信安之路知识星球，注册文库后即可下载源代码进行查看和使用。 -### 检测步骤 +**01** + +**检测步骤** + 整个测试过程分为五步： @@ -33,7 +40,11 @@ bool_common_payload = [["1/**/and+3=3", "1/**/and+3=6"], ["'and'c'='c", "'and'd' ``` time_common_payload =[["'and(select*from(select+sleep(6))a/**/union/**/select+1)='", "'and(select*from(select+sleep(1))a/**/union/**/select+1)='"], ["(select*from(select+sleep(6)union/**/select+1)a)", "(select*from(select+sleep(1)union/**/select+1)a)"],["/**/and(select+1)>0waitfor/**/delay'0:0:6'/**/", "/**/and(select+1)>0waitfor/**/delay'0:0:1'/**/"], ["'and(select+1)>0waitfor/**/delay'0:0:6", "'and(select+1)>0waitfor/**/delay'0:0:1"]] ``` -### 关键点 + +**02** + +**关键点** + 在实现的过程中，最为关键的部分就是判断两次请求的页面是否一致，并且排除一些错误干扰，主要有以下几点： @@ -63,11 +74,15 @@ black_parma = ["method", "mod", "s", "act", "Action", "a", "m", "c"] ``` black_code = [-1, 0, 404, 403, 500, 503, 405, 999] ``` -### 实战测试 + +**03** + +**实战测试** + 1、报错注入 -![image-20250218104104036](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6lpkCyH5k3ZGpnhRdVHdnX9KJA28ibk75NaLkJ93V7N9bOhlnicBSHibTJQ/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6Je0UdBTQ9vMpRmicwRkJ3juN88RIMQSrtKpxqC0H92jGb9ibXIBtG9chIA/640?wx_fmt=png&from=appmsg "") 程序逻辑设置，只要存在报错注入，且能执行 md5 函数，则跳出检测，因为可以百分之百确定存在注入漏洞。 @@ -75,21 +90,21 @@ black_code = [-1, 0, 404, 403, 500, 503, 405, 999] 案例只检测出数字注入，没有检测出布尔注入，通常这两个是同时存在的，可能是 payload 的问题： -![image-20250218102055907](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6lyUmcLRWWrNnYxRGWF7KARfZ2bId8J3vUlXAhzlzQbdYHnibibpuMJY4A/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeSI6QIQNwxqIa434Mhuo7lAjU1n8d7CdoKvD65iaIx1ibxia5ficDjbQDow/640?wx_fmt=png&from=appmsg "") 使用 SQLmap 进行验证： -![image-20250218102129101](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6lPK3gd6VuSTNKDQ7qGf8SvdzlibLtzhby496GSyh2AV1EyfylkfG7cicQ/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JelFbDL5D7ksk45HdQc4PyDKhIxI3lM2DwINOUUImsk3aib95NibQqiaia7A/640?wx_fmt=png&from=appmsg "") sqlmap 检测出了布尔注入，而脚本未检测出。 3、布尔注入 -![image-20250218104814534](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6lAxFZRhVfDCwKgD2iaSuw2sIp3VM1VIWRmZe8LZGlpQc1e3AyXEFlJMA/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeUlicG6v6PrIHvbKJoTjsDRzAq4BcVAEkPI3qPsYT24u6dkZBZ6SPkGQ/640?wx_fmt=png&from=appmsg "") 使用 sqlmap 进行验证： -![image-20250218104841004](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6liasxHSbl4iamVFDRGibcdTh1weYia9XO6JkQ2ZribfJGtnjXDn90VDoFyKQ/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeaXHdTibfGJKGcKkfSWnHhJNzTyg6FhzKNE2aTnKKwbp2QwOQW6FgbsQ/640?wx_fmt=png&from=appmsg "") 该案例只检测出目标存在布尔注入，跟脚本检测结果相同。 @@ -97,17 +112,123 @@ sqlmap 检测出了布尔注入，而脚本未检测出。 案例中只检测到时间盲注，为检测到其他注入方式： -![image-20250218103736843](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6l8kxtEaXGiaia8z4m4Kyvu1l8a3FYzxMTuJw1CbpODlXGY0YEAnOU5dmg/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6Je0bkptJCNzKicORxT2iaUiaUibfxtBX6XmVnFqyFQmeBlCK9qTha3ZiaBvrQ/640?wx_fmt=png&from=appmsg "") 使用 SQLmap 进行验证： -![image-20250218103849149](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfficw0aC0aicGeRG072hp6N6lob7vl6pf0G7iaaAOQpfdicoiaicBw0TGFYib98om9jRMXicp6AptuD0qYMCQ/640?wx_fmt=png&from=appmsg "") +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JepmP6B5sFbZibf2c15aEbRxjzib6YP6fsibkn3fuRk5zvM3ichxB5wtddPg/640?wx_fmt=png&from=appmsg "") 从结果上看，工具在验证方面还存在可以优化的部分，因为 sqlmap 检测出来了布尔注入，而该脚本未能实现。 -### 总结 -以上就是我写的探测 SQL 注入的工具逻辑和关键点，未来实战过程中还会根据实际情况进行优化更新， -对源码感兴趣的朋友，可以扫描下方二维码加入知识星球，注册文库后即可下载。 -![](https://mmbiz.qpic.cn/mmbiz_png/sGfPWsuKAfc1ibbG6mEdqV5Xpw0yu9UxtIoLlhiazxU4NakInEiam1mOnHHYw4pVq3nrrCc8tpnn5ictdhmNLUaHuA/640?wx_fmt=png&from=appmsg "") +**end** + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JePD3iaE5Sk18pHhXjxZCvFiaRl17NU5JuuY63Q0yVJu3icYItwyR1xeH2g/640?wx_fmt=jpeg&from=appmsg "") + + +**精品活动推荐** + + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6Je89IuowXsHuccic2u3OvsyN9ZS7Ys8QpibH0CDkG0zl0WxQeNwTo9oYuw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JesbtOn5J0UFlOjHvNOHuVTBKRssAllZMla8iaxx1e66c1Owicf8HbU3icA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeMAO4Gw2MtLSZxnGIPkv87Cs9hZEhMXKxyb6m3d8icLUGIhRqHhHNhLw/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JejbBOjQX1niaFYZfYQY8GMWPI5TdrD5usEL4osLy619WPJys9u4L61AQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JenlicuSmqeicSxlzBZ8M534Gbcic36hfjHpqd4icwWmNBsmuicxZuDDiajmaQ/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeEoZQ3LdWic1pk1B4TAicrdwskvmGbeyBP2AYWWLm778IdcfWSicia1oFHQ/640?wx_fmt=png&from=appmsg "") + + +**专业社群** + + +[](https://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247535223&idx=1&sn=e30e07a44accd5b0e9ada3d8b537f977&scene=21#wechat_redirect) + +**部分入群专家来自：** + + +**新势力车企：** + +特斯拉、合众新能源-哪吒、理想、极氪、小米、宾理汽车、极越、零跑汽车、阿维塔汽车、智己汽车、小鹏、岚图汽车、蔚来汽车、吉祥汽车、赛力斯...... + +**外资传统主流车企代表:** + +大众中国、大众酷翼、奥迪汽车、宝马、福特、戴姆勒-奔驰、通用、保时捷、沃尔沃、现代汽车、日产汽车、捷豹路虎、斯堪尼亚...... + +**内资传统主流车企：** + +吉利汽车、上汽乘用车、长城汽车、上汽大众、长安汽车、北京汽车、东风汽车、广汽、比亚迪、一汽集团、一汽解放、东风商用、上汽商用...... + +**全球领先一级供应商：** + +博世、大陆集团、联合汽车电子、安波福、采埃孚、科世达、舍弗勒、霍尼韦尔、大疆、日立、哈曼、华为、百度、联想、联发科、普瑞均胜、德赛西威、蜂巢转向、均联智行、武汉光庭、星纪魅族、中车集团、赢彻科技、潍柴集团、地平线、紫光同芯、字节跳动、...... + +**二级供应商(500+以上)：** + +Upstream、ETAS、Synopsys、NXP、TUV、上海软件中心、Deloitte、奇安信、为辰信安、云驰未来、信大捷安、信长城、泽鹿安全、纽创信安、复旦微电子、天融信、奇虎360、中汽中心、中国汽研、上海汽检、软安科技、浙江大学...... + +**人员占比** + + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6Je2DDOicXUIsKjx8jiay3pF8CYR71OkpuaibDfGiaYbOib6hWkfn9xjI2cvZg/640?wx_fmt=png&from=appmsg "") + + +**公司类型占比** + + + +![](https://mmbiz.qpic.cn/mmbiz_png/3g8Dklb9TwibYJzia90PnKjtMKAY1pp6JeiaShADfpUQ0qJoUTO40EQR9wpHLjEGCY1F3MPbicibh26gPxkKCwic7Xgg/640?wx_fmt=png&from=appmsg "") + +**更多文章** + +# 不要错过哦，这可能是汽车网络安全产业最大的专属社区！ + +[关于涉嫌仿冒AutoSec会议品牌的律师声明](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247531034&idx=2&sn=e466ca3e7c2927a91dd9a81be705afe1&chksm=e9273ec1de50b7d7f540ae2e4c255bfb42f842228a87f7dbc65297027a878544a9e796e09cf6&scene=21#wechat_redirect) + + +[一文带你了解智能汽车车载网络通信安全架构](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247517280&idx=2&sn=8bfafb17871598c9cc0041bc9ee5f65d&chksm=e927c0bbde5049ad8cdb3647f6cdfce00c2db7a7b484941027bb7edf3128e4eaa74d6727dd46&scene=21#wechat_redirect) + + +[网络安全：TARA方法、工具与案例](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247502093&idx=1&sn=ec4b373a33ca04d79afbb0b0b880bd4e&chksm=e9278dd6de5004c01bdd83ad0dd89c3549c7ae2ceb362959dbcb159324b2593d70bce78d82a9&scene=21#wechat_redirect) + + +[汽车数据安全合规重点分析](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247519068&idx=1&sn=78c66e13bd8798afd46c766b8f18abe7&chksm=e927cf87de504691c816f78b55daf93bdfb72fc1cb870d926de8b471eb3e1be61058498327b1&scene=21#wechat_redirect) + + +[浅析汽车芯片信息安全之安全启动](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247512151&idx=1&sn=7fabbeeec206ce615a5a3c574bed4c43&chksm=e927f48cde507d9ab6bfd4b8389b5eafea37586707682bfe60f294feb54e1c36cb07bad4d26d&scene=21#wechat_redirect) + + +[域集中式架构的汽车车载通信安全方案探究](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247519952&idx=2&sn=709860de942501f20e923d15330ced9a&chksm=e927ca0bde50431df0b47ad1a2da63bf98ee637c9c00482145fbdb8755851b61421357aab4bf&scene=21#wechat_redirect) + + +[系统安全架构之车辆网络安全架构](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247520446&idx=1&sn=27e10e455264cecb2a1b49d91484d036&chksm=e927d465de505d73c59a6fb4cb066c7c7d07a96ef49a841ffe598c23d28be545c5874dec7de4&scene=21#wechat_redirect) + + +[车联网中的隐私保护问题](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247521010&idx=1&sn=94ef379e2b877551093a869cf9d4897e&chksm=e927d629de505f3f3cbc102682f7a21a82372108776d3484d8ce619f7db1aae0ab0a001b9b41&scene=21#wechat_redirect) + + +[智能网联汽车网络安全技术研究](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247521302&idx=1&sn=01e9311cb2c84f3e64902abf5f6e7a9e&chksm=e927d0cdde5059db5fe18c5e27f830bbb6ea6df327088082e7844aa056b05f840ad4cf6e3b5a&scene=21#wechat_redirect) + + +[AUTOSAR 信息安全框架和关键技术分析](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247521661&idx=1&sn=a72381e326e3a226059954c74698e0dd&chksm=e927d1a6de5058b0297b91ba77fcf34bd3c581476a0790c5e0cfbcbe026b5a7c27d700bfb1ca&scene=21#wechat_redirect) + + +[AUTOSAR 信息安全机制有哪些？](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247522056&idx=1&sn=bbd03def212d085f533e0301f8c86f18&chksm=e927d3d3de505ac57099d5e42fb6726cf152de9aaa9590b095895874e7a4cc806abc84cc4ebf&scene=21#wechat_redirect) + + +[信息安全的底层机制](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247522886&idx=1&sn=77103702d98e3788beae34b8ea3c31d0&chksm=e927de9dde50578b3dce0bba65599da38844310edd8554f43c9f1c354eaa0487b7c8b4f65c3c&scene=21#wechat_redirect) + + +[汽车网络安全](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247523567&idx=1&sn=1b1d83f339de81a0dc396dd0bd6e6893&chksm=e927d834de50512246f63e47a32f7b934e64eb2b6138053ef43485b871736a122db1340bc437&scene=21#wechat_redirect) + + +[Autosar硬件安全模块HSM的使用](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247527177&idx=1&sn=984bfc845ef51ec1f32cd12d37430621&chksm=e9272fd2de50a6c4013f84ed2257f634a505a04a27b4b27c30e5af4492d5fc3b0099216b1f7d&scene=21#wechat_redirect) + + +[首发!小米雷军两会上就汽车数据安全问题建言：关于构建完善汽车数据安全管理体系的建议](http://mp.weixin.qq.com/s?__biz=MzIzOTc2OTAxMg==&mid=2247519331&idx=1&sn=925d48164f1c7d2d109ee433cde6805b&chksm=e927c8b8de5041aea58f73aed311cdd3bf913bbb73d8e175ac80ae643d944709e06ec418fb52&scene=21#wechat_redirect) +